English version: /en/decisions/aliexpress-2024/

要点。 2024年7月24日，韩国个人信息保护委员会（PIPC）对Alibaba.com Singapore E-Commerce Private Limited（以下简称“AliExpress”）作出第2024-013-192号决定，处以课征金（韩文“과징금”，以相关销售额为基础计算的行政金钱制裁；中文报道多称“罚款”）19亿7800万韩元（1,978,000,000韩元），以及行政罚款（韩文“과태료”，按违法行为类型规定基准金额、可加重或减轻）780万韩元（7,800,000韩元），并作出纠正命令（即责令改正）和改善建议。课征金的依据是韩国《个人信息保护法》（PIPA）第28条之8第1款：用户注册时勾选了“同意境外转移（必选）”，但PIPC未发现AliExpress在用户购买时告知转移国家和接收个人信息的卖家。PIPC认定，缺少国家、接收方及其联系方式的同意不构成同意。行政罚款的依据是第28条之8第4款，理由是卖家条款中没有反映法定的保护措施。在课征金计算中，PIPC以违法期间超过两年为由加重50%，以未提交全部销售额资料为由加重20%，又以在事先通知的意见期限届满前完成纠正为由减轻30%。

下文逐项介绍四项违法行为：先介绍事实和PIPC的判断，AliExpress提出异议的，再介绍其主张和PIPC的答复；之后介绍课征金和行政罚款的计算。

公开的决定书遮蔽了被处分公司的名称。PIPC于2024年7月25日发布的新闻稿载明了该公司名称，并将其简称为“알리익스프레스”（AliExpress），本文沿用这一称呼。决定书还遮蔽了其他名称和数字，包括国内代理人的名称、特定期间内接收个人信息的卖家数量，以及课征金计算中的全部中间金额，本文亦不提供。文中引用的决定书内容均由笔者直接译自韩文原文，并标注“本文译文”；引文中的公司名为笔者按原文所指写入（原文作“피심인”）。

一、决定内容

据新闻稿，PIPC于2024年7月24日召开2024年第13次全体会议，审议决定了本案。

决定书将AliExpress描述为自2016年7月起向韩国用户提供电子商务服务、处理个人信息的个人信息处理者。PIPC启动调查的背景是，海外直购服务快速增长，引发了对个人信息侵害的担忧。AliExpress收集的韩国用户个人信息包括姓名、地址、电子邮箱、个人通关固有编号和支付信息等。决定书将该服务描述为典型的开放市场（open market）：用户购买商品后，AliExpress将用户的个人信息提供给卖家，由卖家发货。决定书的一处脚注说明，卖家可以在90日内访问这些个人信息，或者通过卖家工具长期保存和使用。

决定书认定的事实及相应处理如下。

条款PIPC的认定决定书中的处理
第28条之8第1款（境外转移，即跨境传输）未告知法定事项并取得单独同意，即向境外卖家提供个人信息课征金19亿7800万韩元
第28条之8第4款（境外转移时的保护措施）未针对境外卖家采取该法要求的保护措施，也未反映到与卖家签订的条款中行政罚款780万韩元；纠正命令（가）
第31条之2第3款（在个人信息处理方针中公开国内代理人）截至2024年4月4日仍未在个人信息处理方针（即隐私政策）中公开新指定的国内代理人；4月5日公开后仍遗漏该法人代表人的姓名决定书未就该项单独处以行政罚款或作出命令；改善建议（나）涉及国内代理人
第38条第4款（权利行使的方法）注销会员比注册更难纠正命令（나）

新闻稿将国内代理人一项列为违反第31条之2第1款，决定书正文适用的是第31条之2第3款。本文以决定书为准。

决定书适用的是自2024年3月15日起施行的《个人信息保护法》（第19234号法律）和《个人信息保护法施行令》（第34309号总统令）。PIPC于2024年6月5日向AliExpress发出拟作处分的事先通知书，AliExpress于2024年6月26日提交了意见。

