Crittografia obbligatoria in Corea: i dati che devi cifrare per legge (e cosa cambia per la privacy)

La Corea del Sud dice basta: dati sensibili sotto chiave

Se pensavi che la crittografia fosse solo una buona pratica, in Corea del Sud è legge. Dal 2023, il Personal Information Protection Act (PIPA) obbliga a cifrare specifiche categorie di dati personali. Non farlo? Multe salate e danni reputazionali. Ma quali dati esattamente? E come fare per essere compliant? Te lo spiego senza giri di parole.

Featured Snippet Bait: In Corea del Sud, la legge PIPA richiede la crittografia obbligatoria per dati biometrici, genetici, informazioni sulla salute, numeri di identificazione personale (es. resident registration number), dati finanziari e credenziali di accesso. La violazione comporta sanzioni fino a 50 milioni di KRW (circa 35.000 EUR) e potenziali azioni penali.

Quali dati devono essere cifrati per legge?

Il PIPA, aggiornato con il Decreto di Attuazione, elenca tassativamente i dati che richiedono la crittografia. Eccoli:

• Dati biometrici: impronte digitali, riconoscimento facciale, scansione dell'iride.
• Dati genetici: sequenze di DNA, campioni biologici.
• Informazioni sulla salute: cartelle cliniche, prescrizioni, dati assicurativi sanitari.
• Numeri di identificazione personale: il Resident Registration Number (RRN), equivalente al codice fiscale, e altri ID governativi.
• Dati finanziari: numeri di conto corrente, carte di credito, dettagli di transazioni.
• Credenziali di accesso: password, PIN, token di autenticazione.

La lista è simile a quella del GDPR, ma con alcune peculiarità coreane, come l'obbligo di cifrare il RRN anche quando è archiviato in forma pseudonimizzata.

Come adeguarsi: crittografia end-to-end e non solo

La legge non specifica un algoritmo, ma richiede che la crittografia sia 'forte' (almeno AES-256 o equivalente). Inoltre, i dati devono essere cifrati sia in transito (TLS 1.2+) che a riposo. Un consiglio da amico: non limitarti al minimo. Implementa una strategia di data classification e usa chiavi gestite da un HSM (Hardware Security Module). Se sei un'azienda che opera in Corea, preparati a audit periodici.

E se pensi che sia noioso come leggere i Termini e Condizioni, ti capisco. Ma fidati: è molto meno doloroso di una multa.

Sanzioni e conseguenze

Le sanzioni amministrative arrivano fino a 50 milioni di KRW (circa 35.000 EUR) per violazione dell'obbligo di crittografia. Ma il danno reputazionale può essere ben più grave. Inoltre, in caso di data breach, la mancata crittografia è considerata aggravante e può portare a azioni penali per i responsabili. Insomma, meglio non scherzare.

Per approfondire, consulta il testo ufficiale del PIPA sul sito governativo coreano.

FAQ