Wer wurde wofür sanktioniert?

Laut Sanktionsveröffentlichung des Financial Supervisory Service (FSS) übermittelte die Online-Kreditvermittlungsplattform PFC Technologies am 28. September 2022 die Personenkennnummern von 8.497 Kunden ohne deren Einwilligung an einen Dritten, um die Fehlerquote eines neuen Dienstes für Hypothekenkunden zu berechnen, und erhielt von diesem ebenfalls ohne Einwilligung Kreditinformationen zu denselben Kunden (etwa Adresse und amtlicher Wert ihrer Immobilien); zudem hatte sie bei Prüfungsbeginn keine Passwortregeln gegen leicht zu erratende Zahlen umgesetzt. Die Sanktion vom 17. September 2026 umfasst eine institutionelle Verwarnung, eine Geldbuße (과태료) von 24 Mio. KRW und eine Geldauflage (과징금) von 49 Mio. KRW, zusammen 73 Mio. KRW.

Behörde / Gericht

Financial Supervisory Service (FSS)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 19, 32 und 34 Credit Information Use and Protection Act; Art. 16, 28 und 29 Durchführungsverordnung

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

17.09.2026

Originalbetrag 73.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 17.09.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Angreifer meldeten sich mit anderswo erbeuteten Zugangsdaten massenhaft auf den Websites von GS SHOP (Juni 2024 bis Februar 2025) und GS25 (Dezember 2024 bis Januar 2025) an und griffen Daten von 1.581.025 bzw. 79.128 Personen ab; GS Retail Co., Ltd. erkannte weder die gehäuften Anmeldeversuche aus denselben IP-Adressen noch die steigenden Fehlversuche und stoppte nach dem ersten Fund bei GS25 den parallelen Angriff auf GS SHOP nicht. Die Behörde stellte außerdem eine unzureichende Datenschutzorganisation und die um mehr als 72 Stunden verspätete Benachrichtigung von 1.599 weiteren Betroffenen fest, verhängte ein Bußgeld (Penalty Surcharge) von 12.836.000.000 KRW und ein Verwaltungsbußgeld von 3.000.000 KRW (zusammen 12.839.000.000 KRW) und ordnete Erkennungsmaßnahmen sowie eine Überprüfung der Datenschutzorganisation an.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29, Art. 34(1); Sanktion nach Art. 64-2(1) Nr. 9

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

fahrlässig

Mildernde Umstände

Minderung um 30 %, weil kein Vorteil erzielt wurde, und um 40 % wegen Kooperation, Abhilfe und Schutzbemühungen (ISMS-P-Zertifizierung, Selbstregulierung, Datenschutz-Folgenabschätzung); Erhöhung um 50 % wegen einer Verstoßdauer von über zwei Jahren.

Haftung von Führungskräften

Angeordnet wurde, eigenes Datenschutzpersonal einzusetzen sowie Befugnisse und Verantwortung des Datenschutzbeauftragten (CPO) klar festzulegen.

Veröffentlicht

31.08.2026

Originalbetrag 12.839.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 26.08.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Angreifer kopierten Zertifikate aus verlorenen Femtozellen der KT Corporation in selbst gebaute Geräte, waren damit rund elf Monate unbemerkt mit dem Mobilfunknetz verbunden, fingen Daten von 16.647 Teilnehmern ab (Telefonnummer, IMSI, IMEI) und lösten mit abgefangenen Bestätigungscodes unberechtigte Handyzahlungen von rund 240 Mio. KRW bei 368 Betroffenen aus. Die Behörde verhängte wegen mangelhafter Zugangskontrolle – zehn Jahre gültige Zertifikate, keine IP-Beschränkung, keine Erkennung fremder Cell-IDs – ein Bußgeld (Penalty Surcharge) von 53.979.000.000 KRW und ordnete Schwachstellenprüfungen und eine Stärkung des Datenschutzbeauftragten an.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29, Sanktion nach Art. 64-2(1) Nr. 9; gesonderter Beschluss 제2026-015-094호: Art. 63(1)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Mildernde Umstände

Minderung um 30 %, weil kein Vorteil erzielt wurde, und um weitere 50 % wegen Kooperation, Abhilfe, Entschädigung der Betroffenen und Schutzbemühungen; Erhöhung um 50 % wegen einer Verstoßdauer von über zwei Jahren.

Haftung von Führungskräften

Angeordnet wurde, Verantwortung und Rolle des Datenschutzbeauftragten (CPO) für das gesamte Unternehmen klar festzulegen und die Governance zu überarbeiten.

