韓国の改正個人情報保護法は2026年9月11日に施行され、重大な違反に対して総収益の最大10％の罰金を科せるようになる。対象には、故意または重大な過失による、1000万人超に影響する事故、3年以内の再犯、是正命令後に発生した情報漏えいなどが含まれる。再犯加算金は、1回目の再犯で20％、2回目で40％、3回目以降で80％に引き上げられる。一方、速やかな報告・通知や被害の封じ込めを怠った場合は、最大30％が追加される可能性がある。企業は、データ保護予算、人員、施設、設備、ガバナンスへの継続的な投資に加え、早期検知、速やかな通知、被害抑制策を講じることで、最大40％の減額を受けられる。改正制度は最高経営責任者（CEO）の最終責任を明確にし、個人情報保護責任者（CPO）の権限を拡大する。また、一定規模以上のデータ処理事業者に対し、取締役会による承認と、CPOの任命、変更、解任の届け出を義務付ける。不正アクセスなどにより情報漏えいの可能性が極めて高い場合は、漏えいが確認される前であっても、72時間以内に通知することを求める。さらに、個人情報の偽造、改変、破壊も報告・通知義務の対象に加える。CPO要件の猶予期間は2027年12月31日までで、重要なデータ処理事業者に対するISMS-P認証の義務化は2027年7月1日に始まる。