CONTENTS
- 1. Perkara yang mempermasalahkan ada atau tidaknya pelanggaran Undang-Undang Perlindungan Data Pribadi Korea Selatan
- 2. Penilaian pengadilan terkait Undang-Undang Perlindungan Data Pribadi Korea Selatan
- - Substansi persetujuan atas pengumpulan dan penggunaan data pribadi
- - Terpenuhi atau tidaknya kriteria data berpseudonim dan data anonim
- - Ketidaksesuaian antara tujuan pengumpulan dan tujuan penggunaan sebenarnya
- - Pelanggaran kewajiban pemusnahan data pribadi
- - Perlunya persetujuan terpisah untuk pemrosesan data sensitif
- 3. Arti penting putusan terkait Undang-Undang Perlindungan Data Pribadi Korea Selatan
- - Strategi Firma Hukum Daeryun dalam perkara pelanggaran data pribadi
1. Perkara yang mempermasalahkan ada atau tidaknya pelanggaran Undang-Undang Perlindungan Data Pribadi Korea Selatan
Perkara ini menjadikan ada atau tidaknya pelanggaran Undang-Undang Perlindungan Data Pribadi Korea Selatan sebagai pokok persoalan utama.
Perusahaan tergugat mengoperasikan aplikasi layanan analisis hubungan asmara dan mengumpulkan kalimat percakapan KakaoTalk antara pengguna dan lawan bicaranya dengan cara meminta pengguna mengunggahnya secara langsung.
Selanjutnya, dalam proses mengembangkan layanan chatbot AI terpisah yang disediakan oleh perusahaan yang sama, tergugat memindahkan data pribadi dan sebagian kalimat percakapan yang tersimpan dalam basis data layanan aplikasi lama ke basis data pelatihan terpisah untuk digunakan dalam pelatihan model, lalu meluncurkan layanan chatbot AI berdasarkan data tersebut.
Namun, karena timbul persoalan mengenai ketidaksesuaian antara tujuan pemrosesan yang diberitahukan pada tahap pengumpulan data pribadi dan tujuan penggunaan sebenarnya, substansi persetujuan atas pemrosesan data pribadi, serta terpenuhi atau tidaknya persyaratan pemrosesan data berpseudonim atau data anonim, para korban mengajukan gugatan ganti rugi.
2. Penilaian pengadilan terkait Undang-Undang Perlindungan Data Pribadi Korea Selatan
Dalam perkara ini, pengadilan memberikan penilaian sebagai berikut.
Substansi persetujuan atas pengumpulan dan penggunaan data pribadi
Pengadilan menilai bahwa prosedur persetujuan yang hanya bersifat formal dan menyeluruh tidak dapat dianggap telah memenuhi kewajiban untuk memperoleh persetujuan substantif sebagaimana diwajibkan oleh Undang-Undang Perlindungan Data Pribadi Korea Selatan.
Pengadilan berpandangan bahwa penerimaan persetujuan hanya melalui kotak centang bertuliskan “Saya menyetujui syarat dan ketentuan serta kebijakan pemrosesan data pribadi”, yang kemudian disertai tautan untuk membaca kebijakan pemrosesan data pribadi, tidak cukup untuk menyimpulkan bahwa pengguna telah memahami dengan jelas dan menyetujui cara data pribadinya akan digunakan.
Dengan demikian, pengadilan menetapkan standar bahwa isi dan ruang lingkup persetujuan harus dibedakan serta diberitahukan secara jelas dan harus dijelaskan dengan cara yang memungkinkan pengguna memahaminya secara memadai.
Terpenuhi atau tidaknya kriteria data berpseudonim dan data anonim
Pengadilan menilai bahwa data yang digunakan oleh perusahaan tergugat dalam proses pelatihan AI tidak memenuhi standar data anonim atau data berpseudonim berdasarkan Undang-Undang Perlindungan Data Pribadi Korea Selatan.
Kalimat percakapan tersebut tidak hanya memuat informasi identitas individual seperti nama, nomor kontak, alamat, kata sandi, dan nomor rekening, tetapi juga memuat informasi yang memungkinkan hubungan sosial dan informasi pribadi seseorang diperkirakan. Oleh karena itu, pengadilan menilai bahwa terdapat risiko yang cukup besar bahwa individu tertentu dapat diidentifikasi apabila data tersebut digabungkan dengan informasi tambahan.
Pengadilan juga menilai bahwa tindakan yang hanya mengenkripsi sebagian informasi dan menyimpan sebagian besar data tanpa melakukan deidentifikasi tidak memenuhi standar pseudonimisasi yang diwajibkan oleh Pasal 28-2 Undang-Undang Perlindungan Data Pribadi Korea Selatan.
Ketidaksesuaian antara tujuan pengumpulan dan tujuan penggunaan sebenarnya
Pengadilan berpandangan bahwa karena fungsi yang disediakan oleh layanan aplikasi lama dan layanan chatbot AI pada dasarnya berbeda dari segi tujuan, sifat, fungsi, serta lingkungan penggunaan, tindakan menggunakan data tersebut sebagai data pelatihan tanpa persetujuan merupakan penggunaan yang melampaui ruang lingkup tujuan pengumpulan sebagaimana diatur dalam Pasal 15 dan Pasal 18 Undang-Undang Perlindungan Data Pribadi Korea Selatan.
