突发！韩国PIPC发布对DeepSeek的事前检查结果

韩国个人信息保护委员会发布对DeepSeek服务的事前检查结果
（整改建议）在个人信息跨境传输时，应充分具备合法依据，立即销毁已传输的个人信息，通过公开和具体化韩语处理政策持续提高服务透明度。（改进建议）遵守个人信息保护委员会建议的强化保护措施，全面检查处理系统并提升安全措施水平。通过国内代理人和事后检查管理执行情况。
个人信息保护委员会（主席高学洙，以下简称“个人信息保护委员会”）于4月23日（周三）召开第9次全体会议，审议并通过了对杭州深度求索人工智能有限公司（以下简称“DeepSeek”）的事前检查结果。
此前经过
今年1月DeepSeek服务推出后，国内外立即出现了对个人信息侵犯的担忧。对此，个人信息保护委员会立即向DeepSeek发送了关于个人信息收集和处理方式的问询函（1月31日），同时与韩国互联网振兴院（院长李相中）一起进行了技术分析等工作，部分确认了与其他企业相比在通信功能及个人信息处理政策（以下简称“处理政策”）上的不足之处。
因此，个人信息保护委员会着手对DeepSeek进行事前检查*，在此过程中，DeepSeek承认在考虑个人信息保护法（以下简称“保护法”）方面存在部分疏忽，并表示将积极与个人信息保护委员会合作，同时在2月15日暂时停止了在国内应用市场的新增下载。
注：事前检查：为提前检查个人信息保护的薄弱环节，预防侵犯风险而引入的制度，如发现违反法律事项则建议整改（保护法第63条第2款）
事前检查结果
个人信息保护委员会在事前检查结果中确认了以下事项：
事前检查结果处理政策总体相关
（最初）DeepSeek在2025年1月15日进入韩国应用市场时，仅以中文和英文公开了处理政策，且该处理政策中遗漏了韩国保护法要求的个人信息销毁程序及方法、安全措施、个人信息保护负责人的姓名、联系方式等事项，还明确表示将收集包括按键输入模式、节奏在内的广泛信息。
（检查过程中）DeepSeek提交了包含保护法法定事项的韩语处理政策，并增加了单独的韩国附录条款（法律依据、保留期限、销毁程序及方法、个人信息保护负责人等）（3月28日）。同时，存在问题的按键输入模式是在服务准备阶段尚未确定要收集的信息时所记载的内容，实际上并未进行收集，并告知已对处理政策中的准确收集项目进行了整理，经确认属实。
注：韩语处理政策及韩国附录条款全文计划在DeepSeek服务重新启动时通过网络·应用公开
个人信息跨境传输相关
（最初）DeepSeek在将个人信息传输到中国和美国的多家公司（服务改进、安全、客户服务应对等目的）时，未在服务开始时获得用户对跨境传输的同意，也未在处理政策中公开。特别是DeepSeek还将用户在人工智能（AI）提示中输入的内容传输到了北京火山引擎科技有限公司（以下简称“火山引擎”）。
（检查过程中）DeepSeek将跨境传输（委托）相关法定事项包含在韩语处理政策中提交。对于向火山引擎的传输，其解释称是为了利用云服务进行安全漏洞及用户界面（UI，User Interface）和用户体验（UX，User Experience）等的改进，并告知根据委员会指出用户在AI提示中输入的内容传输是不必要的，从4月10日起已停止新的传输，经确认属实。
注：火山引擎是字节跳动的子公司，但作为独立法人与字节跳动无关，处理委托信息仅用于服务运营和改进，不会用于营销等其他目的，并承诺将遵守相关法律法规，严格保护个人信息。
人工智能（AI）开发、训练相关
（最初）DeepSeek与其他AI企业类似，使用公开数据（开源数据及网络收集数据等）和用户在提示中输入的内容进行AI开发·学习，但用户在AI提示中输入的内容无法拒绝用于AI开发、训练，处理政策以及使用条款中仅以“提供、改进服务”为由，无法视为进行了充分说明或告知。
（检查过程中）DeepSeek告知并确认已于3月17日设立了用户可以拒绝AI提示内容用于AI开发、训练的功能，特别是完全遵守了个人信息保护委员会去年（2024年3月）对主要AI服务进行事前检查后建议的“强化保护措施”。
注：在预训练时删除、屏蔽韩国互联网振兴院提供的包含个人信息（居民身份证号、手机号、账号等）的网页（URL），明确告知用户输入数据的使用目的并保障其选择是否使用的权利，具体介绍AI相关个人信息处理流程等。
其他：儿童个人信息及安全措施相关
DeepSeek声称不收集14岁以下儿童的个人信息，但在服务注册时没有确认儿童身份的程序，但在检查过程中安排了年龄确认程序。对于检查中发现的部分安全漏洞（开发服务器数据库访问限制松懈、防止目录列表措施不足等），确认已在检查过程中完成整改。
处置及后续计划
（处置）个人信息保护委员会根据上述检查结果，建议DeepSeek在跨境传输个人信息时充分准备合法依据，并立即销毁已传输至火山引擎的用户提示输入内容，公开韩语处理政策等，持续确保服务的透明度。
此外，建议遵守去年基于对主要人工智能服务的事前检查结果制定的“强化个人信息保护措施方案”，确认是否收集儿童个人信息并采取销毁等适当措施，提升个人信息处理系统的整体安全措施，指定国内代理人。
（后续计划）如果DeepSeek在10天内接受个人信息保护委员会的整改建议，则视为已收到整改命令（保护法第63条第2款），必须在60天内向个人信息保护委员会报告整改和改进建议的执行结果。今后，个人信息保护委员会将至少两次检查DeepSeek对整改和改进建议的执行情况，并持续进行管理。
此外，个人信息保护委员会决定以此次对DeepSeek的检查为契机，将去年发布的《针对海外企业的个人信息保护法适用指南》的核心事项以清单形式一并提供。海外企业可利用此清单提前检查基本事项，从而充分保障韩国信息主体的权利，安全地保护个人信息，并推出、运营服务。