2026年7月22日，韩国个人信息保护委员会（PIPC）在第14次全体会议上，对 TikTok 及苹果两家关联公司作出处分。三家经营者被处以的行政罚款合计为105亿5,800万韩元，此外还包括纠正命令和公示命令。

这次一并公布的两起案件，分别涉及广告技术和语音助手。产品场景虽然不同，PIPC 审查的核心却相当一致：企业实际收集了哪些信息、用于什么目的、是否取得了能够覆盖相应处理活动的合法依据，以及个人信息转移至境外时是否履行了告知和公开义务。

— TikTok 与苹果案件的处罚结果及主要合规问题

TikTok 向其他网站和应用经营者提供 TikTok Pixel、Events SDK、Events API 等工具，用于广告投放和内容效果分析。安装这些工具后，第三方网站或应用页面上的用户操作可能被传回 TikTok，包括点击、购买、加入购物车、提交咨询、下载、搜索和浏览内容等活动记录。

截至2025年12月，韩国境内约有7.1万家企业使用这类工具，涉及945万名韩国境内活跃用户。TikTok 不仅收集这些第三方行为信息，还会同时取得设备标识符等信息，将其与 TikTok 会员账户关联，分析并推断用户的特征和兴趣，进而用于个性化广告。

PIPC 认定，TikTok 在用户注册时没有让用户明确知悉上述处理活动，又将相关同意与提供服务所必需的个人信息一并设置为强制同意，因而不能据此主张已经取得合法有效的同意。

调查还发现，TikTok Lite 在提供积分提现服务时，向关联公司转移用户个人信息，却没有充分公开或者告知转移的信息项目、接收方的使用目的以及保存、使用期限等事项。

据此，PIPC 认定 TikTok 无合法依据收集、使用第三方行为信息，并违法向境外转移个人信息，违反韩国《个人信息保护法》第15条第1款和第28-8条第1款，对其处以103亿600万韩元行政罚款，同时作出纠正命令和公示命令。

苹果案件源于美国 Siri 语音数据相关诉讼的报道。PIPC 调查发现，截至2019年8月，用户使用 Siri 时，苹果会收集语音录音以及由录音转换形成的转写文本，用于改进语音识别功能和搜索结果等用途，但没有另行取得用户同意。

自2019年10月起，苹果开始就语音录音用于服务改进另行取得同意；但对于转写文本，仍未建立另行的合法依据，并继续将其用于服务改进。PIPC 因此将语音录音与转写文本作为不同的信息类型分别审查，而没有因为二者来自同一次 Siri 交互，就当然认为同一项同意可以覆盖全部处理活动。

与此同时，苹果还将相关个人信息转移给美国 Apple Inc. 等境外关联公司，但其个人信息处理方针没有充分记载转移的信息项目、接收方的使用目的以及保存、使用期限。

苹果在调查期间采取了整改措施，包括向用户提供有关转写文本收集、使用的选择权，过滤转写文本中的个人信息，并修订个人信息处理方针。最终，PIPC 以违反原《信息通信网络法》等规定为由，对 ADI 处以2亿5,200万韩元行政罚款；对于 ASPL，则作出包括检查境外转移现状在内的纠正命令。

— TikTok 第三方行为信息与苹果 Siri 数据处理问题对照

1. 同意不仅要“点过”，还要建立在知情和自由选择之上

PIPC 在新闻稿中强调，只有当信息主体明确知悉个人信息收集、使用的内容，并基于自由意志作出选择时，同意才是有效的。如果非必要的数据处理被捆绑进无法拒绝的选项，或者用户在作出选择前并不知道数据来自第三方页面、还会被用于账户关联和个性化广告，界面上留下的“已同意”记录并不足以解决合法性问题。

对企业而言，需要核对的不只是有没有同意按钮，还包括告知出现的时点、处理目的是否具体、用户能否拒绝非必要处理，以及撤回同意后相关收集和使用是否真正停止。

2. 原始数据、派生数据和后续用途需要分别核对

苹果案件提示，来自同一交互的数据并不必然共用同一合法依据。语音录音转换为文本之后，数据形态、使用方式、接触人员和保存安排都可能发生变化；为提供 Siri 功能而处理数据，也不当然涵盖服务改进、人工审核或者进一步分析。

类似问题并不限于语音产品。图片与识别结果、聊天内容与摘要标签、位置记录与用户画像，也可能存在相同的合规断点。企业需要按照具体信息类型和具体用途，逐项核对告知内容、合法依据、访问范围与保存期限。

3. 集团内部流转也可能构成个人信息境外转移

PIPC 明确指出，个人信息境外转移并不只看数据是否在某一刻物理跨越国境。只要个人信息进入韩国《个人信息保护法》的管辖和保护难以覆盖的范围，无论是向境外提供、委托处理还是在境外存储，都可能受到境外转移规则约束。即使数据在关联公司之间流转，或者继续在同一境外国家内转移，也不能仅以“集团内部共享”为由忽略相关要求。

因此，企业梳理境外转移时，应当沿着真实的数据流确认由哪个法人接收、在何处处理、用于什么目的、保存多久、是否继续提供给其他主体，并让隐私政策、合同安排和系统权限与这些事实保持一致。

— 两案的三项关注重点与企业自查清单

首先，应把网页端 Pixel、移动端 SDK 和服务器端 API 放进同一张数据地图，确认第三方页面事件是否进入平台账户体系，是否与设备或账户标识关联，以及是否继续用于画像分析和广告投放。

其次，应当把提供核心服务所必需的处理，与个性化广告、产品改进等附加目的分开审查。不同目的使用的数据范围、同意方式和退出机制不宜混在一个笼统选项中。

再次，对于转写文本、标签、摘要、识别结果等派生数据，不能只沿用原始数据的处理说明。企业需要记录这些数据如何生成、由谁访问、用于哪些后续目的，并为每项处理找到相匹配的合法依据。

最后，跨国集团应将法人责任分配与技术数据流对应起来。由谁决定处理目的和方式、由谁面向用户履行告知、由谁接收和保存数据，以及由谁处理用户权利请求，都应在产品界面、内部制度和对外文本中保持一致。

TikTok 与苹果受到处罚，并不只是因为隐私政策少写了几项内容，或者同意页面的表达不够完善。两案反映出的共同问题，是企业对外提供的说明和选择机制，没有完整覆盖产品背后的真实数据流。

当数据从第三方工具或用户交互进入系统，继而与账户关联、形成新的数据、用于新的目的，并在境外关联公司之间继续流转时，合法依据和透明度要求也需要随之落实到每一个具体环节。对企业来说，真正需要检查的，是产品设计、技术实现、法人分工和隐私文本能否彼此对应。