CONTENTS
- 1. Peretasan Data Pribadi | Ikhtisar dan Struktur Kebocoran Informasi 430.000 Anggota Duo
- - Informasi yang Bocor
- - Karakteristik Struktur Data dalam Usaha Perjodohan
- 2. Peretasan Data Pribadi | Struktur Terjadinya Kebocoran Data Pribadi dan Cakupan Tanggung Jawab Pengelolaan
- - Kegagalan Pengendalian Internal dan Keterbatasan Langkah Perlindungan Teknis
- 3. Peretasan Data Pribadi | Kewajiban Utama dan Struktur Pelanggaran Berdasarkan Undang-Undang Perlindungan Data Pribadi Korea Selatan
- - Pelanggaran Kewajiban untuk Menerapkan Langkah Pengamanan
- - Pelanggaran Kewajiban Pemberitahuan dan Pelaporan Kebocoran
- - Pelanggaran Pembatasan Pengolahan Nomor Registrasi Penduduk Korea Selatan
- 4. Peretasan Data Pribadi | Kriteria Penilaian Tanggung Jawab Perusahaan
- - Faktor-Faktor yang Dipertimbangkan
- - Struktur dan Pola Peningkatan Risiko Perusahaan
- 5. Peretasan Data Pribadi | Strategi Penanganan bagi Perusahaan
- - Daftar Periksa Penanganan bagi Perusahaan
- - Strategi Firma Hukum Daeryun
1. Peretasan Data Pribadi | Ikhtisar dan Struktur Kebocoran Informasi 430.000 Anggota Duo
Insiden peretasan data pribadi ini tidak dilakukan dalam bentuk serangan langsung terhadap basis data dari luar, melainkan melalui akses yang melewati terminal internal.
PC kerja milik karyawan yang menangani data pribadi terinfeksi malware, dan melalui perangkat tersebut, informasi akun basis data (DB) dicuri.
Selanjutnya, penyerang menggunakan akun tersebut untuk terhubung langsung ke server dan mengekspor seluruh data anggota ke luar.
Hal penting dalam proses ini adalah bahwa yang diunduh bukan sebagian data, melainkan seluruh data anggota.
Telah dipastikan bahwa informasi sekitar 420 ribu ditambah 7 ribu orang bocor, dengan cakupan informasi sebagai berikut.
Komisi Perlindungan Informasi Pribadi Korea Selatan menjatuhkan kepada Duo sanksi administratif berupa pembayaran sejumlah uang sekitar 1 miliar 197 juta won Korea Selatan dan denda administratif sebesar 13,2 juta won Korea Selatan terkait insiden tersebut.
Informasi yang Bocor
Kategori | Isi |
Informasi dasar | Nama, tanggal lahir, alamat, dan informasi kontak |
Informasi identifikasi unik | Nomor registrasi penduduk Korea Selatan |
Informasi sensitif | Agama dan riwayat perkawinan |
Lainnya | Riwayat pendidikan, tempat kerja, hubungan keluarga, dan informasi fisik |
Selain itu, sekitar 300.000 data yang seharusnya dimusnahkan setelah kontrak berakhir ternyata masih tersimpan dan turut bocor.
Karakteristik Struktur Data dalam Usaha Perjodohan
Karena karakteristik layanannya, usaha perjodohan mengumpulkan berbagai informasi untuk mencocokkan para anggotanya.
Berbeda dari layanan daring pada umumnya, informasi yang digunakan tidak terbatas pada verifikasi identitas, tetapi juga mencakup lingkungan kehidupan dan nilai-nilai pribadi seseorang.
• Informasi terkait status sosial seperti riwayat pendidikan, tempat kerja, dan aset
• Informasi mengenai karakteristik pribadi seperti agama dan kecenderungan pribadi
Informasi tersebut mungkin bersifat parsial jika dilihat secara terpisah, tetapi ketika digabungkan, informasi itu dapat mengidentifikasi dan menganalisis seseorang dengan tingkat akurasi yang sangat tinggi.
Dengan demikian, insiden ini bukan sekadar peretasan data pribadi satu kali, melainkan kebocoran seluruh data profil ke pihak luar.
Data semacam ini berpotensi disalahgunakan dalam berbagai bentuk, seperti penipuan, pendekatan yang disesuaikan dengan profil sasaran, dan pencurian identitas. Bagi perusahaan, sensitivitas informasi itu sendiri menjadi faktor yang memperluas cakupan tanggung jawabnya.
2. Peretasan Data Pribadi | Struktur Terjadinya Kebocoran Data Pribadi dan Cakupan Tanggung Jawab Pengelolaan
Persoalan utama dalam insiden peretasan data pribadi ini bukanlah tindakan peretasan eksternal itu sendiri, melainkan apakah sistem pengelolaan internal untuk mencegah peretasan tersebut telah berfungsi secara semestinya.
Pada umumnya, tanggung jawab perusahaan dalam insiden kebocoran data pribadi dinilai bukan berdasarkan terjadi atau tidaknya peretasan, melainkan berdasarkan apakah langkah teknis dan administratif untuk mencegah kemungkinan peretasan telah diterapkan secara memadai.
