CONTENTS
- 1. Latar belakang perkara Perusahaan I yang mengajukan gugatan tata usaha negara setelah dikenai sanksi administratif
- - Dalil Perusahaan I yang mengajukan gugatan tata usaha negara untuk membatalkan sanksi administratif
- 2. Perusahaan I yang mengajukan gugatan tata usaha negara, dan pengadilan yang menjatuhkan putusan penolakan atas pokok perkara
- - Perusahaan I, insiden kebocoran data pribadi kembali terjadi pada tahun 2025
- 3. Sengketa tata usaha negara, bagaimana strategi Daeryun?
1. Latar belakang perkara Perusahaan I yang mengajukan gugatan tata usaha negara setelah dikenai sanksi administratif
Perusahaan I yang mengajukan gugatan tata usaha negara menerima keputusan pengenaan sanksi administratif berupa pembayaran sejumlah uang sekitar 70 juta won dari Komisi Perlindungan Data Pribadi Korea Selatan (selanjutnya disebut tergugat) pada tanggal 30 Agustus 2023.
Penggugat, Perusahaan I, adalah penyedia layanan informasi dan komunikasi yang mengoperasikan situs penyedia informasi rekrutmen sekaligus pengelola data pribadi.
Antara tanggal 29 hingga 30 September 2020, peretas melancarkan serangan credential stuffing dengan memasukkan secara acak ID dan kata sandi yang diperoleh secara ilegal melalui dark web dan sarana lainnya.
Akibatnya, dari lebih dari dua juta upaya login, sekitar 36 ribu di antaranya berhasil, data pribadi seperti resume milik 35.076 orang diakses.
Perusahaan I menyadari hal ini pada hari kejadian dan melaporkannya kepada instansi terkait, kemudian tergugat, setelah melakukan penyelidikan pada tahun 2022, menjatuhkan sanksi administratif sebesar 70.609.000 won dan denda administratif sebesar 3,6 juta won pada tanggal 30 Agustus 2023.
Atas hal tersebut, Perusahaan I kemudian mengajukan gugatan tata usaha negara untuk membatalkan keputusan tersebut.
Dalil Perusahaan I yang mengajukan gugatan tata usaha negara untuk membatalkan sanksi administratif
Pembatalan sanksi administratif melalui 🔗gugatan tata usaha negara yang diajukan Perusahaan I memuat dalil sebagai berikut.
1. Tidak adanya alasan yang mendasari keputusan
Perusahaan I mendalilkan bahwa mereka telah memiliki IDS (sistem deteksi intrusi), IPS (sistem pencegahan intrusi), serta sudah memiliki dan mengoperasikan sistem pemantauan mandiri.
Selain itu, mereka menyatakan telah melaksanakan seluruh tindakan sesuai dengan ‘Panduan Tindakan Perlindungan’ yang diterbitkan oleh Komisi Perlindungan Data Pribadi Korea Selatan dan Badan Internet dan Keamanan Korea Selatan, dan secara wajar telah melakukan seluruh tindakan keamanan yang dapat diharapkan secara wajar.
Dengan kata lain, mereka menegaskan bahwa insiden ini berasal dari kelalaian pengguna, seperti penggunaan kata sandi yang sama, sehingga bukan merupakan kesalahan perusahaan.
2. Penyimpangan dan penyalahgunaan kewenangan diskresi
Perusahaan I menyatakan bahwa penghitungan masa pelanggaran yang dimulai sejak tahun 2018 tidak berdasar.
Menurut dalil mereka, pada saat itu belum ada keharusan untuk menggunakan perangkat yang memiliki fungsi dekripsi HTTPS.
Perusahaan I menegaskan bahwa, dibandingkan dengan kasus serupa lainnya, hanya kepada perusahaan mereka diwajibkan penerapan autentikasi tambahan, dan karena kelalaian pengguna tidak dipertimbangkan, terdapat pelanggaran terhadap asas kesetaraan dan asas proporsionalitas.
2. Perusahaan I yang mengajukan gugatan tata usaha negara, dan pengadilan yang menjatuhkan putusan penolakan atas pokok perkara
Dalam pemeriksaan gugatan tata usaha negara, pengadilan menolak tuntutan Perusahaan I atas pokok perkara.
Pengadilan menunjukkan bahwa terdapat kekurangan dalam pengoperasian sistem serta adanya masalah pada waktu dan cara tindakan penanganan yang dilakukan Perusahaan I, dan penetapan besaran sanksi administratif oleh tergugat sudah tepat.
1. Kekurangan dalam pengoperasian sistem
Pengadilan menyoroti bahwa Perusahaan I menggunakan, dalam konteks HTTPS, IDS yang tidak memiliki fungsi dekripsi. Sebab, dengan IDS tersebut, peretasan yang terenkripsi tidak dapat dideteksi.
Selain itu, sebagian kebijakan deteksi pada IPS disetel ke ‘Allow’ sehingga serangan credential stuffing tidak terdeteksi.
Faktanya, Perusahaan I tidak dapat mendeteksi lebih dari dua juta upaya login yang tidak normal.
Pengadilan menunjukkan bahwa laporan dari pengguna justru diterima lebih dahulu daripada deteksi pelanggaran, dan jelas terdapat kekurangan dalam pengoperasian sistem, demikian yang ditegaskan pengadilan.
2. Waktu dan cara tindakan penanganan
Pengadilan menunjukkan bahwa serangan peretas dimulai pada 29 September, tetapi pemblokiran firewall oleh Perusahaan I baru dilakukan pada pagi hari tanggal 30 September.
