الامتثال لحماية البيانات الشخصية | لجنة حماية البيانات الشخصية تفرض غرامة مالية مقدارها 624,600,000,000 وون كوري جنوبي على كوبانغ… توسيع نطاق إدارة الشركات للبيانات الشخصية

ينبغي أولاً ملاحظة أن هذا الجزاء استند إلى ثبوت عدة مخالفات، وليس مخالفة واحدة.

خلصت لجنة حماية البيانات الشخصية إلى أن تسريباً واسع النطاق للبيانات الشخصية وقع نتيجة مخالفة الالتزام باتخاذ تدابير السلامة، بما في ذلك إدارة مفتاح توقيع الشهادة وضوابط الوصول.

كما رأت، على نحو مستقل، أن جمع سجلات نشاط المستخدمين عبر الإنترنت والاحتفاظ بها يشكلان أيضاً مخالفة لقانون حماية البيانات الشخصية.

ولا تكمن المسألة الأبرز في مقدار الغرامة ذاته، بل في تقييم تسريب البيانات الشخصية ومشكلة استخدام البيانات بوصف كل منهما مخالفة مستقلة.

ويعني ذلك أيضاً إمكان فرض جزاء منفصل استناداً إلى طريقة معالجة سجلات النشاط عبر الإنترنت حتى لو لم يقع حادث لتسريب البيانات الشخصية.

خلصت لجنة حماية البيانات الشخصية إلى أن كوبانغ جمعت سجلات نشاط الأعضاء عبر الإنترنت وخزنتها في قاعدة بيانات بصيغة تتيح تحديد هوية الأفراد.

وشمل التحقيق معلومات عناوين URL، وأوقات الاتصال، وعناوين IP المستخدمة للاتصال، ومعلومات استخدام التطبيقات.

تنظم المادة 15 من قانون حماية البيانات الشخصية الأساس القانوني لجمع البيانات الشخصية واستخدامها، ويلتزم معالج البيانات الشخصية بتحديد غرض المعالجة ونطاق الجمع بوضوح.

ودرست لجنة حماية البيانات الشخصية في هذه القضية مدى توافق جمع سجلات النشاط عبر الإنترنت والاحتفاظ بها مع معايير القوانين واللوائح ذات الصلة، وفرضت غرامة مالية قدرها نحو 201,100,000,000 وون كوري جنوبي على هذه المخالفة.

يتولى مسؤول حماية البيانات الشخصية (CPO)، ضمن نظام الامتثال لحماية البيانات الشخصية، الإشراف العام على مهام حماية البيانات الشخصية.

تنص المادة 31 من قانون حماية البيانات الشخصية على وجوب تعيين معالج البيانات الشخصية مسؤولاً لحماية البيانات الشخصية، وتكليفه بمهام تشمل فحص وضع معالجة البيانات الشخصية ووضع خطة الإدارة الداخلية وتنفيذها.

خلصت لجنة حماية البيانات الشخصية في هذا التحقيق إلى أن استقلالية مسؤول حماية البيانات الشخصية لدى كوبانغ لم تكن مكفولة على نحو كاف. كما درست مدى ملاءمة تشغيل النظام الذي يتيح لمسؤول حماية البيانات الشخصية ممارسة مهام إدارة عملية معالجة البيانات الشخصية والإشراف عليها بصورة فعلية.

وبناءً على ذلك، شمل نطاق التحقيق في هذه القضية نظام عمل الجهة المسؤولة عن حماية البيانات الشخصية، إلى جانب تسريب البيانات الشخصية وإشكالات معالجة سجلات النشاط عبر الإنترنت.

أعلنت لجنة حماية البيانات الشخصية أنها تحققت من جمع سجلات استخدام الخدمات، بصرف النظر عن إرادة المستخدمين، أثناء إدارة كوبانغ لشركائها الإعلانيين.

وشملت نتائج التحقيق أيضاً عملية جمع الشركاء الإعلانيين لسجلات زيارة المستخدمين للمواقع الإلكترونية وسجلات استخدام التطبيقات وغيرها.