Namun, dalam insiden ini ditemukan sejumlah masalah pengelolaan sebagai berikut.
Kegagalan Pengendalian Internal dan Keterbatasan Langkah Perlindungan Teknis
• Sistem pengendalian akses basis data yang tidak memadai
• Tingkat enkripsi nomor registrasi penduduk Korea Selatan dan kata sandi yang tidak memadai
Faktor-faktor tersebut dapat dipandang bukan sekadar sebagai kerentanan teknis, tetapi sebagai indikasi bahwa sistem pengendalian internal tidak berfungsi secara memadai dalam keseluruhan proses pengolahan data pribadi.
Secara khusus, kegagalan memblokir akses ke basis data bahkan setelah informasi akun dicuri melalui komputer pegawai menunjukkan bahwa sistem pengelolaan hak akses dan pendeteksian aktivitas tidak wajar tidak dibangun dengan semestinya.
Pada akhirnya, perkara ini dapat dinilai bukan sebagai insiden satu kali akibat serangan eksternal, melainkan sebagai masalah struktural karena sistem pengelolaan internal dan langkah perlindungan teknis tidak berfungsi secara terpadu.
3. Peretasan Data Pribadi | Kewajiban Utama dan Struktur Pelanggaran Berdasarkan Undang-Undang Perlindungan Data Pribadi Korea Selatan
Tanggung jawab perusahaan dinilai bukan berdasarkan ada atau tidaknya pelanggaran tertentu secara terpisah, melainkan berdasarkan apakah kewajiban hukum telah dilaksanakan secara semestinya dalam seluruh proses pengolahan data pribadi.
Pelanggaran Kewajiban untuk Menerapkan Langkah Pengamanan
Pasal 29 Undang-Undang Perlindungan Data Pribadi Korea Selatan mengatur bahwa pengendali data pribadi wajib mengambil langkah perlindungan teknis dan administratif untuk mencegah kebocoran data pribadi.
Langkah tersebut mencakup pengelolaan hak akses, penetapan prosedur autentikasi, dan penerapan enkripsi.
Dalam insiden ini, dipastikan bahwa batas jumlah kegagalan autentikasi masuk tidak ditetapkan dan pengendalian akses basis data juga tidak memadai.
Selain itu, tingkat enkripsi yang diterapkan pada kata sandi dan nomor registrasi penduduk Korea Selatan juga terbukti tidak memadai.
Pelanggaran Kewajiban Pemberitahuan dan Pelaporan Kebocoran
Pasal 34 Undang-Undang Perlindungan Data Pribadi Korea Selatan mengatur bahwa apabila terjadi kebocoran data pribadi, perusahaan wajib memberitahukannya kepada subjek data dan, apabila memenuhi ambang batas tertentu, melaporkannya kepada otoritas pengawas dalam waktu 72 jam.
Namun, dalam insiden ini dipastikan bahwa laporan tidak disampaikan dalam jangka waktu yang ditentukan meskipun kebocoran telah diketahui, dan pemberitahuan kepada subjek data juga terlambat.
Pelanggaran Pembatasan Pengolahan Nomor Registrasi Penduduk Korea Selatan
Pasal 24-2 Undang-Undang Perlindungan Data Pribadi Korea Selatan pada prinsipnya melarang pengumpulan dan pengolahan nomor registrasi penduduk Korea Selatan, serta hanya mengizinkannya sebagai pengecualian apabila terdapat dasar hukum yang tegas.
Dalam usaha perantara perjodohan, tidak terdapat dasar hukum yang jelas untuk mengumpulkan nomor registrasi penduduk Korea Selatan. Meskipun demikian, pengumpulan dan penyimpanan informasi tersebut menjadi persoalan yang disoroti.
Hal ini menunjukkan bahwa terlepas dari apakah masa penyimpanan telah ditetapkan, seluruh data terkait dapat berubah menjadi risiko hukum apabila prosedur pemusnahan tidak benar-benar dilaksanakan.
4. Peretasan Data Pribadi | Kriteria Penilaian Tanggung Jawab Perusahaan
Dalam insiden peretasan data pribadi, tanggung jawab perusahaan bergantung pada sejauh mana pengendali data pribadi benar-benar telah menerapkan langkah perlindungan yang diwajibkan.
Secara khusus, faktor-faktor berikut dipertimbangkan secara menyeluruh.
Faktor-Faktor yang Dipertimbangkan
• Cakupan dan skala informasi yang bocor
• Tingkat pengendalian akses dan sistem pengelolaan internal
• Pelaksanaan prosedur pelaporan dan pemberitahuan setelah kebocoran
Dalam insiden seperti ini, yang mencakup riwayat perkawinan, hubungan keluarga, tempat kerja, dan kondisi ekonomi seseorang, sensitivitas informasi dapat dinilai tinggi sehingga cakupan tanggung jawab perusahaan juga berpotensi meluas.
Selain itu, meskipun standar pengolahan data pribadi atau kebijakan keamanan telah tersedia secara internal, perusahaan sulit dianggap telah melaksanakan kewajiban pengelolaannya apabila standar tersebut tidak berfungsi dengan semestinya dalam praktik operasional.