PIPC的决定书公告栏将本决定列在调查编号2024조일0013之下。此后针对Temu运营方Whaleco Technology Limited作出的第2024-013-193号决定（2025年5月14日）也带有同一调查编号。PIPC在2024年7月25日的新闻稿中说明，Temu一案将在补充确认事实、要求补交资料之后再行审议决定。该决定的解读见Temu运营方被处8亿7900万韩元课征金。

二、各项违法行为的事实与PIPC的判断

（一）未具备合法依据即向境外转移个人信息（第28条之8第1款）

事实。 韩国用户购买商品时，AliExpress将该用户的个人信息提供给境外卖家。决定书记载，在2023年10月1日至12月31日的三个月间，AliExpress将韩国用户的个人信息提供给了若干中国卖家和卖家工具服务商，两者的数量均被遮蔽。所提供的信息不限于配送所需的地址，还包括银行账户信息、银行卡号、现金收据信息等支付信息。按照AliExpress全球卖家中心登记的国家，个人信息可能被转移至中国、西班牙、意大利、土耳其、巴西五个国家；决定书认定，目前只向中国转移。

同意的方式如下。用户注册时须勾选“同意境外转移（必选）”，点击该项后显示的是个人信息处理方针全文。用户即使下拉至“向第三方提供个人信息”部分查看卖家名单，也只能看到有限数量的中国卖家（具体数量被遮蔽），接收方所在地一栏只写着“全世界”。决定书未发现AliExpress在个人信息实际被转移的购买环节，向用户告知第28条之8第2款规定的事项并取得同意。决定书脚注对这些法定告知事项的概括是：转移的个人信息项目；转移的国家、时间和方法；接收方的名称；接收方的使用目的和保存、使用期间；拒绝转移的方法、程序及其后果。PIPC在判断部分还特别指出，转移国家、接收方以及接收方的联系方式是告知的核心。

在调查过程中，AliExpress于2024年4月12日删除了注册环节的勾选步骤，并在购买流程中增加了境外第三方提供的同意事项，列明转移国家、卖家名称和联系方式等，再由用户同意。

PIPC的判断。 PIPC指出，AliExpress的个人信息大多提供给中国卖家，因此除了取得信息主体关于境外转移的单独同意之外，第28条之8第1款规定的其他合法依据均不适用。然而，AliExpress除了注册时的勾选项之外，没有设置任何单独的同意程序。其个人信息处理方针将转移国家写为“全世界”，没有写明拒绝转移的方法、程序和后果，并漏列了95%以上的卖家。决定书脚注给出了具体数字：个人信息被提供给至少18万家卖家，处理方针只公开了8000余家。PIPC还援引其2020年12月发布的《网上个人信息处理指南》：注册阶段无法确定接收方的，应当在实际购买或支付阶段写明接收方并取得同意。PIPC据此认定，在转移国家和接收方得以确定的购买环节，AliExpress未告知法定事项、未取得单独同意，违反了第28条之8第1款。

AliExpress的主张。 AliExpress主张，其只是遗漏了部分法定告知事项，即国家和联系方式两项，这不构成课处课征金的事由。AliExpress还主张，用户可以在购买页面的商家信息中查到遗漏的事项；而且鉴于中介服务的性质，用户可以预见其个人信息会被提供给卖家。

PIPC的答复。 PIPC分三层驳回了该主张。

第一，PIPC将法定告知事项视为同意的组成部分。该法原则上禁止个人信息的境外转移，只在取得信息主体同意等特定条件下才予以允许。PIPC认为，此时的同意必须在充分告知法定事项之后取得，是实质性的同意。PIPC指出，第28条之8第2款的法定告知事项并非独立适用，而是附随并结合于同意等要件，是判断其是否合法的主要因素；如果应告知的事项未充分告知，以致不能认为已经取得同意，就构成违反同意义务，属于课征金的课处对象。决定书的脚注引用PIPC的修订法指南，表达了同样的立场。

