CONTENTS
- 1. Perusahaan M yang mengajukan keberatan atas keputusan tata usaha negara
- - Dalil Perusahaan M yang mengajukan gugatan pembatalan sanksi administratif
- - Pendirian Komisi Perlindungan Data Pribadi Korea Selatan yang menyatakan sanksi administratif sah
- 2. Mahkamah Agung Korea Selatan menyimpulkan bahwa keputusan tata usaha negara tersebut ‘sah’
- - Uni Eropa juga menjatuhkan denda 324,9 miliar won kepada Perusahaan M
- 3. Bagaimana strategi Daeryun dalam menghadapi keputusan tata usaha negara?
1. Perusahaan M yang mengajukan keberatan atas keputusan tata usaha negara
Perusahaan M, perusahaan teknologi besar global yang mengajukan keberatan atas keputusan tata usaha negara, terkait SNS yang dioperasikannya, menyediakan data pribadi para penggunanya kepada pelaku usaha lain tanpa izin sehingga dari Komisi Perlindungan Data Pribadi Korea Selatan (selanjutnya disebut Komisi) menerima keputusan sanksi administratif sebesar 6,7 miliar won.
Komisi menjatuhkan keputusan tata usaha negara semacam ini setelah pada November 2020 mengonfirmasi bahwa Perusahaan M meneruskan data pribadi 3,3 juta pengguna SNS-nya di dalam negeri, seperti riwayat pendidikan, karier, daerah asal, keluarga, serta status pernikahan dan hubungan asmara, kepada sekitar sepuluh ribu pelaku usaha lain tanpa persetujuan.
Perusahaan M membantah dengan menyatakan bahwa informasi yang diberikan kepada pelaku usaha lain merupakan informasi yang sudah diungkap secara sukarela oleh pengguna sehingga bukan merupakan data pribadi, dan tidak melanggar Undang-Undang Perlindungan Data Pribadi Korea Selatan, tetapi kasasinya di Mahkamah Agung Korea Selatan pun ditolak.
Dalil Perusahaan M yang mengajukan gugatan pembatalan sanksi administratif
1. Bukan pihak yang mengumpulkan data pribadi
Perusahaan M mendalilkan bahwa informasi perilaku yang dikumpulkan dari situs web atau aplikasi pihak lain dikumpulkan oleh para pelaku usaha tersebut lalu diberikan kepada Perusahaan M atau dipercayakan pengolahannya, sehingga pihak yang mengumpulkan data pribadi bukanlah Perusahaan M.
Oleh karena itu, Perusahaan M mendalilkan bahwa persetujuan atas pengumpulan dan penggunaan data pribadi harus diperoleh oleh para pelaku usaha tersebut, dan Perusahaan M tidak memiliki kewajiban untuk memperoleh persetujuan.
2. Dalil bahwa tidak ada masalah dalam prosedur persetujuan
Perusahaan M menyatakan bahwa pada saat pendaftaran layanan SNS-nya telah memperoleh persetujuan atas ‘Kebijakan Data’, dan karena kebijakan tersebut memuat isi mengenai pengumpulan dan penggunaan informasi, maka telah memenuhi persyaratan yang diwajibkan oleh undang-undang.
3. Dalil mengenai ketidaksahan pengenaan sanksi administratif
Perusahaan M menyatakan bahwa Komisi mengenakan jumlah yang berlebihan, dan mendalilkan bahwa metode penetapan besaran sanksi administratif pun mengandung ketidaksahan.
Pendirian Komisi Perlindungan Data Pribadi Korea Selatan yang menyatakan sanksi administratif sah
Berikut adalah pendirian Komisi yang menyatakan bahwa sanksi administratif tersebut sah.
1. Dalil bahwa pihak yang secara substansial mengumpulkan data pribadi adalah Perusahaan M
Perusahaan M sendiri membuat pengenal daring lalu memberikannya kepada pengguna, dan berdasarkan hal itu mengumpulkan, menyimpan, serta menganalisis informasi perilaku dari pihak lain.
Komisi berpendapat bahwa karena situs web dan para pengguna tidak menyimpan informasi ini, kewajiban memperoleh persetujuan berada pada Perusahaan M, demikian dalil yang disampaikan.
2. Dalil bahwa tidak ada persetujuan yang sah
Komisi menunjukkan bahwa Perusahaan M hanya menyodorkan kebijakan data yang sangat panjang, tanpa menjelaskan secara jelas hal-hal yang wajib diberitahukan menurut hukum (tujuan pengumpulan, jenis data, jangka waktu penyimpanan, dan lain-lain).
Komisi juga menegaskan bahwa sementara prosedur persetujuan yang semestinya disediakan bagi pengguna di Eropa, pengguna di dalam negeri tidak diberitahu sebagaimana mestinya.
Selain itu, Komisi menunjukkan bahwa pada saat pendaftaran persetujuan dicentang secara otomatis (metode opt-out) juga menjadi masalah.
Komisi menilai bahwa perilaku Perusahaan M semacam ini tidak memenuhi persyaratan pemberitahuan yang jelas dan persetujuan di muka yang diwajibkan oleh Undang-Undang Perlindungan Data Pribadi Korea Selatan.
3. Dalil mengenai kelayakan pengenaan sanksi administratif
Komisi menilai bahwa karena Perusahaan M tidak memperoleh persetujuan yang sah atas pengumpulan dan penggunaan data pribadi, maka menjadi objek pengenaan sanksi administratif.
