要点。 2025年4月23日，韩国个人信息保护委员会（PIPC）就其对Hangzhou DeepSeek Artificial Intelligence Co., Ltd.（以下简称“DeepSeek”）开展的事前状况检查（韩文“사전 실태점검”，《个人信息保护法》第63条之2）作出第2025-009-026号决定。处理结果是依韩国《个人信息保护法》（PIPA，以下简称“该法”）第63条之2第2款提出的纠正建议（韩文“시정권고”），以及依第61条提出的改善建议。这并不是处罚：决定书既未处以课征金（韩文“과징금”，以相关销售额为基础计算的行政金钱制裁；中文报道多称“罚款”），也未处以行政罚款（韩文“과태료”，按违法行为类型规定基准金额、可加重或减轻）。PIPC明确认定了两项违法行为，分别是违反第28条之8第1款的境外转移（跨境传输）规定，以及违反第30条第1款及第2款的个人信息处理方针（即隐私政策）规定。关于利用用户提示词进行训练，PIPC指出删除标识符并不能使提示词脱离该法的适用范围，预处理本身也属于对个人信息的利用，但最终选择提出建议，而没有作出违法认定。DeepSeek共提出四项主张，PIPC驳回了其中两项，对另外两项部分予以接受。
下文集中解读决定书中题为「对DeepSeek主张的审查」（本文译文）的一节。在该节中，DeepSeek就每个争点陈述了自己的立场，PIPC则逐项作出答复。本文将该节与此前的检查结果部分结合起来阅读。
文中引用的决定书内容均由笔者直接译自韩文原文，属于非官方译文；引文中的公司名为笔者按原文所指写入（原文作“피심인”）。决定书韩文原文见PIPC的决定书公告栏，本文的英文版见这里。
一、本案属于何种程序
多家媒体报道DeepSeek服务存在过度收集个人信息、向第三方提供个人信息等问题。PIPC据此依该法第63条之2启动了事前状况检查。本案检查以建议而非处分告终。依决定书的说明，DeepSeek不接受纠正建议或未予履行的，PIPC可以依第63条第2款进行检查。
PIPC的检查依据三类材料。第一类是DeepSeek公开的文件，包括个人信息处理方针和使用条款。第二类是DeepSeek针对PIPC资料提交要求所作的书面答复。第三类是PIPC自行对DeepSeek网站和应用程序所作的技术分析。
本决定适用的是经第19234号法律修订、自2024年3月15日起施行的《个人信息保护法》。
（一）为何适用韩国法
DeepSeek的个人信息处理方针和使用条款都没有写明服务地域。PIPC仍认定该法适用，理由有四点：DeepSeek在韩国应用市场上架了服务，以韩语提供服务，使用韩语数据进行了训练，而且韩国用户数量确实出现了激增。决定书的脚注记载，截至2025年1月30日，该应用在韩国的苹果和谷歌应用市场排名第一。
根据决定书，DeepSeek于2025年1月15日在韩国应用市场上线该服务。截至2025年2月15日，DeepSeek从韩国用户处收集了账户信息、提示词等输入内容、用户咨询、设备及网络信息、日志、位置信息和Cookie等个人信息。DeepSeek将这些信息用于提供服务和AI训练等目的，并存储在其自建的、位于中国的服务器上。
（二）PIPC提出了哪些建议
纠正建议包括以下两项内容，DeepSeek应在收到通知之日起60日内报告履行结果：
- 为个人信息的境外转移建立合法依据，并销毁无必要转移的个人信息；
- 公开包含该法所规定事项的韩文个人信息处理方针，并持续确保服务的透明度。
改善建议包括以下四项内容，DeepSeek应在收到通知之日起60日内报告履行结果及计划：
- 制定强化的个人信息保护措施，例如将韩国互联网振兴院（KISA）提供的、含有居民登记号码等个人信息的URL排除在训练数据之外；
- 核查是否收集了儿童个人信息，并采取销毁等适当措施；
- 全面检查个人信息处理系统并修补漏洞；
- 指定国内代理人，以履行上述建议、遵守该法并保护韩国信息主体的权利。
