قانون حماية البيانات الشخصية | قضت المحكمة بأن استخدام بيانات الرسائل المجمعة لتدريب روبوت محادثة قائم على الذكاء الاصطناعي يشكل معالجة للبيانات الشخصية دون موافقة فعلية

قضت المحكمة بأنه لا يمكن اعتبار مجرد إجراءات موافقة شكلية وشاملة وفاء بالالتزام بالحصول على موافقة فعلية الذي يقتضيه قانون حماية البيانات الشخصية.

ورأت المحكمة أنه لا يكفي الحصول على الموافقة من خلال مربع اختيار ينص فقط على «أوافق على الشروط وسياسة معالجة البيانات الشخصية»، ثم إتاحة رابط للاطلاع على سياسة معالجة البيانات الشخصية، للقول إن المستخدم أدرك بوضوح كيفية استخدام بياناته الشخصية ووافق عليه.

وبذلك، وضعت المحكمة معيارا يقضي بأن يجب الإخطار بمضمون الموافقة ونطاقها مع تمييزهما بوضوح، وشرحهما بطريقة تتيح للمستخدم إدراكهما إدراكا كافيا.

قضت المحكمة بأن البيانات التي استخدمتها الشركة المدعى عليها في عملية تدريب الذكاء الاصطناعي لا تستوفي معايير البيانات مجهولة الهوية أو البيانات ذات الأسماء المستعارة بموجب قانون حماية البيانات الشخصية.

تضمنت جمل المحادثات معلومات تعريف فردية، مثل الأسماء وبيانات الاتصال والعناوين وكلمات المرور وأرقام الحسابات، فضلا عن محتوى يمكن من خلاله استنتاج العلاقات الاجتماعية والمعلومات الشخصية؛ ولذلك رأت المحكمة أن خطر تحديد هوية شخص معين عند دمجها مع معلومات إضافية كان كبيرا.

وقضت المحكمة أيضا بأن الإجراء المتمثل في تشفير بعض المعلومات فقط وتخزين جزء كبير منها كما هو دون نزع هويته لا يستوفي معايير استخدام الأسماء المستعارة التي تقتضيها المادة 28-2 من قانون حماية البيانات الشخصية.

رأت المحكمة أنه نظرا إلى الاختلاف الجوهري بين الوظائف التي كانت تقدمها خدمة التطبيق القائمة وخدمة روبوت المحادثة القائمة على الذكاء الاصطناعي من حيث الغرض والطبيعة والوظائف وبيئة الاستخدام، فإن استخدام البيانات لأغراض التدريب دون موافقة يشكل استخداما يتجاوز نطاق غرض الجمع المنصوص عليه في المادتين 15 و18 من قانون حماية البيانات الشخصية.

وقضت بأنه لا يمكن اعتبار صاحب البيانات قد توقع تدريب خوارزمية للذكاء الاصطناعي أو وافق عليه لمجرد أن سياسة معالجة البيانات الشخصية نصت على «تطوير خدمات جديدة».

أقرت المحكمة أيضا بثبوت المخالفة الناشئة عن عدم امتثال الشركة المدعى عليها لالتزامها القانوني بتخزين البيانات الشخصية للمستخدمين غير النشطين منذ فترة طويلة والمنسحبين بصورة منفصلة أو إتلافها.

وقضت بأن ذلك يشكل انتهاكا للمادتين 21 و39-6 من قانون حماية البيانات الشخصية.

أقرت المحكمة بثبوت انتهاك الأحكام القانونية المتعلقة بالبيانات الحساسة استنادا إلى عدم الحصول على موافقة صريحة منفصلة، رغم أن جمل المحادثات تضمنت معلومات صحية ومحتوى متعلقا بالحياة الجنسية والأفكار والمعتقدات وغيرها من البيانات الحساسة المنصوص عليها في المادة 23 الفقرة 1 من قانون حماية البيانات الشخصية.

وبناء على ذلك، قسمت المحكمة المتضررين إلى مجموعات وفقا لخطر الضرر ودرجة الانتهاك، وهي حالات تسريب البيانات الشخصية، وتسريب البيانات الحساسة، وتسريب النوعين معا، وأقرت تعويضا متفاوتا عن الضرر المعنوي قدره 100,000 وون كوري جنوبي و300,000 وون كوري جنوبي و400,000 وون كوري جنوبي على التوالي.

تقدم شركة دايريون للمحاماة الخدمات التالية للتعامل مع المسائل التي تواجه شركات خدمات المنصات ومقدمي خدمات الذكاء الاصطناعي.

أولا، تقدم نمذجة للامتثال من أجل التحقق مسبقا، في مرحلتي تخطيط الخدمة وتطويرها الأولي، من مدى الامتثال لقانون حماية البيانات الشخصية.

ثانيا، تضع إجراءات الإخطار والموافقة المتعلقة بأغراض جمع البيانات الشخصية واستخدامها ومدة الاحتفاظ بها ونطاق استخدامها بما يراعي قدرة المستخدمين على فهمها.

ثالثا، تدعم التعامل مع تحقيقات الجهات الرقابية، مثل لجنة حماية البيانات الشخصية ولجنة الاتصالات الكورية، ووضع خطط التحسين أثناء تشغيل الخدمة.

رابعا، عند وقوع حادث تسريب أو انتهاك للبيانات الشخصية، تضع بصورة متكاملة استراتيجيات التعامل الجنائي، بما يشمل الشكوى الجنائية والتعامل مع التحقيقات والدفع بعدم كفاية الأدلة وتخفيف العقوبة، واستراتيجيات التعامل المدني للدفاع في مواجهة المطالبة بالتعويض عن الضرر.

خامسا، تقدم نظاما للوقاية من المخاطر يشمل تدريب موظفي الشركات والمؤسسات، وإدارة مواطن الضعف، وتحليل الأدلة وجمعها من خلال التحليل الجنائي الرقمي عند وقوع انتهاكات لقانون حماية البيانات الشخصية.

عند الحاجة إلى استشارة قانونية متعلقة بقانون حماية البيانات الشخصية، يمكن إجراء 🔗حجز استشارة قانونية مع محامي شركات.