第二，PIPC认为，AliExpress遗漏的恰恰是告知的核心内容。正如AliExpress自己承认的，处理方针遗漏了转移国家和接收方的联系方式，接收方的名称也大多缺失。决定书写道：

「未载明作为境外转移核心的国家、联系方式和接收方，使该告知本身流于形式」（本文译文） 韩文原文：「국외이전의 핵심(요체)인 국가와 연락처, 이전받는 자를 포함하지 않은 것은 해당 고지 자체를 형해화한 것이다」

第三，PIPC不接受“用户可以通过其他途径查到”或“用户可以预见”的主张。告知法定事项并取得同意，是个人信息处理者的义务。韩国国内的开放市场都在购买阶段另行取得提供同意。一般的韩国用户在注册时勾选“同意境外转移（必选）”，只会预期这涵盖处理方针所列的、注册时发生的境外转移事项，例如营销分析、翻译、托管和垃圾信息检测；对于与购买相关的“订单信息”，用户会期待另行征求同意。PIPC还指出两点：AliExpress在韩国设有营业场所，设有韩国人专用页面，并通过韩国媒体大量宣传，用户有可能把它当作韩国公司；即便同属电商，也有经营者自行采购商品并自行发货等多种形态。基于这些理由，PIPC不认为信息主体能够预见其个人信息会被转移到境外。

（二）境外转移个人信息却未采取保护措施（第28条之8第4款）

法律规定。 第28条之8第4款规定，个人信息处理者依第1款各项向境外转移个人信息的，应遵守该法相关规定，并采取总统令规定的保护措施。《个人信息保护法施行令》第29条之10第1款列出的保护措施是：依施行令第30条第1款采取的安全性保障措施；针对个人信息侵害的投诉处理和纠纷解决措施；以及为保护信息主体个人信息所需的其他措施。施行令第29条之10第2款要求个人信息处理者事先就上述事项与接收方协商，并反映到合同等之中。

事实。 决定书未发现AliExpress为使卖家遵守该法而采取任何措施。AliExpress没有采取安全性保障措施、投诉处理和纠纷解决措施，也没有采取其他经营者通常采取的保护措施，与境外卖家签订的条款中同样没有反映。卖家查阅买家个人信息时，AliExpress除账号和密码之外，也没有采取确认登录者确为获得正当授权的卖家的措施。PIPC将这一点与卖家账号被盗用、买家个人信息被泄露的风险联系起来。

AliExpress以卖家条款和另外的文件来说明其保护措施。卖家条款是卖家注册时须通过链接查看并勾选的Free Membership Agreement；另外的文件是一份关于公开他人信息和恶意骚扰的规则。据决定书脚注，这份规则在卖家注册时并不显示。PIPC认定，卖家条款中找不到相关内容，另外的文件也只写了禁止擅自公开、传送买家个人信息。AliExpress还称，其于2024年5月24日通过卖家专用网站，要求入驻卖家严格遵守相关法律法规，并采取必要的安全性保障措施。

PIPC的判断。 PIPC指出，个人信息被转移到境外后可能脱离该法的适用范围，因此尤其需要采取措施，防止接收方滥用个人信息。PIPC提到，境外卖家实际上存在两类行为：以低价登记商品、只收集个人信息而不实际发货；以及利用个人信息下单、寄送毫无价值的商品以虚增业绩的所谓刷单诈骗（brushing scam）。韩国国内经营者向国内卖家提供个人信息时，通常会约定“禁止目的外使用”“目的达成后销毁”等，而AliExpress不但没有采取这些措施，连法令要求反映的最低限度措施也没有采取。PIPC据此认定AliExpress违反了第28条之8第4款。