决定书的末尾说明了后续程序。依第63条之2第3款，收到纠正建议的一方应当在收到通知之日起10日内告知PIPC是否接受该建议。10日内未作通知的，视为不接受。一方不接受建议，或者接受后未予履行的，PIPC可以依第63条第2款进行检查。
作为参照，该法下的金钱制裁有两种：课征金和行政罚款（见上文“要点”中的释义）。本决定对DeepSeek两者均未适用。
二、四项主张与PIPC的答复
| 争点 | DeepSeek的主张 | PIPC的答复 | 落点 |
|---|---|---|---|
| 个人信息处理方针 | 已于2025年3月28日提交涵盖法定事项的韩文方针，且原有方针已涵盖主要事项 | 不予接受。方针须以韩文撰写并以韩国法为基础；缺漏事项构成违反第30条第1款及第2款 | 纠正建议第2项 |
| 境外转移 | 新的韩文方针已详细载明转移事项；自2025年4月10日起不再向SDK接收方发送提示词输入信息；SDK提供方处理数据是为了服务稳定和功能改进，而非营销 | 部分接受。处理故障及改进UI/UX的目的、DeepSeek对数据的控制权已有部分说明。对照「服务改善」目的，发送提示词输入信息的必要性不明确；已发送的输入信息需采取销毁等措施 | 认定违反第28条之8第1款；纠正建议第1项 |
| 以提示词进行训练 | 去标识化后的提示词不是个人信息；即使是，也可适用「为履行合同所必需」；2025年3月17日上线opt-out功能后，正当利益明显优先 | 不接受其理由。提示词在DeepSeek手中仍可识别，预处理属于利用，「为履行合同所必需」不适用。PIPC选择不对违法性作出判断 | 改善建议第1项 |
| 安全措施 | 暴露的数据库只有测试数据；目录暴露只显示公开信息；没有用户数据泄露；已采取其他保护措施 | 部分接受。基本安全措施有欠缺，但因与泄露没有直接关联，仅凭这些事实难以认定违法 | 改善建议第3项 |
（一）个人信息处理方针：韩文方针应依韩国法撰写
DeepSeek以中文和英文公开其个人信息处理方针。根据决定书，英文版缺少第30条要求的若干事项，包括个人信息的销毁程序和方法，以及个人信息保护负责人的姓名和联系方式。DeepSeek原本没有单独的韩文方针，是在检查期间才起草了一份，并于2025年3月28日提交。
DeepSeek请求PIPC考虑这份草案，并主张原有方针已经涵盖该法规定的主要事项。PIPC没有接受这一主张。PIPC在决定书中先提出一般标准，重申了其面向境外经营者的指南中的立场：适用该法的服务，其处理方针应当以韩文撰写，使任何韩国信息主体都能容易了解；并且应当「依照《个人信息保护法》规定的内容制定并公开，而不是简单翻译以其他国家法律等为前提制定的处理方针」（本文译文）。
PIPC认定DeepSeek违反了第30条第1款及第2款，且不符合第3条第5款。检查期间提交的草案并没有改变这一认定。对其他服务而言，实务上的要点在于：韩文方针应当对照第30条列举的事项逐项撰写，而不是沿用GDPR式全球方针的标题结构。
（二）境外转移：申明的目的须与实际发送的数据相符
PIPC认定，DeepSeek向包括一家关联公司在内的多家位于中国和美国的公司委托处理个人信息，并因此将个人信息转移至境外。对于第28条之8第2款所列事项，DeepSeek既没有取得同意，也没有在处理方针中公开。决定书对该关联公司及其他接收方的名称作了遮蔽处理。根据DeepSeek于2025年3月28日提交的方针草案中的境外转移一览表，该关联公司以「对基础算法及整体架构的设计技术支持」为目的，接收「所收集的全部个人信息」（本文译文）。
PIPC自行对服务进行分析后，还发现了转移清单中没有列出的情况：用户提示词输入信息经由某第三方的SDK被发送到该第三方的服务器。DeepSeek将这一数据流解释为服务改善，但PIPC指出，该SDK并不需要提示词输入信息，因此转移的必要性不明确。决定书中附有整改前后的对比分析图，图注显示在DeepSeek整改之后，「发送至volces.com的数据包中没有输入信息（PIPC）」（本文译文）。
