CONTENTS
- 1. Pelanggaran hukum perlindungan data pribadi, perkara yang mempermasalahkan pelanggaran ketentuan pemindahan data ke luar negeri
- - Perusahaan K memberikan data pribadi seluruh pengguna tanpa persetujuan
- - Perusahaan A tidak memberi tahu adanya alih daya pemrosesan dan pemindahan data pribadi ke luar negeri
- 2. Pengenaan sanksi administratif atas pelanggaran hukum perlindungan data pribadi
- - Perusahaan K membantah dengan menyatakan bahwa tindakan tersebut merupakan alih daya pemrosesan yang sah
- 3. Pelanggaran hukum perlindungan data pribadi, apa strategi Firma Hukum Daeryun?
1. Pelanggaran hukum perlindungan data pribadi, perkara yang mempermasalahkan pelanggaran ketentuan pemindahan data ke luar negeri
Perusahaan K dan perusahaan A dikenai Sanksi administratif berupa pembayaran sejumlah uang sekitar 8,3 miliar won Korea Selatan serta Perintah perbaikan (korektif) atas pelanggaran hukum perlindungan data pribadi.
Pada 22 Januari, Komisi Perlindungan Data Pribadi Korea Selatan (selanjutnya disebut Komisi) masing-masing mengenakan Sanksi administratif berupa pembayaran sejumlah uang sebesar 5,968 miliar won Korea Selatan kepada perusahaan K, penyedia layanan teknologi finansial domestik, karena melanggar ketentuan pemindahan data ke luar negeri berdasarkan Undang-Undang Perlindungan Data Pribadi Korea Selatan, serta Sanksi administratif berupa pembayaran sejumlah uang sebesar 2,405 miliar won Korea Selatan kepada perusahaan A, sebuah perusahaan teknologi global, dan Denda administratif sebesar 2,2 juta won Korea Selatan.
Komisi memulai penyelidikan menyusul pemberitaan media bahwa perusahaan K dan perusahaan A telah menyerahkan data pribadi pelanggan kepada perusahaan A asal Tiongkok tanpa persetujuan, lalu mengumumkan pelanggaran hukum dan tindakan yang dijatuhkan sebagaimana diuraikan di bawah ini.
Perusahaan K memberikan data pribadi seluruh pengguna tanpa persetujuan
Perusahaan K mengirimkan informasi pembayaran dan data lainnya kepada perusahaan A melalui jaringan perantara A Pay asal Tiongkok, yang menyediakan layanan integrasi sistem pembayaran di perusahaan A.
Dalam proses pembayaran, perusahaan A mengalihdayakan pemrosesan data pribadi kepada A Pay asal Tiongkok, termasuk penghitungan skor NSF, yaitu skor yang digunakan untuk memprediksi kemungkinan kekurangan dana dalam rekening pengguna.
Dalam proses tersebut, sejak 2018 perusahaan K telah mengirimkan data pribadi seluruh penggunanya kepada A Pay asal Tiongkok sebanyak 3 kali tanpa persetujuan pengguna agar perusahaan penerima alih daya dari perusahaan A tersebut dapat membangun model penghitungan skor NSF.
Selain itu, setiap hari sejak 27 Juni 2019 hingga 21 Mei 2024, perusahaan K terus mengirimkan data pribadi sekitar 40 juta penggunanya kepada A Pay asal Tiongkok tanpa persetujuan tersendiri agar perusahaan tersebut dapat menghitung skor NSF setiap pengguna.
Data yang dikirimkan diketahui mencakup nomor telepon seluler dan alamat surel yang dienkripsi, saldo isi ulang, serta jumlah transaksi pembayaran, pengisian saldo, dan transfer selama satu minggu terakhir.
Perusahaan A tidak memberi tahu adanya alih daya pemrosesan dan pemindahan data pribadi ke luar negeri
Ketika mengalihdayakan pekerjaan integrasi sistem, termasuk pengembangan API komunikasi untuk menghubungkan metode pembayaran, kepada A Pay asal Tiongkok, perusahaan teknologi global A juga meminta perusahaan tersebut memproses data pribadi untuk pengiriman informasi pembayaran pengguna perusahaan K dan penghitungan skor NSF.
Namun, perusahaan A tidak memberi tahu pengguna mengenai alih daya pemrosesan dan pemindahan data pribadi ke luar negeri tersebut melalui kebijakan pemrosesan data pribadi atau sarana lainnya.
2. Pengenaan sanksi administratif atas pelanggaran hukum perlindungan data pribadi
Atas pelanggaran hukum perlindungan data pribadi tersebut, Komisi menjatuhkan Sanksi administratif berupa pembayaran sejumlah uang dan Perintah perbaikan (korektif) kepada perusahaan K dan perusahaan A.
Komisi menilai tindakan memberikan data pribadi seluruh pengguna tanpa persetujuan untuk membangun model NSF dan menghitung skor sebagai pemindahan data ke luar negeri tanpa dasar pemrosesan yang sah.