AliExpress的主张与PIPC的答复。 AliExpress主张，其已将用户个人信息保护的内容纳入与境外卖家的合同等之中；仅凭卖家只用账号和密码即可登录卖家系统这一点，难以认定其违反了安全性保障措施义务。PIPC答复称，韩国国内经营者向国内卖家提供个人信息时，通常会制定“禁止目的外使用”“目的达成后销毁”等条款，有的还另行开展培训；卖家登录系统时，除账号和密码之外还会采用安全的认证手段。AliExpress与卖家签订的条款中没有这些内容，而且是在PIPC调查过程中才开始向卖家说明相关保护措施。PIPC没有采纳该主张。

（三）未完整公开国内代理人（第31条之2第3款）

第31条之2第3款第1项要求，个人信息处理者指定韩国国内代理人的，应在个人信息处理方针中写明国内代理人的姓名；国内代理人为法人的，写明法人名称及其代表人的姓名。

AliExpress于2023年8月29日将原国内代理人更换为新的法人，但没有在个人信息处理方针中公开变更后的国内代理人。2024年4月5日，AliExpress在调查过程中修订处理方针，公开了新的国内代理人，但仍未公开其代表人的姓名。决定书遮蔽了新旧两个国内代理人的名称。PIPC认定，直至2024年4月4日未公开国内代理人，以及未公开该法人代表人姓名的行为，违反了第31条之2第3款。

（四）注销会员比注册更难（第38条第4款）

第38条第4款要求个人信息处理者制定信息主体提出查阅等请求的具体方法和程序并予以公开，且该方法和程序不得比收集该个人信息的方法和程序更难。

用户注册时只需输入电子邮箱地址或手机号码，或者通过谷歌、KakaoTalk、Naver、Facebook、Apple等快捷登录即可完成。注销会员则须依次经过“首页→账户→设置→编辑个人资料→Deactive Account→Delete Your Account→输入agree→输入电子邮件验证码”。“Deactive Account”链接位于“编辑个人资料”页面上方，点击后才能进入注销页面，而该页面默认以英文显示。

AliExpress主张，其注销程序并不比注册程序复杂，与其他经营者相比也简便得多，请求PIPC重新考虑纠正命令。PIPC未采纳。PIPC认为，用户通常把“编辑个人资料”理解为修改自己所填信息的页面，很难凭直觉找到注销入口；即使进入该页面，也要点击“Deactive Account”、阅读英文并输入“agree”。PIPC据此认定注销程序明显比注册程序复杂，违反了第38条第4款。

三、课征金的计算过程

课征金仅针对第28条之8第1款的违法行为课处，依据为《个人信息保护法》第64条之2第1款第7项、《个人信息保护法施行令》第60条之2及附表1之5，以及《关于违反个人信息保护法规的课征金课征标准》（PIPC告示第2023-3号，2023年9月15日施行；韩文原名「개인정보보호 법규 위반에 대한 과징금 부과기준」，以下简称“课征金告示”）。

决定书以人民币记载各中间金额，公开文本中均已遮蔽。决定书按销售额计算期间的平均汇率将最终金额换算为韩元。

步骤决定书适用的内容公开文本中的金额
上限违法行为所在营业年度之前三个营业年度的年均销售额的3%（法第64条之2第1款；施行令第60条之2）未载明
违法程度综合考虑下表所列四项因素后，认定为「重大违法行为」（告示第8条第1款及附表）无
相关销售额（与违法行为相关的销售额）前三个营业年度的年均全部销售额，扣除未确认与违法行为相关的某项服务（名称被遮蔽）的销售额，以及与业务开发和营销投资相关的销售额（告示第7条第3款）已遮蔽
基准金额相关销售额 × 重大违法行为的课征基准率万分之150（1.5%）已遮蔽
第一次调整加重基准金额的50%：违法期间超过两年，属于“长期违法行为”（告示第9条）已遮蔽
第二次调整：加重加重第一次调整后金额的20%：未提交PIPC依法第63条第1款要求的全部销售额资料，认定为妨碍调查（告示第10条）已遮蔽
第二次调整：减轻减轻第一次调整后金额的30%：在事先通知及意见提交期间届满前完成纠正（告示第10条）已遮蔽
最终课征金1亿韩元以上的，舍去100万韩元以下部分（告示第11条第5款）19亿7800万韩元（1,978,000,000韩元）