Pada akhirnya, penilaian tanggung jawab dalam insiden peretasan data pribadi memiliki karakteristik yang lebih berfokus pada apakah sistem pengelolaan yang dibangun sebelumnya benar-benar berfungsi daripada pada terjadinya kebocoran itu sendiri.
Struktur dan Pola Peningkatan Risiko Perusahaan
Pada tahap awal, sanksi administratif berupa pembayaran sejumlah uang dan denda administratif dikenakan. Namun, perkara tersebut umumnya kemudian berlanjut menjadi gugatan ganti rugi, dan ketika disertai kerusakan citra perusahaan serta hilangnya pelanggan, skala kerugian nyata akan semakin meningkat.
Tahap | Jenis risiko |
Tahap 1 | Sanksi administratif, termasuk pembayaran sejumlah uang dan denda administratif |
Tahap 2 | Gugatan ganti rugi dan sengketa kolektif |
Tahap 3 | Penurunan reputasi dan hilangnya pelanggan |
Tahap 4 | Regulasi tambahan dan pengawasan yang lebih ketat |
Secara khusus, apabila kebocoran mencakup informasi sensitif dan data profil seperti dalam insiden ini, risiko setelah tahap 2 dapat meningkat dengan cepat.
Selain itu, apabila ditemukan keterlambatan pemberitahuan mengenai kebocoran atau kekurangan dalam sistem pengelolaan internal, hal tersebut dapat memengaruhi tidak hanya tingkat sanksi administratif, tetapi juga cakupan tanggung jawab perdata.
Pada akhirnya, insiden peretasan data pribadi perlu dipahami sebagai struktur yang menimbulkan risiko administratif, perdata, dan usaha secara berantai.
5. Peretasan Data Pribadi | Strategi Penanganan bagi Perusahaan
Insiden peretasan data pribadi ini merupakan perkara yang menunjukkan bahwa berfungsi atau tidaknya sistem pengelolaan internal, bukan serangan eksternal itu sendiri, berkaitan dengan tanggung jawab perusahaan.
Oleh karena itu, perusahaan perlu melakukan pemeriksaan struktural terhadap seluruh proses pengolahan data pribadi.
Secara khusus, penting untuk memastikan bahwa sistem pengelolaan pada setiap tahap, mulai dari pengumpulan, penyimpanan, akses, dan pemusnahan data pribadi hingga penanganan kebocoran, benar-benar berfungsi.
Daftar Periksa Penanganan bagi Perusahaan
Kategori | Hal yang perlu diperiksa |
Pengumpulan data pribadi | Apakah hanya informasi dalam cakupan minimum yang diperlukan untuk menyediakan layanan yang dikumpulkan |
Pengolahan informasi identifikasi unik | Pemeriksaan terhadap pengumpulan dan penyimpanan informasi yang dibatasi secara hukum, seperti nomor registrasi penduduk Korea Selatan, serta dasar hukumnya |
Pengendalian akses | Apakah sistem pengelolaan hak akses pegawai internal dan sistem telah dioperasikan |
Sistem keamanan | Apakah prosedur autentikasi, enkripsi, dan sistem pendeteksian intrusi telah dibangun |
Penyimpanan dan pemusnahan | Apakah prosedur pemusnahan informasi yang telah melewati masa penyimpanan benar-benar dilaksanakan |
Penanganan kebocoran | Apakah sistem pelaporan dalam waktu 72 jam dan pemberitahuan kepada subjek data telah dibangun |
Pengelolaan internal | Apakah standar pengolahan data pribadi dan prosedur pengendalian internal benar-benar diterapkan |
Strategi Firma Hukum Daeryun
Insiden peretasan data pribadi memiliki karakteristik bahwa cakupan tanggung jawab perusahaan dapat berbeda bergantung pada apakah sistem pengelolaan preventif telah dibangun sebelum insiden terjadi, bukan hanya pada tindakan yang dilakukan setelahnya.
Selain itu, apabila terjadi kebocoran, sanksi administratif, ganti rugi, dan risiko reputasi dapat timbul secara bersamaan sehingga diperlukan peninjauan hukum yang menyeluruh.
Berdasarkan pengalamannya dalam perlindungan data pribadi, kepatuhan data, dan penanganan sengketa korporasi, Firma Hukum Daeryun memberikan nasihat hukum praktis mengenai keseluruhan struktur pengolahan data pribadi perusahaan.
▶ Peninjauan legalitas struktur pengolahan informasi identifikasi unik dan informasi sensitif serta penyusunan langkah perbaikan
▶ Analisis risiko hukum pada sistem pengendalian akses internal dan pengelolaan keamanan
▶ Penyusunan strategi pelaporan, pemberitahuan, dan penanganan terhadap otoritas pengawas apabila terjadi kebocoran data pribadi
▶ Diagnosis awal risiko kemungkinan timbulnya ganti rugi dan sengketa serta pembangunan sistem penanganannya
Apabila diperlukan pemeriksaan struktur pengolahan data pribadi atau penyusunan strategi penanganan kebocoran, silakan lakukan peninjauan awal melalui 🔗pengacara korporasi.