Oleh karena itu, Komisi mengenakan Sanksi administratif berupa pembayaran sejumlah uang sebesar 5,968 miliar won Korea Selatan kepada perusahaan K dan mengeluarkan Perintah perbaikan (korektif) agar perusahaan tersebut memenuhi persyaratan hukum untuk pemindahan data ke luar negeri.
Komisi juga mengenakan Sanksi administratif berupa pembayaran sejumlah uang sebesar 2,405 miliar won Korea Selatan kepada perusahaan A karena tidak mengungkapkan atau memberitahukan penerima alih daya di luar negeri kepada subjek data melalui kebijakan pemrosesan data pribadi atau sarana lainnya ketika mengalihdayakan pemrosesan data pribadi ke luar negeri. Selain itu, Denda administratif sebesar 2,2 juta won Korea Selatan dijatuhkan karena perusahaan tersebut tidak mengungkapkan adanya alih daya.
Perusahaan K membantah dengan menyatakan bahwa tindakan tersebut merupakan alih daya pemrosesan yang sah
Namun, dalam sidang pemeriksaan perkara Penundaan eksekusi atas Sanksi administratif berupa pembayaran sejumlah uang yang digelar pada 18 April, pihak perusahaan K menyatakan bahwa “pemindahan data pribadi tersebut merupakan alih daya pemrosesan yang sah”.
Menurut perusahaan K, tindakan tersebut merupakan alih daya pemrosesan yang sah dan prosedur yang diperlukan untuk menjalankan pekerjaan karena sistem pencegahan transaksi curang dibutuhkan untuk meningkatkan kemudahan dan keamanan layanan pembayaran.
Dengan merujuk pada preseden Mahkamah Agung Korea Selatan, perusahaan K berpendapat bahwa penentuan apakah suatu tindakan merupakan penyediaan kepada pihak ketiga atau alih daya pemrosesan harus didasarkan pada untuk siapa pekerjaan tersebut dilakukan dan untuk kepentingan siapa, serta siapa yang memiliki kendali dan kewenangan pengelolaan atas data pribadi. Perusahaan K juga menyatakan bahwa kepemilikan data pribadi berada pada perusahaan K dan A Pay asal Tiongkok dicantumkan sebagai penerima alih daya sehingga pemindahan data pribadi ke luar negeri tersebut termasuk alih daya pemrosesan.
Sebaliknya, Komisi berpandangan bahwa pengiriman informasi secara otomatis itu sendiri merupakan penyediaan kepada pihak ketiga sehingga persetujuan subjek data wajib diperoleh untuk memindahkan informasi pengguna ke luar negeri.
3. Pelanggaran hukum perlindungan data pribadi, apa strategi Firma Hukum Daeryun?
Perkara pelanggaran hukum perlindungan data pribadi yang berujung pada pengenaan Sanksi administratif berupa pembayaran sejumlah uang dengan total 8,3 miliar won Korea Selatan ini merupakan kasus penting karena, di tengah meningkatnya pemindahan data pribadi ke luar negeri akibat meluasnya layanan platform global, kasus ini memperjelas cakupan pemindahan ke luar negeri dan menegaskan kembali bahwa pelaku usaha wajib memenuhi persyaratan hukum saat memindahkan data ke luar negeri.
Apabila menyediakan layanan yang melibatkan pemindahan data pribadi ke luar negeri, pelaku usaha harus memperoleh persetujuan tersendiri dari subjek data. Jika pemrosesan data pribadi dialihdayakan kepada penerima di luar negeri, pelaku usaha harus memberi tahu secara jelas melalui kebijakan pemrosesan data pribadi atau sarana lainnya bahwa data pribadi tersebut akan dipindahkan melintasi batas negara.
Selain itu, apabila pemrosesan data pribadi dialihdayakan kepada pihak eksternal, pihak yang mengalihdayakan tetap memikul tanggung jawab terhadap subjek data. Jika data pribadi dipindahkan dari lingkup tanggung jawab pihak yang mengalihdayakan ke lingkup tanggung jawab pihak ketiga, tindakan tersebut termasuk 'penyediaan kepada pihak ketiga'. Oleh karena itu, dasar hukum seperti persetujuan subjek data wajib diperoleh.
Undang-Undang Perlindungan Data Pribadi Korea Selatan memiliki banyak ketentuan, sedangkan konsep dan persyaratan terkait pemindahan ke luar negeri, penyediaan kepada pihak ketiga, dan alih daya pemrosesan saling terkait secara kompleks. Oleh karena itu, sebaiknya risiko dicegah dengan memperoleh bantuan dari advokat profesional.
Firma Hukum Daeryun membentuk tim yang terdiri atas advokat profesional untuk menangani ▲konsultasi mengenai pelanggaran hukum perlindungan data pribadi ▲nasihat terkait pemindahan ke luar negeri dan penyediaan kepada pihak ketiga ▲pemeriksaan awal risiko hukum ▲penanganan penyelidikan dan proses administratif ▲penanganan insiden kebocoran data pribadi.
