El mayor retailer online de Corea del Sur, Coupang, presentó acciones judiciales para impugnar una multa de 620.000 millones de won (aproximadamente 450 millones de dólares) impuesta por la autoridad coreana de protección de datos tras una brecha que afectó a más de 33 millones de clientes. El incidente, ocurrido en noviembre de 2025, lleva nueve meses en la agenda pública y aún no está cerrado.
Según se informó, la brecha fue ejecutada por un ex desarrollador que trabajó para la compañía. Coupang reconoció el incidente en diciembre de 2025, emitió disculpas públicas y procedió a notificar a los usuarios afectados. Sin embargo, la magnitud de la sanción impuesta por el regulador —cifra sin precedentes en el historial de multas de privacidad asiático reciente— derivó en la decisión corporativa de litigar en lugar de acatar.
Datos confirmados sobre el incidente y la sanción
- Fecha de la brecha: noviembre de 2025.
- Usuarios afectados: más de 33 millones de clientes.
- Notificación pública y disculpa: diciembre de 2025.
- Multa impuesta: 620.000 millones de won (aprox. 450 millones de dólares).
- Actor del incidente: ex desarrollador de la empresa, según se informó.
- Acción judicial: Coupang presentó demandas para impugnar la sanción en octubre de 2026.
Qué se sabe y qué falta confirmar
Los hechos confirmados apuntan a un insider como vector del incidente y a una respuesta corporativa que demoró al menos un mes entre el ataque y la comunicación pública. Lo que aún no está aclarado públicamente es el tipo exacto de datos comprometidos, si existieron fallas en controles de acceso previas al incidente, y bajo qué artículos específicos de la Ley de Protección de Información Personal de Corea del Sur (PIPA) se fundamentó el cálculo de la multa. Tampoco se ha confirmado si el regulador aceptará negociar o si el proceso judicial irá a término.
El caso tiene relevancia directa para los equipos de privacidad y legales en América Latina. Brasil, bajo la LGPD (Lei 13.709/2018), habilita a la ANPD a imponer sanciones de hasta el 2% de la facturación local de la empresa, con un techo de 50 millones de reales por infracción. Argentina, con la Ley 25.326 y su Agencia de Acceso a la Información Pública (AAIP), también prevé sanciones escalonadas, aunque el techo efectivo ha sido históricamente más bajo. En ambos marcos, la dilación en la notificación —como el mes transcurrido entre el incidente de Coupang y su comunicación— agrava la calificación de la infracción y puede elevar la sanción aplicable.
El próximo hito clave es la admisión formal de las demandas por parte del tribunal coreano competente, instancia que definirá si la multa queda suspendida cautelarmente mientras se sustancia el proceso.