Pengadilan menilai bahwa pencantuman frasa “pengembangan layanan baru” dalam kebijakan pemrosesan data pribadi tidak serta-merta berarti bahwa subjek data dapat dianggap telah memperkirakan atau menyetujui penggunaan datanya untuk pelatihan algoritma AI.
Pelanggaran kewajiban pemusnahan data pribadi
Pengadilan juga mengakui adanya pelanggaran karena tergugat tidak mematuhi kewajiban hukum untuk menyimpan secara terpisah atau memusnahkan data pribadi milik pengguna yang sudah lama tidak menggunakan layanan dan pengguna yang telah menutup akunnya.
Pengadilan menilai bahwa hal tersebut merupakan pelanggaran Pasal 21 dan Pasal 39-6 Undang-Undang Perlindungan Data Pribadi Korea Selatan.
Perlunya persetujuan terpisah untuk pemrosesan data sensitif
Meskipun kalimat percakapan tersebut memuat informasi yang tergolong sebagai data sensitif berdasarkan Pasal 23 ayat (1) Undang-Undang Perlindungan Data Pribadi Korea Selatan, seperti informasi kesehatan, kehidupan seksual, ideologi, dan keyakinan, perusahaan tidak memperoleh persetujuan tegas secara terpisah. Berdasarkan hal tersebut, pengadilan mengakui adanya pelanggaran ketentuan hukum terkait data sensitif.
Atas dasar tingkat risiko kerugian dan tingkat pelanggaran, pengadilan membagi korban ke dalam kelompok yang mengalami kebocoran data pribadi, kebocoran data sensitif, atau kebocoran kedua jenis data tersebut, lalu menetapkan uang santunan secara berbeda masing-masing sebesar 100.000 won Korea Selatan, 300.000 won Korea Selatan, dan 400.000 won Korea Selatan.
3. Arti penting putusan terkait Undang-Undang Perlindungan Data Pribadi Korea Selatan
Putusan ini merupakan perkara yang menegaskan bahwa persetujuan awal yang jelas dari subjek data diperlukan untuk menggunakan data pribadi yang dikumpulkan melalui layanan lama bagi tujuan pengembangan dan pelatihan AI yang terpisah dalam proses pemanfaatan teknologi AI.
Secara khusus, pengadilan menetapkan standar bahwa sekalipun penggunaan data berpseudonim tanpa persetujuan didasarkan pada tujuan penelitian ilmiah, aliran data pribadi harus dikendalikan secara teknis dan administratif serta pseudonimisasi harus dilakukan sampai pada tingkat yang dapat diakui telah menghilangkan risiko identifikasi.
Pengadilan juga menegaskan bahwa sekalipun merupakan perusahaan AI berbasis data, penggunaan data tambahan yang melampaui ruang lingkup yang dapat diperkirakan pada tahap pengumpulan data pribadi tidak diperbolehkan, dan ruang lingkup pemrosesan data harus dirancang sejak tahap awal pengembangan layanan agar memenuhi standar hukum.
Strategi Firma Hukum Daeryun dalam perkara pelanggaran data pribadi
Firma Hukum Daeryun menyediakan layanan penanganan berikut bagi perusahaan layanan platform dan penyedia layanan AI.
Pertama, kami menyediakan pemodelan kepatuhan untuk melakukan pemeriksaan awal terhadap kepatuhan pada Undang-Undang Perlindungan Data Pribadi Korea Selatan sejak tahap perencanaan layanan dan pengembangan awal.
Kedua, kami menyusun prosedur pemberitahuan dan persetujuan mengenai tujuan pengumpulan dan penggunaan data pribadi, masa penyimpanan, serta ruang lingkup penggunaannya berdasarkan tingkat pemahaman pengguna.
Ketiga, selama pengoperasian layanan, kami mendukung penanganan pemeriksaan oleh lembaga pengawas, termasuk Komisi Perlindungan Informasi Pribadi Korea Selatan dan Komisi Komunikasi Korea Selatan, serta penyusunan langkah perbaikan.
Keempat, apabila terjadi kebocoran atau insiden pelanggaran data pribadi, kami merancang secara terpadu penanganan pidana (pengaduan pidana, penanganan penyidikan, strategi untuk memperoleh keputusan tidak cukup bukti, dan peringanan hukuman) serta penanganan perdata (strategi pembelaan terhadap gugatan ganti rugi).
Kelima, kami menyediakan sistem pencegahan risiko, termasuk pelatihan bagi pegawai internal perusahaan dan lembaga, pengelolaan kerentanan, serta analisis dan pengumpulan alat bukti melalui forensik digital apabila terjadi pelanggaran Undang-Undang Perlindungan Data Pribadi Korea Selatan.
Jika Anda memerlukan nasihat hukum terkait Undang-Undang Perlindungan Data Pribadi Korea Selatan, silakan segera membuat 🔗reservasi konsultasi hukum dengan pengacara korporasi.