Veröffentlicht

30.07.2026

Originalbetrag 53.979.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 29.07.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Ein ehemaliger Beschäftigter nutzte Signaturschlüssel für die Authentifizierung, auf die er während seiner Tätigkeit im Klartext zugreifen konnte und die nach seinem Ausscheiden weder erneuert noch vernichtet wurden, um gefälschte Tokens zu erstellen und von April bis November 2025 Daten von rund 33,22 Mio. Kundinnen und Kunden sowie Lieferdaten von rund 4,33 Mio. weiteren Personen abzurufen. Die Behörde verhängte gegen Coupang Corp. wegen unzureichender Sicherheitsmaßnahmen ein Bußgeld (Penalty Surcharge) von 423.575.000.000 KRW und wegen verspäteter Benachrichtigung und unterlassener Löschung ein Verwaltungsbußgeld von 16.800.000 KRW (zusammen 423.591.800.000 KRW) und rügte den Ausschluss des Datenschutzbeauftragten von der internen Untersuchung. Ein gesonderter Beschluss vom selben Tag verhängte weitere 201.106.000.000 KRW wegen Erhebung von Verhaltensdaten auf fremden Websites und Apps ohne Einwilligung.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29, Art. 34(1), Art. 21(1), Art. 31(6), Art. 63(2); Sanktion nach Art. 64-2(1) Nr. 9

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

fahrlässig

Wiederholungsfall

ja

Mildernde Umstände

Minderung um 30 %, weil kein Vorteil erzielt wurde, und um 50 % wegen Abhilfe, Entschädigung, Zertifizierung und Verhältnismäßigkeit; Erhöhungen um 25 % (Verstoßdauer), 30 % (mindestens zwei frühere Geldbußen) und 10 % (Behinderung der Untersuchung).

Haftung von Führungskräften

Der Datenschutzbeauftragte (CPO) war von interner Untersuchung und Veröffentlichung ausgeschlossen; angeordnet wurde eine Governance, die seine unabhängige Arbeit und seinen Zugang zu Informationen bei Vorfällen sichert.

Veröffentlicht

11.06.2026

Originalbetrag 423.591.800.000 KRW, umgerechnet zum EZB-Referenzkurs vom 10.06.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Starbucks Corporation ließ Zulieferer in Korea im Rahmen ihres Ethical-Sourcing-Programms durch Elevate Hong Kong Holdings Limited prüfen, schloss dafür keinen Auftragsverarbeitungsvertrag mit allen gesetzlichen Inhalten und beaufsichtigte den Dienstleister nicht ausreichend; Elevate verarbeitete unnötig viele Daten von Zulieferbeschäftigten, etwa Personalunterlagen, Lohn- und Arbeitszeitaufzeichnungen, und übertrug sie aus den Betrieben heraus. Die Behörde ordnete an, solche Aufträge nur mit schriftlichem Vertrag mit allen Pflichtangaben zu vergeben und den Dienstleister zu schulen und zu überwachen, und empfahl Datenminimierung; gegen Elevate erging eine eigene Anordnung.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 26(1) und (4)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Lebensmittel und Landwirtschaft

Beschäftigte

10.000 und mehr

Veröffentlicht

27.11.2025

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Angreifer infizierten im Januar 2025 den Arbeitsrechner eines Beschäftigten des Online-Stellenportals Incruit mit Schadsoftware, übernahmen dessen Datenbankzugang und leiteten bis Februar 2025 Daten aller 7.275.843 Mitglieder sowie 54.475 gespeicherte Lebensläufe, Anschreiben und Zeugniskopien ab (insgesamt 438 GB). Trotz auffälliger Datenbankzugriffe außerhalb der Geschäftszeiten bemerkte das Unternehmen den Abfluss erst durch eine Erpressungsnachricht; bereits im Juli 2023 war es wegen mangelhafter Zugriffskontrollen sanktioniert worden. Die Behörde verhängte ein Bußgeld (Penalty Surcharge) von 463.000.000 KRW und ordnete die Benennung eines fachkundigen Datenschutzbeauftragten sowie einen Plan zur Vermeidung weiterer Vorfälle und zur Unterstützung der Betroffenen an.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29; Sanktion nach Art. 64-2(1) Nr. 9

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Wiederholungsfall

ja

Mildernde Umstände

Minderung um 55 %, weil kein Vorteil erzielt wurde und das Unternehmen ein mittleres Unternehmen nach dem koreanischen KMU-Rahmengesetz ist, sowie um weitere 20 % wegen Kooperation, Abhilfe und Selbstregulierung; Erhöhung um 65 % wegen einer Verstoßdauer von über zwei Jahren und der Sanktion vom Juli 2023.

Haftung von Führungskräften

Angeordnet wurde, einen fachkundigen Datenschutzbeauftragten (CPO) neu zu benennen und seine Verantwortung klar festzulegen.