Selain itu, berbagai tindakan pelengkap seperti pemblokiran ketika terjadi lebih dari 30 kali login dalam satu jam, penerapan CAPTCHA, dan penerapan autentikasi tahap kedua, semuanya baru dilaksanakan setelah insiden terjadi.
Pengadilan menunjukkan bahwa tindakan pelengkap di atas merupakan tindakan yang dapat dilakukan dengan teknologi pada saat itu dan tidak memerlukan biaya besar, sehingga sebenarnya dapat diterapkan bahkan sebelum insiden terjadi, dan menegaskan bahwa tindakan penanganan Perusahaan I kurang proaktif.
3. Ketepatan penetapan besaran sanksi administratif
Pengadilan menilai bahwa masa pelanggaran Perusahaan I terhitung sejak waktu pendiriannya (sekitar tahun 2018) hingga insiden pada tahun 2020, yaitu lebih dari dua tahun, sehingga dianggap sebagai perbuatan pelanggaran jangka panjang.
Selain itu, tergugat memberikan keringanan sebesar 20% dari jumlah dasar 88.261.000 won dengan alasan pelaporan sukarela dan kerja sama, sehingga menetapkan jumlah akhir sebesar 70.609.000 won.
Pengadilan menyatakan bahwa alasan keringanan dan pembebasan merupakan hal yang bersifat fakultatif sesuai dengan pengumuman resmi dan bukan merupakan penyimpangan kewenangan diskresi, sehingga penetapan besaran sanksi administratif oleh tergugat dinilai tepat.
Perusahaan I, insiden kebocoran data pribadi kembali terjadi pada tahun 2025
Namun, Perusahaan I diketahui kembali mengalami insiden kebocoran data pribadi pada Maret 2025.
Terkonfirmasi adanya indikasi bahwa sebagian informasi pelanggan bocor akibat serangan dari luar.
Perusahaan I menjelaskan bahwa setelah insiden terjadi, mereka telah menyelesaikan pemblokiran IP terkait, pemeriksaan dan perbaikan kerentanan sistem, serta penguatan pemantauan sistem; meskipun demikian, terhadap insiden kebocoran data pribadi yang berulang, pengenaan sanksi administratif dan perintah perbaikan dari Komisi Perlindungan Data Pribadi Korea Selatan diperkirakan akan menjadi lebih ketat.
3. Sengketa tata usaha negara, bagaimana strategi Daeryun?
Terkait gugatan tata usaha negara ini, pengadilan menilai bahwa Perusahaan I, dalam kaitannya dengan hal yang disyaratkan oleh peraturan perundang-undangan, tidak melengkapi tindakan teknis dan administratif serta kurang menjalankan pengoperasian yang efektif.
Gugatan tata usaha negara ini merupakan kasus yang kembali menegaskan bahwa pemasangan sistem keamanan yang bersifat formal saja tidak dapat dianggap telah memenuhi kewajiban hukum, dan bahwa kecepatan penanganan setelah terjadinya insiden keamanan, cara penanganannya, serta ada tidaknya tindakan pencegahan sebelumnya, semuanya menjadi faktor dalam penilaian sanksi administratif.
Menurut Pasal 29 Undang-Undang Perlindungan Data Pribadi Korea Selatan, pengelola data pribadi wajib mengambil tindakan teknis, administratif, dan fisik yang diperlukan untuk menjamin keamanan, seperti menyusun rencana pengelolaan internal dan menyimpan catatan akses, agar data pribadi tidak hilang, dicuri, bocor, dipalsukan, diubah, atau rusak.
Selain itu, yurisprudensi Mahkamah Agung Korea Selatan menyatakan bahwa penilaian dilakukan berdasarkan “apakah tindakan perlindungan yang secara wajar diharapkan menurut kelaziman sosial telah dilakukan sepenuhnya, dengan mempertimbangkan secara menyeluruh tingkat teknologi pada saat peretasan, skala usaha perusahaan, biaya keamanan, dan kemungkinan terjadinya kerugian”.
Oleh karena itu, perusahaan harus mempertimbangkan skala usahanya dan tingkat sensitivitas data pribadi yang dimilikinya, dan membangun sistem keamanan secara aktif pada tingkat yang secara realistis dapat diwujudkan, serta melakukan pemeriksaan berkala dan tindakan pelengkap.
Persoalan apakah tindakan teknis telah memadai bukan sekadar persoalan TI, melainkan persoalan yang secara hukum harus dibuktikan, yakni apakah tindakan perlindungan pada tingkat yang wajar diharapkan menurut kelaziman sosial saat itu telah dilakukan sepenuhnya.
Pada April lalu, perusahaan telekomunikasi S juga mengalami kebocoran data pribadi pada kartu SIM, dan setelah laporan kerugian akibat peretasan diterima, Unit Investigasi Siber Kepolisian Metropolitan Seoul memulai penyelidikan.
Pihak Komisi Perlindungan Data Pribadi Korea Selatan tidak menjatuhkan keputusan hanya karena adanya kebocoran data pribadi.
Yang menjadi isu penting adalah apakah tindakan pengamanan telah dilakukan dengan benar atau tidak terhadap kebocoran informasi akibat serangan kode berbahaya.
Di Firma Hukum Daeryun (Perseroan Terbatas), para pengacara yang berpengalaman menangani banyak perkara terkait data pribadi membentuk tim untuk menganalisis secara menyeluruh efektivitas sistem keamanan, cara pengoperasian, dan ketepatan penanganan insiden, serta menawarkan solusi.
