个人信息黑客攻击 | Duo 43万人的“人生档案”泄露……企业责任风险结构会否改变

此外，约30万条本应在合同终止后销毁的信息仍处于保存状态，这些信息也一并遭到泄露。

婚介行业因服务性质需要收集多种信息，以便在会员之间进行匹配。

不同于一般的在线服务，其使用的信息不止涉及身份确认，还涵盖个人生活环境和价值观。

韩国《个人信息保护法》第29条规定，个人信息处理者应当采取技术和管理保护措施，防止个人信息泄露。

其中包括访问权限管理、设置认证程序和加密措施等。

经确认，此次事件中未设置登录认证失败次数限制，数据库访问控制也不完善。

此外，密码及韩国居民登记号码所采用的加密强度也被发现不够充分。

韩国《个人信息保护法》第34条规定，个人信息发生泄露时，企业应向信息主体发出通知；达到一定标准的，还应在72小时内向监管机构申报。

然而，经确认，此次事件中企业在知悉泄露事实后仍未在规定期限内进行申报，对信息主体的通知也有所延迟。

韩国《个人信息保护法》第24条之2原则上禁止收集和处理韩国居民登记号码，仅在法律法规存在明确依据时方可例外允许。

婚姻介绍行业在没有明确法律依据允许收集韩国居民登记号码的情况下仍收集并保存该信息，这一点被指出存在问题。

这表明，无论是否设定保存期限，只要实际销毁程序未得到履行，全部相关数据均可能转化为法律风险。

初期会受到课征金及罚款（行政）等行政制裁，之后通常会进一步引发损害赔偿请求；再加上企业形象受损和客户流失，实际损失规模将进一步扩大。

尤其是像此次事件一样涉及敏感信息及画像数据时，第2阶段之后的风险可能会迅速扩大。

此外，如果确认存在延迟通知泄露事实或内部管理体系不完善的情况，不仅可能影响课征金的金额，还可能影响民事责任范围。

因此，有必要将个人信息黑客攻击事件理解为行政、民事和经营风险接连发生的结构性事件。

个人信息黑客攻击事件的特点在于，与事件发生后的应对相比，企业责任范围会因是否事先建立管理体系而有所不同。

此外，发生泄露时，行政制裁、损害赔偿和声誉风险可能同时出现，因此需要进行综合法律审查。

大倫律師事務所基于个人信息保护、数据合规及企业纠纷应对经验，为企业个人信息处理架构的各个环节提供切实的法律咨询。