PIPC综合以下四项因素认定违法程度。

因素等级PIPC的理由
故意或过失中AliExpress以营利为目的积极进入韩国市场，却长期未审查、遵守基本规定，PIPC认为存在重大过失；同时考虑到其在注册页面设置了境外转移同意勾选项等可以斟酌的情节。
违法行为的方法中AliExpress向至少18万家境外卖家提供个人信息，既未遵守同意程序，也未采取保护措施，PIPC认为不当性显著；同时考虑到为提供服务而必须转移的一面。
所处理个人信息的类型低所涉个人信息不包括居民登记号码等固有识别信息、敏感信息或认证信息。
信息主体受害规模及所受影响中违法行为持续约7年9个月；PIPC同样考虑到为提供服务而必须转移的一面。

妨碍调查这一加重事由值得细读。决定书写明，AliExpress未提交全部销售额资料，属于妨碍调查，「本应加重第一次调整后金额的30%」（本文译文）。PIPC考虑到AliExpress出席委员会、积极说明理由并表示悔意，实际只加重了20%。

第二次调整中的加重和减轻，都以同一个金额即第一次调整后的金额为基数。两者合计，第二次调整相当于对第一次调整后的金额净减轻10%。

关于上述各步骤的一般说明，可参阅韩国个人信息保护处罚的计算方法（英文）。

四、行政罚款

行政罚款针对第28条之8第4款的违法行为课处，依据为《个人信息保护法》第75条第2款第14项、《个人信息保护法施行令》第63条及附表2，以及PIPC的《违反个人信息保护法的行政罚款课征标准》（PIPC指针，2023年9月15日施行；韩文原名「개인정보 보호법 위반에 대한 과태료 부과기준」）。

AliExpress在最近三年内未因同类违法行为受过行政罚款处分，因此PIPC以首次违反的600万韩元作为基准金额。由于违法期间超过两年，PIPC依该标准第8条将基准金额加重30%。PIPC认定不存在减轻事由。行政罚款合计780万韩元。

五、纠正命令、改善建议与公布

PIPC依据《个人信息保护法》第64条第1款作出三项纠正命令（决定书原文依次标为가、나、다，下文沿用）。

  • （가）遵守该法有关境外转移的规定，建立并实施该法要求的措施，以防止境外卖家等滥用个人信息并应对侵害，并将其反映到合同等之中。
  • （나）制定使信息主体能够方便行使包括注销会员在内的各项权利的具体方法和程序，并予以公开，使信息主体能够知悉。
  • （다）自收到处分通知之日起90日内提交（가）（나）两项的履行结果。

PIPC还依据第61条第2款提出四项改善建议。

  • （가）尽可能透明、易懂地向信息主体公开个人信息的处理流程，发生变动时及时更新。
  • （나）不应止于完成国内代理人的指定，而应为保护个人信息作出实际运营上的努力；尤其应制定并实施处理个人信息相关投诉、救济损害的具体方案。
  • （다）按照该法的原则尽量减少收集的个人信息，参加韩国国内电商企业正在运行的政府与民间合作自律规约，或提供与之相当水平的个人信息保护。
  • （라）与PIPC协商履行（가）至（다）项，并自收到改善建议通知之日起90日内提交履行结果及计划。

PIPC未对AliExpress作出公布处分结果的命令。PIPC认为，本案符合其公布指针所列的一项事由，即违法状态超过三年；但综合考虑AliExpress已自行纠正境外转移违法行为、可以期待其遵守法律等因素，决定不作出公布命令。

决定书还写明了救济途径：对纠正命令和课征金处分不服的，可以在收到处分之日起90日内依韩国行政审判程序（행정심판）提出审判请求，或提起行政诉讼；对行政罚款处分不服的，可以在60日内以书面形式向PIPC提出异议。