حققت لجنة حماية البيانات الشخصية في مدى إدارة كوبانغ لعملية معالجة المعلومات المجموعة عبر شركائها الإعلانيين والإشراف عليها على نحو ملائم. وخلصت إلى ضرورة إجراء تحسينات لضمان شفافية معالجة البيانات الشخصية وحق المستخدمين في الاختيار، فأصدرت الأوامر التصحيحية ذات الصلة.

كما شمل التحقيق عملية استخدام كوبانغ لخدمات تنفيذ الطلبات (CFS) معلومات أوزان العاملين.

وتحققت لجنة حماية البيانات الشخصية من أن CFS استخدمت معلومات الأوزان التي جمعتها واحتفظت بها لأغراض إدارة صحة الموظفين أثناء دعوى متعلقة بإصابة عمل.

واعتبرت أن هذه المعلومات تندرج ضمن البيانات الحساسة المتعلقة بالحالة الصحية، ودرست مدى استخدامها خارج نطاق الغرض الذي جُمعت من أجله.

تنص المادة 23 من قانون حماية البيانات الشخصية على ضرورة وجود أساس قانوني مستقل أو الحصول على موافقة مستقلة من صاحب البيانات عند معالجة بيانات حساسة، مثل المعلومات الصحية.

وخلصت لجنة حماية البيانات الشخصية إلى أن عملية استخدام معلومات الأوزان لا تستوفي متطلبات معالجة البيانات الحساسة، وفرضت عليها غرامة مالية منفصلة.

خلصت لجنة حماية البيانات الشخصية في هذه القضية إلى ثبوت مخالفة مستقلة في عملية معالجة سجلات النشاط عبر الإنترنت، إلى جانب تسريب البيانات الشخصية لنحو 37,500,000 شخص.

ويجدر الانتباه أيضاً إلى أن نحو 201,100,000,000 وون كوري جنوبي من إجمالي الغرامات البالغ 624,600,000,000 وون كوري جنوبي فُرضت على مخالفات متعلقة بجمع سجلات النشاط عبر الإنترنت واستخدامها.

كما لم تكتف لجنة حماية البيانات الشخصية بالتحقق من واقعة تسريب البيانات الشخصية، بل حققت أيضاً في نظام عمل مسؤول حماية البيانات الشخصية، ونظام إدارة الشركاء الإعلانيين والإشراف عليهم، وعملية استخدام البيانات الحساسة.

ويبين ذلك أن نطاق التحقيق قد يشمل نتائج معالجة البيانات الشخصية، وعملية جمعها واستخدامها، ووضع تشغيل نظام الإدارة الداخلية.

بعد هذه القضية، ازدادت حاجة الشركات إلى فحص نظام الأمن المخصص لمنع تسريب البيانات الشخصية، ووضع تطبيق سياسة معالجة البيانات الشخصية، وطريقة استخدام سجلات النشاط عبر الإنترنت، ومدى حيازة بيانات حساسة، ونظام عمل مسؤول حماية البيانات الشخصية، ووضع إدارة الجهات المتعاقد معها والشركات الشريكة.

ويتعين على الشركات التي تدير خدمات عبر الإنترنت، بوجه خاص، التحقق من طريقة جمع البيانات المستخدمة في عمليات الإعلان والتسويق واستخدامها، ومدى إخطار المستخدمين بالمعلومات ذات الصلة على نحو ملائم.

لا تقتصر المسائل المتعلقة بالبيانات الشخصية على إدارة أمن المعلومات وحدها.

فإذا كُشفت مخالفات أثناء معالجة البيانات الشخصية، فقد تتأثر إدارات متعددة في الوقت نفسه، منها الشؤون القانونية والتسويق وتقنية المعلومات والموارد البشرية. وقد يلزم، بحسب الحالة، النظر في التعامل مع فرض الغرامات المالية، وتنفيذ الأوامر التصحيحية، والمطالبات بالتعويض عن الضرر.

لذلك، يتعين على الشركات وضع نظام للفحص الدوري يشمل عملية معالجة البيانات الشخصية بأكملها، والتحقق من توافق سياسة معالجة البيانات الشخصية مع واقع التشغيل الفعلي.

ومن المناسب أيضاً تحديد عوامل الخطر المحتملة مسبقاً من خلال المراجعة القانونية لطرق استخدام سجلات النشاط عبر الإنترنت، وإجراءات معالجة البيانات الحساسة، ووضع إدارة الجهات المتعاقد معها.