Selain itu, besaran sanksi administratif ditetapkan dengan mempertimbangkan nilai penjualan, tingkat keseriusan, dan masa pelanggaran, serta karena terdapat riwayat pelanggaran sebelumnya, keringanan pun dinilai tidak diperlukan.
Komisi juga mendalilkan bahwa jumlah sanksi administratif ditetapkan secara wajar dalam batas maksimum yang ditentukan undang-undang, dan bahwa kemanfaatan publik dari keputusan tersebut sangat besar dalam rangka melindungi hak menentukan sendiri atas data pribadi.
2. Mahkamah Agung Korea Selatan menyimpulkan bahwa keputusan tata usaha negara tersebut ‘sah’
Terhadap Perusahaan M yang mengajukan gugatan pembatalan atas keputusan tata usaha negara, Mahkamah Agung Korea Selatan mengikuti penilaian pengadilan tingkat pertama dan tingkat kedua serta menjatuhkan putusan yang menolak tuntutan Perusahaan M.
Perusahaan M mengajukan gugatan pada tahun 2021 dengan alasan keputusan tata usaha negara tersebut tidak adil, tetapi kalah baik pada pengadilan tingkat pertama tahun 2023 maupun tingkat kedua tahun 2024, dan kasasinya di Mahkamah Agung Korea Selatan pun ditolak, sehingga kekalahan akhirnya ditetapkan.
Mahkamah Agung Korea Selatan menilai bahwa informasi tersebut merupakan data pribadi, dan bahwa perbuatan Perusahaan M yang menyediakannya kepada pihak ketiga tanpa persetujuan pengguna merupakan pelanggaran terhadap Undang-Undang Perlindungan Data Pribadi Korea Selatan.
Putusan ini mengikuti putusan pengadilan sebelumnya yang menyatakan bahwa pengguna tidak dapat mengetahui dan tidak dapat pula memperkirakan hal-hal yang wajib diberitahukan menurut hukum untuk persetujuan atas data pribadi, sehingga tidak dapat dianggap telah memberikan persetujuan.
Selain itu, pengadilan menilai bahwa meskipun pengguna telah mengungkap informasinya, Perusahaan M sebagai penyedia layanan tetap memiliki tanggung jawab.
Komisi menyatakan bahwa berdasarkan putusan akhir, karena keberlakuan keputusan yang penundaan eksekusinya sempat terjadi akibat gugatan kini dilanjutkan kembali, pihaknya akan mendesak Perusahaan M untuk melaksanakan perintah perbaikan sekaligus memeriksa pelaksanaannya.
Uni Eropa juga menjatuhkan denda 324,9 miliar won kepada Perusahaan M
Pada April lalu, Uni Eropa juga menjatuhkan denda sebesar 200 juta euro (sekitar 324,9 miliar won Korea Selatan) kepada Perusahaan M.
Yang menjadi masalah adalah bahwa Perusahaan M pada praktiknya memaksa pengguna layanannya yang tidak membayar biaya penggunaan layanan untuk menyetujui pengumpulan data guna keperluan iklan.
Tindakan tersebut merupakan sanksi pertama yang dijatuhkan berdasarkan ‘Undang-Undang Pasar Digital (DMA)’, yang bertujuan mengatur dominasi pasar perusahaan teknologi besar global serta menciptakan pasar yang adil dan kompetitif.
Muncul pula pendapat bahwa hal ini tampak sebagai respons balasan Uni Eropa atas perang tarif terhadap pemerintahan Trump.
3. Bagaimana strategi Daeryun dalam menghadapi keputusan tata usaha negara?
Berdasarkan putusan Mahkamah Agung Korea Selatan yang menyatakan bahwa keputusan tata usaha negara tersebut sah, gugatan atas keputusan tata usaha negara kali ini tampaknya akan menjadi preseden yang menekankan tanggung jawab perlindungan data pribadi oleh penyelenggara platform berskala besar.
Siapa subjek yang mengumpulkan informasi, dalam hal apa persetujuan tegas dari pengguna harus diperoleh, serta kelayakan penghitungan sanksi administratif berupa pembayaran sejumlah uang merupakan wilayah yang sulit dinilai tanpa pemahaman mendalam atas peraturan perundang-undangan dan yurisprudensi terkait.
Oleh karena itu, apabila suatu perusahaan mengumpulkan dan memanfaatkan data pribadi atau menghadapi situasi untuk mempersoalkan keputusan tata usaha negara, sebaiknya perusahaan tersebut memperoleh bantuan pengacara yang memiliki pengetahuan profesional dan pengalaman praktis mengenai Undang-Undang Perlindungan Data Pribadi Korea Selatan.
Khususnya bagi perusahaan yang menjalankan layanan berbasis platform, sejak tahap awal perancangan layanan perlu diperiksa risiko hukum atas struktur pengumpulan dan pemanfaatan data pribadi, serta perlu diperoleh nasihat hukum yang memungkinkan penanganan secara strategis apabila di kemudian hari timbul sengketa.
Firma Hukum Daeryun (Perseroan Terbatas) berupaya secara maksimal dalam pengelolaan risiko bisnis perusahaan melalui kerja sama tim antara pengacara spesialis yang telah menangani banyak perkara terkait 🔗Pelanggaran Undang-Undang Perlindungan Data Pribadi Korea Selatan dan 🔗pengacara spesialis korporasi.