Veröffentlicht

23.10.2025

Originalbetrag 463.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 22.10.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Angreifer, die seit August 2021 Schadsoftware in Systemen der SK Telecom Co., Ltd. platziert hatten, entwendeten im April 2025 vom Home Subscriber Server 9,82 GB Daten zu rund 23 Mio. Teilnehmern, darunter USIM-Authentifizierungsschlüssel und IMSI. Die Behörde stellte fehlende Netztrennung und Zugangskontrollen, nicht sicher verschlüsselte Authentifizierungsdaten, unterlassene Sicherheitsupdates, eine unzureichende Aufstellung des Datenschutzbeauftragten und eine verspätete Benachrichtigung der Betroffenen fest. Sie verhängte ein Bußgeld (Penalty Surcharge) von 134.791.000.000 KRW und ein Verwaltungsbußgeld von 9.600.000 KRW (zusammen 134.800.600.000 KRW) sowie Anordnungen zu Sicherheit, Governance und Aufsicht über Dienstleister und Vertriebspartner.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29, Art. 31(1) und (3), Art. 34(1); Sanktion nach Art. 64-2(1) Nr. 9

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

ja

Mildernde Umstände

Minderung um 30 %, weil kein Vorteil erzielt wurde, und um weitere 50 % wegen abgeschlossener Abhilfe, Entschädigung der Betroffenen und Schutzbemühungen; Erhöhung um 50 % wegen einer Verstoßdauer von über zwei Jahren. Kooperation wurde wegen verzögerter Vorlage von Unterlagen nicht mildernd berücksichtigt.

Haftung von Führungskräften

Es fehlte ein Datenschutzbeauftragter (CPO) mit Gesamtverantwortung; angeordnet wurde, Verantwortung und Rolle des CPO klar festzulegen und die Governance neu aufzustellen.

Veröffentlicht

28.08.2025

Originalbetrag 134.800.600.000 KRW, umgerechnet zum EZB-Referenzkurs vom 27.08.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die Vertriebsstelle Incheon der Woori Card Co., Ltd. fragte von Juli 2022 bis April 2024 im Händlerverwaltungssystem Daten von mindestens 207.538 Inhabern von Akzeptanzstellen ab, darunter Resident Registration Numbers, und gab sie per Chat und E-Mail an Kartenvermittler weiter, die damit neue Kreditkarten bewarben; 74.692 der Betroffenen hatten nicht in Werbung eingewilligt. Die Behörde beanstandete zudem zu weit gefasste Zugriffsrechte und dass das Unternehmen trotz monatlich über 30 Mio. Abrufen und Downloads nicht eingriff, und verhängte ein Bußgeld (Penalty Surcharge) von 13.451.000.000 KRW. Angeordnet wurden eine Überprüfung der internen Kontrollen, Schulung und Aufsicht der Beschäftigten, minimierte Zugriffsrechte und regelmäßige Protokollkontrollen.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 18(1), Art. 24-2(1), Art. 29; Sanktion nach Art. 64-2(1) Nr. 1

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

Minderung um 50 % wegen einer ISMS-P-Zertifizierung; Erhöhung um 25 % wegen einer Verstoßdauer von rund einem Jahr und neun Monaten.

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

27.03.2025

Originalbetrag 13.451.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 26.03.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Kakaopay Corp. übermittelte 2018 dreimal Daten aller Nutzer und von Juni 2019 bis Mai 2024 täglich Daten von rund 40 Mio. Nutzern ohne Einwilligung an Alipay in Singapur, das damit für Apple einen Wert zur Wahrscheinlichkeit fehlender Deckung bei gebündelten App-Store-Zahlungen (NSF-Score) berechnete. Die Behörde wertete dies als unzulässige Übermittlung ins Ausland, verhängte ein Bußgeld (Penalty Surcharge) von 5.968.000.000 KRW und ordnete Abhilfe sowie die Veröffentlichung der Entscheidung auf der eigenen Website an. In getrennten Beschlüssen desselben Tages erhielt Apple ein Bußgeld von 2.405.000.000 KRW und ein Verwaltungsbußgeld von 2.200.000 KRW, Alipay die Anordnung, das Bewertungsmodell zu löschen.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 28-8(1); Sanktion nach Art. 64-2(1) Nr. 9

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

Minderung um 30 % wegen abgeschlossener Abhilfe, Kooperation und ISMS-P-Zertifizierung; Erhöhung um 50 % wegen einer Verstoßdauer von über zwei Jahren (Juni 2019 bis Mai 2024).