DeepSeek的答复分为三点。第一，新的韩文方针已经详细载明境外转移事项。第二，自2025年4月10日起，提示词输入信息已不再发送给该SDK的接收方。第三，SDK提供方仅为维持服务稳定和改进功能而处理数据，不用于营销分析；DeepSeek为此提交了该提供方的相关条款。DeepSeek的韩文方针草案将上述转移归入第28条之8第1款第3项，即为订立和履行与信息主体之间的合同而需要委托处理或存储个人信息的情形。
PIPC只部分接受了上述主张。PIPC认为，就该SDK数据流用于处理服务故障和改进UI/UX这一目的，以及DeepSeek对相关数据保有控制权这两点，DeepSeek作出了「部分」说明。但是PIPC没有接受关于提示词的说明，对所说明的转移目的只认可了一部分。决定书指出，所转移的信息中用户在提示词中输入的信息，「对照DeepSeek所说明的转移目的即『服务改善』等来看，其必要性不明确」（本文译文）。PIPC通过自身分析确认这一数据流已经停止，同时指出，已经发送的韩国用户输入信息仍需采取销毁等措施。
违反第28条之8第1款的认定没有改变。DeepSeek草案所依据的第28条之8第1款第3项，仅在处理方针中已公开法定事项，或已通过电子邮件等方式告知的情况下才能适用；而在检查时，DeepSeek两者都没有做到。在决定书中，这是纠正建议所依据的唯一一项违法行为。
（三）以用户提示词进行训练：可识别性以运营者掌握的信息为准
在四个争点中，这是其他AI服务最可能遇到的问题。关于预训练，DeepSeek向PIPC说明，其使用开源数据集、通过网络爬虫收集的网页数据以及通过与其他企业合作获得的数据，并会过滤掉无意中混入的个人信息。关于用户提示词，DeepSeek说明了四点：仅有极少部分输入被用于训练；会删除用户标识符；会对数据进行改写并删除其中的个人信息；用户选择删除的数据会被移除，不用于训练。决定书指出，DeepSeek既没有就训练取得用户同意，也没有提供拒绝的方式；决定书同时记载，DeepSeek在检查期间，即2025年3月17日，上线了拒绝将数据用于AI训练的功能（opt-out）。
DeepSeek的法律主张分为三层。第一，经过删除标识符、改写数据和删除个人信息之后，使用提示词根本不构成对个人信息的利用。第二，即使构成利用，由于使用条款中载有相关内容，DeepSeek也可以「为履行合同所必需」作为合法依据。第三，由于已经提供opt-out功能，该利用属于为实现DeepSeek的正当利益所必需、且明显优先于信息主体权利的情形。
PIPC以两项认定驳回了第一层主张。这两项认定值得完整引用：
「即使就用户在提示词中输入的信息删除了用户标识符等，仍可以从DeepSeek所保管的个人信息文件中的『用户提示词输入信息』本身，得知是哪一用户输入（查询）了该数据。」（本文译文）
「此外，AI训练不仅包括使算法学习数据，还包括为此进行的人工审核、数据改写及删除个人信息等预处理过程，因此不能认为这不属于对个人信息的利用。」（本文译文）
第一项认定是从运营者一方检验可识别性。PIPC提出的问题是，DeepSeek凭借自身保存的记录，能否将某条提示词与输入它的用户对应起来；PIPC并没有问，阅读去标识化文本的外部第三人能否做到这一点。第二项认定意味着，去标识化的处理流程并不在该法的适用范围之外。降低数据可识别性的各个步骤，本身就是需要合法依据的处理行为。
关于第二层主张，PIPC认为，训练语言模型与提供DeepSeek服务是两回事，用户输入并非训练模型所必需，而且使用条款仅将目的表述为「提供及改善服务」。基于这些理由，PIPC认定该利用不属于为履行与用户之间的合同所必需的情形。
关于第三层主张，决定书没有单列关于正当利益的标题。PIPC的答复似乎体现在关于措施是否充分的分析中。PIPC指出，个人信息处理方针和使用条款仅写明「提供及改善服务」，对于AI训练以及DeepSeek所采取的措施，既没有说明，也没有告知。从用户对该利用的可预见性、选择权的保障以及不当损害用户利益的风险来看，PIPC认为这些措施难以称得上充分。在此前的违法性评价部分，PIPC的结论措辞较为审慎：该利用「可能」超出第15条第1款允许的范围，并有违反第18条第1款之「嫌」。
