Corea del Sur acaba de reescribir la ecuación costo-beneficio de la protección de datos para las empresas que operan en su territorio. Desde el 12 de septiembre de 2025, las compañías que filtren información personal de 10 millones de personas o más —por dolo o negligencia grave— quedan expuestas a multas de hasta el 10% de sus ingresos globales anuales. El mensaje del regulador es explícito: la protección de datos debe ser una inversión preventiva, no un costo operativo que se absorbe después del incidente.
La reforma fue impulsada por la Comisión de Protección de Información Personal de Corea (PIPC, por sus siglas en inglés), la autoridad de control equivalente a lo que en la región son la ANPD brasileña, la AAIP argentina o el INAI mexicano. La PIPC viene acumulando experiencia sancionatoria desde que se consolidó como ente autónomo en 2020, pero el techo anterior de multas era considerado insuficiente para disuadir a grandes corporaciones con facturación multimillonaria. El nuevo umbral del 10% sobre ingresos —no sobre utilidades— cambia radicalmente esa aritmética.
La reforma coreana: 10 millones de registros como umbral de responsabilidad agravada
La modificación introduce una distinción crítica: el régimen agravado del 10% aplica cuando la brecha involucra al menos 10 millones de titulares de datos y existe dolo o negligencia grave demostrable. Para incidentes de menor escala o negligencia ordinaria, el régimen general de la Ley de Protección de Información Personal (PIPA) coreana continúa vigente con sanciones menores. Este esquema escalonado no es una novedad conceptual —el RGPD europeo ya diferencia entre infracciones “graves” y “muy graves” con topes del 2% y 4% del volumen de negocio global, respectivamente—, pero la escala del 10% supera cualquier régimen vigente en economías desarrolladas.
El criterio de “ingresos globales” es el detalle más significativo para empresas multinacionales. Una plataforma digital con operaciones en Corea del Sur pero con matriz en Estados Unidos, Japón o Europa enfrentaría una multa calculada sobre su facturación consolidada, no solo sobre los ingresos generados en territorio coreano. Eso convierte a la PIPC en un regulador con alcance extraterritorial comparable al de la Autoridad de Protección de Datos irlandesa dentro del ecosistema del RGPD.
LGPD, Ley 25.326 y LFPDPPP: los techos sancionatorios que Corea dejó atrás
El contraste con América Latina es revelador. Brasil cuenta con el marco más cercano al estándar internacional: la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) habilita multas de hasta el 2% de los ingresos en Brasil —no globales— de la persona jurídica en su último ejercicio fiscal, con tope absoluto de 50 millones de reales por infracción. La Autoridade Nacional de Proteção de Dados (ANPD) comenzó a aplicar sanciones pecuniarias en 2023 y acumula resoluciones, pero el volumen de multas efectivas todavía es bajo en comparación con autoridades europeas de similar madurez institucional.
En Argentina, la Ley 25.326 de Protección de Datos Personales —que data del año 2000 y es objeto de un proceso de reforma legislativa que lleva varios años sin resolución definitiva— establece sanciones que van de una advertencia a la inhabilitación del registro de base de datos, con multas que en la práctica han resultado simbólicas frente al tamaño de los actores infractores. La Agencia de Acceso a la Información Pública (AAIP) carece del régimen porcentual sobre ingresos que hoy tienen tanto la ANPD como la PIPC coreana. México, por su parte, mantiene el esquema de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP, 2010), con multas expresadas en días de salario mínimo —un mecanismo que erosiona el poder disuasorio frente a grandes corporaciones—, aunque el INAI ha impulsado reformas para modernizarlo.
Colombia (Ley 1581/2012, reglamentada por la Superintendencia de Industria y Comercio) y Chile (nueva Ley 21.719, en proceso de implementación con autoridad de control en formación) completan un mapa regional donde ningún país supera el umbral del 4% sobre ingresos como sanción máxima aplicable, y donde la mayoría aún opera con techos nominales muy por debajo de esa cifra.
Por qué el modelo coreano presiona a los directorios, no solo a los equipos de compliance
Una multa calculada sobre el 10% de ingresos globales deja de ser un problema del departamento legal para convertirse en un riesgo de balance que requiere atención del directorio y del CFO. Esa es, precisamente, la intención declarada del regulador coreano: que la protección de datos compita con otras inversiones estratégicas dentro de la asignación de capital corporativo. La lógica es la misma que llevó al RGPD a adoptar multas porcentuales en lugar de montos fijos: cuando el techo sancionatorio es proporcional al tamaño del infractor, deja de existir el incentivo para que una empresa grande simplemente “pague y siga”.
Para empresas latinoamericanas con operaciones en Corea del Sur —o que procesen datos de ciudadanos coreanos— la reforma es directamente aplicable. Para quienes no tienen presencia en Asia, el movimiento coreano funciona como señal de hacia dónde se dirigen los regímenes de privacidad que buscan credibilidad sancionatoria real. Brasil está en ese camino; Argentina y México tienen reformas pendientes que podrían incorporar esta lógica si los proyectos legislativos prosperan.
Qué monitorear: la ANPD brasileña y el proyecto de reforma argentina en 2025-2026
Dos hitos merecen seguimiento inmediato en la región. En Brasil, la ANPD avanza en la revisión de su regulación de seguridad y notificación de incidentes (Resolución CD/ANPD nº 2/2022), y cualquier actualización del régimen sancionatorio deberá pasar por el Congreso para modificar la LGPD, algo que el ecosistema de privacidad brasileño ya discute abiertamente. En Argentina, el Poder Ejecutivo presentó en 2023 un proyecto de modernización de la Ley 25.326 que contempla un esquema de multas graduadas; su suerte legislativa sigue siendo incierta, pero la reforma coreana agrega presión internacional al debate local. Las organizaciones con operaciones en múltiples jurisdicciones deberían documentar ya cuál es su exposición máxima bajo cada régimen vigente, y comparar ese número contra el presupuesto que hoy destinan a prevención.
Nuestro análisis: el 10% como nueva referencia de credibilidad regulatoria
La reforma coreana no es solo una decisión de política doméstica: es una declaración sobre qué nivel de sanción se necesita para cambiar el comportamiento corporativo en materia de protección de datos. El RGPD demostró que los porcentajes sobre ingresos —y no los montos fijos— son el único mecanismo que genera incentivos reales para empresas de escala global. Corea del Sur va más lejos que Europa en ese mismo eje. América Latina, con la excepción parcial de Brasil, todavía opera con regímenes diseñados para otro tamaño de mercado y otro tipo de infractor. El riesgo de esa brecha no es solo reputacional: es que las empresas que operan en múltiples jurisdicciones optimicen su inversión en privacidad hacia donde el regulador tiene mayor capacidad de daño económico, dejando a los titulares latinoamericanos con menor protección efectiva. Eso no es un problema de texto legal; es un problema de arquitectura de incentivos que los reguladores de la región tienen pendiente resolver.
¿Cuándo un regulador latinoamericano tendrá los dientes suficientes para que el cálculo costo-beneficio de una brecha masiva deje de favorecer a quien la provoca?
