Pelanggaran Undang-Undang Perlindungan Data Pribadi Korea Selatan | Perusahaan kartu W menggunakan data pribadi pemilik tempat usaha mitra tanpa izin, dikenai sanksi administratif sebesar 13,4 miliar won Korea Selatan

Perusahaan kartu W dikenai sanksi administratif berupa pembayaran sejumlah uang karena melanggar Undang-Undang Perlindungan Data Pribadi Korea Selatan.

Pada April 2024, Komisi Perlindungan Data Pribadi Korea Selatan memulai penyelidikan menyusul pemberitaan media bahwa perusahaan kartu W menggunakan data pribadi perwakilan tempat usaha mitra (selanjutnya disebut pemilik tempat usaha mitra) untuk memperoleh nasabah kartu baru.

Hasil penyelidikan memastikan bahwa perusahaan W menggunakan data pribadi pemilik tempat usaha mitra tanpa persetujuan untuk pemasaran penerbitan kartu kredit baru dan seorang pegawai pusat penjualan perusahaan W di Incheon menyerahkan informasi tersebut kepada agen pemasaran kartu.

Untuk meningkatkan kinerja penjualan, sejak Juli 2022 hingga April 2024, pusat penjualan perusahaan W di Incheon memasukkan nomor registrasi usaha tempat usaha mitra ke dalam program pengelolaan tempat usaha mitra dan mengakses data pribadi sedikitnya 131,862 pemilik tempat usaha mitra, termasuk nama, nomor registrasi penduduk Korea Selatan, nomor telepon seluler, dan alamat.

Selain itu, setelah memasukkan nomor registrasi penduduk Korea Selatan milik pemilik tempat usaha mitra ke dalam program pemeriksaan penerbitan kartu, pusat penjualan tersebut memeriksa apakah pemilik tersebut memiliki kartu kredit perusahaan W. Hasilnya kemudian dicatat pada dokumen cetak atau dipotret dan dibagikan melalui ruang obrolan grup KakaoTalk yang diikuti oleh agen pemasaran kartu dan pihak lainnya.

Khususnya sejak September 2023, data pribadi pemilik tempat usaha mitra dan status kepemilikan kartu mereka diakses melalui perintah pencarian informasi dalam basis data (DB) yang menyimpan data pribadi pemilik tempat usaha mitra dan anggota kartu, lalu dibuat menjadi berkas. Selanjutnya, sejak 8 Januari hingga 2 April 2024, data pribadi 75,676 orang dikirim melalui surel kepada agen pemasaran kartu dalam total 100 kesempatan.

Dengan demikian, data pribadi sedikitnya 207,538 pemilik tempat usaha mitra diakses dan diserahkan kepada agen pemasaran kartu, lalu digunakan untuk pemasaran penerbitan kartu W.

Namun, dari jumlah tersebut, sebanyak 74,692 pemilik tempat usaha mitra sama sekali tidak memberikan persetujuan atas penggunaan data mereka untuk pemasaran.

Atas tindakan perusahaan W yang 🔗melanggar Undang-Undang Perlindungan Data Pribadi Korea Selatan, Komisi Perlindungan Data Pribadi Korea Selatan mengenakan sanksi administratif berupa pembayaran sejumlah uang dengan total 13 miliar 451 juta won Korea Selatan dan menerbitkan perintah perbaikan berupa ▲penguatan pengendalian internal untuk mencegah penyalahgunaan data pribadi ▲pemenuhan kewajiban tindakan pengamanan, termasuk meminimalkan dan memeriksa hak akses ▲penguatan pengelolaan dan pengawasan terhadap personel yang menangani data pribadi.

Menanggapi hal tersebut, perusahaan W menyatakan akan menata hak akses pegawai terhadap sistem terminal internal dan membangun sistem pengelolaan yang mewajibkan persetujuan departemen perlindungan informasi sebelum data dikirim melalui surel eksternal.

Perusahaan juga diperkirakan akan memperkuat pengendalian internal, antara lain melalui pelatihan bagi pegawai dan pemeriksaan rutin terhadap sistem perlindungan informasi, guna mencegah terulangnya kasus serupa.

Komisi Perlindungan Data Pribadi Korea Selatan menegaskan, “Sekalipun persetujuan telah diperoleh ketika data pribadi pertama kali dikumpulkan, pemrosesan data pribadi di luar ruang lingkup persetujuan tersebut merupakan tindakan melawan hukum.” Komisi juga menekankan perlunya pemeriksaan berkala untuk memastikan bahwa kewenangan personel telah diberikan secara tepat, dikelola secara sah, dan tidak terjadi akses ilegal.

Ini merupakan pertama kalinya Komisi Perlindungan Data Pribadi Korea Selatan menjatuhkan sanksi administratif berupa pembayaran sejumlah uang kepada perusahaan kartu.

Komisi menambahkan bahwa pihaknya akan meninjau langkah penanganan yang disampaikan dalam waktu 90 hari sejak tanggal pemberitahuan resmi perintah perbaikan kepada perusahaan kartu dan mempertimbangkan apakah perkara tersebut akan berlanjut pada pengenaan denda administratif serta pelaporan pidana.

Pelanggaran Undang-Undang Perlindungan Data Pribadi Korea Selatan dapat dikenai sanksi administratif berupa pembayaran sejumlah uang mulai dari ratusan juta hingga puluhan miliar won Korea Selatan. Jika pelanggaran dilakukan dengan sengaja atau berulang, perkara tersebut bahkan dapat berlanjut pada penghukuman pidana.

Selain keputusan tata usaha negara, pelanggar juga dapat menghadapi gugatan ganti rugi perdata, pelaporan pidana, dan perintah pengumuman kepada publik. Oleh karena itu, memperoleh bantuan pengacara khusus untuk menangani perkara sejak tahap awal merupakan hal yang paling penting.

Sanksi terhadap perusahaan W kali ini menjadi contoh yang menunjukkan bahwa pemrosesan data pribadi di luar tujuan pengumpulan dan penggunaannya jelas merupakan tindakan melawan hukum.

Kasus ini juga menunjukkan pentingnya sistem pengendalian internal yang baik, termasuk pemeriksaan berkala terhadap hak akses data pribadi milik pegawai dan personel lain yang menangani data pribadi serta pemeriksaan catatan akses untuk memastikan tidak terjadi akses atau penggunaan data pribadi yang tidak diperlukan.

Para pengacara khusus Firma Hukum Daeryun yang berpengalaman menangani banyak perkara terkait bekerja sebagai satu tim untuk menyusun strategi penanganan insiden kebocoran data pribadi.

Firma tersebut juga memberikan bantuan dalam merancang organisasi dan prosedur perlindungan data pribadi untuk membangun sistem kepatuhan data pribadi di perusahaan, merancang proses audit internal dan butir pemeriksaan, serta membangun sistem pendukung bagi pejabat perlindungan data pribadi.