随后，PIPC选择不对这一问题作出认定。PIPC考量了四项因素：检查期间上线的opt-out功能；输入数据可以删除；该应用在韩国提供服务仅约30天；以及DeepSeek关于其正在从公开数据中删除居民登记号码等韩国相关主要个人信息的说明。PIPC的结论是，与其证明违法性并据此作出判断，更有必要适用PIPC根据2024年对主要AI服务开展的事前状况检查结果所制定的强化保护措施。改善建议第1项即由此而来。决定书援引了2024年的那次检查：当时PIPC建议主要AI企业就用户输入的人工审核作出告知并保障用户的选择权，并落实KISA就暴露个人信息的URL提供的删除和屏蔽信息。
虽然结论是建议，上述两项认定已经写入决定书。笔者认为，今后若出现服务期间更长、且没有提供opt-out功能的案件，PIPC可能会以这两项认定为参照；决定书本身并未作此表述。至于PIPC届时是否会采取建议以外的措施，需要根据个案事实判断。
（四）安全措施：决定书前后两部分的措辞有所缓和
检查涉及两起事件。第一起是有媒体报道称DeepSeek的数据库遭到暴露。DeepSeek解释称，该数据库属于开发环境，存放的是开发人员自动生成的测试数据；该数据库曾处于任何人都可以访问的状态，但没有发生用户数据泄露，问题也已经修复。第二起是PIPC自行确认的一个网页漏洞：截至2025年2月14日，只要修改DeepSeek网站URL的一部分，网页服务器的目录就会暴露。决定书记载，这一漏洞同样已经修复。
在法律评价部分，PIPC指出，数据库可以被任何人从外部访问，且存在广为人知的网页漏洞，这可以视为DeepSeek在服务上线前疏于采取基本安全措施，并认为有违反第29条之「嫌」。在审查DeepSeek主张的部分，PIPC的表述对DeepSeek更为有利。PIPC认为，即使是开发服务器，不限制数据库访问、暴露目录列表漏洞也可以评价为基本安全措施有欠缺；但是，考虑到这些情况与个人信息泄露没有直接关联，「仅凭该事实，也存在难以评价为违反《个人信息保护法》的一面」（本文译文）。随后提出的改善建议请DeepSeek全面检查其个人信息处理系统，并针对发现的问题采取措施。
（五）儿童个人信息
DeepSeek没有就这一问题提出主张，但决定书对此作了处理。DeepSeek的方针载明：不收集未满14周岁儿童的个人信息；服务不面向未满18周岁者提供；14周岁以上、未满18周岁的用户须取得父母同意。PIPC发现注册时没有年龄核验环节，因此无法确认是否收集了儿童个人信息。DeepSeek报告称，其已于2025年3月17日引入年龄核验程序。PIPC认为，如果现实中可以预见儿童和青少年会使用某项服务，运营者应当在提供服务前核验年龄。DeepSeek没有采取必要措施防止在未经法定代理人同意的情况下收集未满14周岁儿童的个人信息，这不符合第3条第4款及第8款，并且「可能」违反第22条之2。该事项被纳入改善建议第2项。
三、后续：2026年9月9日的后续检查
2026年9月9日，PIPC就2025年个人信息处理方针评价的后续检查作出决定。PIPC对当时评价为不足的企业进行了复查，检查内容包括权利行使渠道、国内代理人以及处理方针的可访问性。根据PIPC2026年9月16日发布的新闻稿，DeepSeek以中文回复了韩国用户的咨询。PIPC建议DeepSeek改善其运营体系，使韩国信息主体行使权利的请求能够被顺畅地受理和处理。
以上内容以新闻稿为依据，笔者尚未查到该次后续检查已公开的决定书。将这一后续检查与2025年决定书结合起来看，PIPC似乎不仅关注是否存在韩文方针，也会检查方针中所述的渠道能否以韩语实际运作。
四、启示
以下三点面向提供AI服务的企业法务团队。
1. 在PIPC发现之前，梳理所有对外数据流，包括第三方SDK。 本案中的提示词数据流没有出现在DeepSeek提交的转移清单中，而是由PIPC通过分析服务的通信数据发现的。对于这一数据流，PIPC只认可了DeepSeek所说明转移目的的一部分，认为提示词输入信息对照「服务改善」目的其必要性不明确，并指出已发送的信息需采取销毁等措施；违反境外转移公开义务的认定仍然维持。因此，境外转移的披露内容需要对照应用实际发送的数据，逐个字段进行核对。
2. 在开始预处理之前，确定训练的合法依据并完成告知。 PIPC以运营者所持有的文件判断可识别性，并将人工审核、改写和删除个人信息都视为对个人信息的利用。仅写明「提供及改善服务」的个人信息处理方针，使用户无法预见其输入会被用于训练。由于模型训练与服务被视为两回事，本案中「为履行合同所必需」不能支撑以提示词进行训练。opt-out功能和较短的服务期间，使PIPC倾向于提出建议，而没有作出违法认定；但是，将这一结果视为其他案件中的可能结果并不稳妥。
3. 依据韩国法撰写韩文方针，并确保韩文渠道切实可用。 PIPC指出，韩文方针应依韩国法制定，而不能简单翻译以他国法为前提的方针；此后PIPC又针对以中文回复咨询一事进行了跟进。第30条规定的事项、能以韩语实际运作的权利行使渠道以及国内代理人，同时出现在本决定书的建议和2026年的后续检查中。
以上各点都取决于具体服务的事实，其他案件的结果可能有所不同。
常见问题
DeepSeek是否被韩国个人信息保护委员会处以罚款？
没有。2025年4月23日作出的第2025-009-026号决定，终结的是依《个人信息保护法》第63条之2开展的事前状况检查。PIPC依第63条之2第2款提出纠正建议，内容涉及境外转移的合法依据、销毁无必要转移的数据以及韩文个人信息处理方针；又依第61条提出改善建议，内容涉及训练数据的保护措施、儿童个人信息、安全措施以及指定国内代理人。PIPC既未处以课征金，也未处以行政罚款。DeepSeek须在收到通知之日起60日内报告履行结果。
AI服务在训练前删除了提示词中的用户标识符，这些提示词在韩国法下是否仍属于个人信息？
在DeepSeek决定中，PIPC认为仍属于个人信息。PIPC的理由是：即使删除了用户标识符，DeepSeek仍可从其自身保管的个人信息文件中的用户提示词输入信息本身，得知是哪一用户输入了该数据。PIPC还指出，AI训练包括人工审核、数据改写和删除个人信息等预处理过程，因此这一阶段同样属于对个人信息的利用。随后，PIPC在这一问题上选择建议强化保护措施，而没有作出违法认定。
境外AI服务能否以「为履行合同所必需」为依据，利用韩国用户的提示词训练模型？
就DeepSeek决定的事实而言，不能。PIPC认为，训练语言模型与提供DeepSeek服务是两回事，用户输入并非训练模型所必需，且使用条款仅将目的表述为提供及改善服务。基于上述理由，PIPC认定该利用不属于为履行与用户之间的合同所必需的情形。这一点如何适用于其他服务，取决于该服务自身的条款、告知内容和数据流向。
本文为面向韩国境外读者、就一项韩国监管决定所作的一般性说明，不构成法律意见。文中引用的决定书内容均为笔者的非官方译文，以韩文原文为准。本决定适用的是自2024年3月15日起施行的《个人信息保护法》（第19234号法律），此后的修订可能影响今天对相同事实的评价。
决定书韩文原文：韩国个人信息保护委员会决定书公告栏（第2025-009-026号）。英文版：DeepSeek before Korea’s PIPC (2025)。PIPC已公开的执法决定的英文列表见PIPC enforcement decisions，关于指定国内代理人的英文说明见Appointing a Domestic Representative。
作者：李炫燮（Hyunsub Lee），韩国律师，法务法人SEUM（세움）（律师简介，页面默认为韩文，可点击右上角ENG切换为英文）。
译文说明：中文版译自本文英文版及决定书韩文原文；如有歧义，以决定书韩文原文为准。