六、启示

1. 本决定将开放市场的境外转移同意，定位在接收方得以确定的环节。 AliExpress在注册环节、即尚无法确定任何卖家时取得同意。PIPC将转移国家、接收方及其联系方式视为告知的核心，缺少这些内容的同意即视为未取得同意，并据此课处课征金。这一点适用于像本案这样以单独同意作为境外转移依据的情形。以单独同意为依据的集团，宜核查用户流程中每一个境外接收方在哪一步骤得以确定，以及是否在该步骤告知法定事项并取得同意。

2. 第28条之8第4款的保护措施，是在卖家条款中审查的。 PIPC在与境外卖家签订的条款中寻找保护措施，没有认可“禁止公开买家个人信息”这类一般性规定已经足够。PIPC将AliExpress的条款与韩国国内经营者通常采取的做法相比较，例如禁止目的外使用、目的达成后销毁的条款，以及账号密码之外的卖家认证手段。调查期间向卖家发出的通知，并未改变PIPC的认定。

3. 妨碍调查的加重与完成纠正的减轻，是两项不同的调整事由。 AliExpress未提交全部销售额资料，PIPC以妨碍调查为由加重20%；AliExpress又在意见期限届满前完成纠正，PIPC减轻30%。PIPC之所以把妨碍调查的加重幅度从其所称应适用的30%降为20%，是因为AliExpress出席并作了说明。在其他调查中这些因素如何权衡，取决于具体事实，需要结合个案判断。

相关阅读

常见问题

AliExpress案中，注册时勾选“同意境外转移（必选）”，是否构成《个人信息保护法》第28条之8第1款规定的同意？

不构成。用户点击该同意项后显示的是个人信息处理方针全文。PIPC认定，处理方针将接收方所在地写为“全世界”，接收个人信息的卖家也只公开了很小一部分。PIPC认为，第28条之8第2款规定的法定告知事项是判断同意是否有效的要素；缺少转移国家、接收方及其联系方式的，视为未取得同意。PIPC还援引其2020年12月发布的网上个人信息处理指南：注册阶段无法确定接收方的，应当在实际购买或支付阶段写明接收方并取得同意。

AliExpress案中，课征金为何以妨碍调查为由加重，加重了多少？

PIPC依据《个人信息保护法》第63条第1款要求该公司提交全部销售额资料，该公司未提交。PIPC将此认定为妨碍调查，并表示本应加重30%；但考虑到该公司出席委员会、积极说明理由并表示悔意，实际加重20%。在同一第二次调整步骤中，由于该公司在事先通知及意见提交期间届满前已完成纠正，PIPC又减轻30%。两个百分比均以第一次调整后的金额为基数。

AliExpress未在与境外卖家的条款中反映保护措施，受到了什么处理？

PIPC依据《个人信息保护法》第75条第2款第14项处以行政罚款780万韩元，并作出纠正命令（가）。行政罚款以首次违反的600万韩元为基准金额，因违法期间超过两年加重30%，PIPC认定无减轻事由。纠正命令（가）要求该公司建立并实施该法要求的措施，防止境外卖家等滥用个人信息，并将其反映到合同等之中。

本文为面向韩国境外读者、就一份已公开决定书所作的韩国法一般性说明，不构成法律意见。任何调查的结果均取决于其具体事实，需要个别审查。被处分公司的名称取自PIPC于2024年7月25日发布的新闻稿。其他实体名称、2023年10月至12月的卖家数量、销售额及中间计算金额在公开的决定书中均已遮蔽，本文亦不提供。文中韩国法律、规章及决定书内容的中文表述均为非官方译文，以韩文原文为准。

作者：李炫燮（Hyunsub Lee），韩国律师，法务法人SEUM（세움），首尔（律师简介，页面默认为韩文，可点击右上角ENG切换为英文）。

译文说明：中文版依据决定书韩文原文撰写，所载事实与数字与英文版一致；如有歧义，以决定书韩文原文为准。