Veröffentlicht

23.01.2025

Originalbetrag 5.968.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 22.01.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Über einen für Komfortzwecke geöffneten Port zwischen internem und externem Netz drangen Angreifer in den E-Justiz-Server der National Court Administration ein und entwendeten 1.014 GB Prozessunterlagen; in den wiederhergestellten 4,7 GB fanden sich Daten von 17.998 Personen einschließlich Resident Registration Numbers. Die Behörde beanstandete unverschlüsselt gespeicherte Dokumente, unveränderte leicht zu erratende Initialpasswörter von Administratorkonten, fehlende Sicherheitssoftware auf einem Server und eine Meldung erst im Dezember 2023, obwohl Hinweise auf den Abfluss seit April 2023 vorlagen. Sie verhängte ein Bußgeld (Penalty Surcharge) von 207.000.000 KRW und ein Verwaltungsbußgeld von 6.000.000 KRW (zusammen 213.000.000 KRW), empfahl Disziplinarmaßnahmen und Verbesserungen und veröffentlicht die Verhängung des Verwaltungsbußgelds ein Jahr lang auf ihrer Website.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 24(3), Art. 24-2(2), Art. 29, Art. 34(1) und (3); Sanktion nach Art. 34-2 a. F.

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Verschulden

fahrlässig

Mildernde Umstände

Nach einer Erhöhung um 20 % wurde der Betrag um 25 % gemindert; berücksichtigt wurden dabei Schutzbemühungen wie eine ISMS-Zertifizierung (2020–2023).

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

09.01.2025

Originalbetrag 213.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 08.01.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Hyundai Marine & Fire Insurance zeigte Nutzern seines Online-Prämienrechners für Kfz-Versicherungen, die eine Einwilligung in Produktwerbung abgelehnt hatten, ein erneutes Pop-up, vertauschte im Juli 2022 die Wirkung von dessen Schaltflächen und nannte darin weder die Datenverarbeitung noch die Pflichtangaben; die so erlangten Zustimmungen waren unwirksam, und andere Versicherer übernahmen das Muster. Die Behörde verhängte ein Bußgeld (Penalty Surcharge) von 6.198.000.000 KRW und ordnete eine rechtmäßige Einwilligung, die Löschung von Daten aus abgebrochenen Prämienberechnungen sowie stärkere interne Kontrollen und eigenständige Befugnisse für den Datenschutzbeauftragten an. In derselben Sitzung wurden elf weitere Direktversicherer sanktioniert, darunter AXA General Insurance (2.715.000.000 KRW) und Hana Insurance (273.000.000 KRW). Betrag und Sachverhalt sind nicht an der Primärseite bestätigt.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법, frühere Fassung) Art. 39-3(1), Art. 31(2), Art. 21(1); Sanktion nach Art. 39-15(1) Nr. 6 a. F.

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Wiederholungsfall

nein

Mildernde Umstände

Minderung um 50 %, weil in den drei Jahren zuvor keine Geldbuße verhängt worden war, um weitere 30 % u. a. wegen Kooperation in der Untersuchung und abschließend um 40 % nach Beratung der Kommission; Erhöhung um 25 % wegen einer Verstoßdauer von Juli 2022 bis September 2023.

Haftung von Führungskräften

Marketing und Direktvertrieb konnten die Einwilligungsstrecke ohne jede Beteiligung des Datenschutzbeauftragten (CPO) gestalten; die Behörde stellte einen Verstoß gegen Art. 31(2) a. F. fest und ordnete an, dem CPO unabhängige Befugnisse zu geben.

Veröffentlicht

12.12.2024

Originalbetrag 6.198.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 11.12.2024.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Meta Platforms, Inc. erhob über Facebook-Profile und das Nutzungsverhalten sensible Merkmale von rund 980.000 Nutzern in Korea – etwa Religion, politische Haltung oder gleichgeschlechtliche Ehe – und stellte daraus gebildete Werbethemen rund 4.000 Werbetreibenden zur Verfügung, ohne eine gesonderte Einwilligung einzuholen. Zudem lehnte Meta Auskunftsersuchen ohne berechtigten Grund ab und ließ eine nicht mehr genutzte Seite zur Kontowiederherstellung online, über die mit gefälschten Ausweisen Passwörter zurückgesetzt und Daten von zehn Nutzern abgegriffen wurden. Die Behörde verhängte ein Bußgeld (Penalty Surcharge) von 21.613.000.000 KRW und ein Verwaltungsbußgeld von 10.200.000 KRW (zusammen 21.623.200.000 KRW) sowie Abhilfeanordnungen.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법, frühere Fassung) Art. 23(1), Art. 29, Art. 35(3)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Beschäftigte

10.000 und mehr

Veröffentlicht

05.11.2024

Originalbetrag 21.623.200.000 KRW, umgerechnet zum EZB-Referenzkurs vom 04.11.2024.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink