تحليل القضايا/الاتجاهات الأخيرة

مخالفة قانون حماية البيانات الشخصية | فرض غرامات مالية عن مخالفات إدارية بقيمة إجمالية قدرها 8.3 مليارات وون كوري جنوبي على الشركتين K وA لنقلهما البيانات الشخصية إلى الصين

2026.02.06Kuk Il KIM

قررت لجنة حماية البيانات الشخصية فرض غرامات مالية عن مخالفات إدارية يبلغ مجموعها نحو 8.3 مليارات وون كوري جنوبي وإصدار أوامر تصحيحية بحق الشركتين K وA بسبب مخالفة قانون حماية البيانات الشخصية.

خالفت الشركتان قانون حماية البيانات الشخصية بنقل بيانات المستخدمين الشخصية إلى خارج البلاد دون إذن.

1. مخالفة قانون حماية البيانات الشخصية، قضية أثارت مسألة مخالفة أحكام النقل إلى الخارج

حالة فرضت فيها غرامة مالية بسبب مخالفة قانون حماية البيانات الشخصية

هذه قضية الشركتين K وA اللتين فرضت عليهما غرامات مالية عن مخالفات إدارية بقيمة نحو 8.3 مليارات وون كوري جنوبي وأوامر تصحيحية بسبب مخالفة قانون حماية البيانات الشخصية.

فرضت لجنة حماية البيانات الشخصية، ويشار إليها فيما يلي بـ«اللجنة»، في 22 يناير الماضي غرامة مالية عن مخالفة إدارية قدرها 5,968,000,000 وون كوري جنوبي على شركة خدمات التكنولوجيا المالية المحلية K لمخالفتها أحكام النقل إلى الخارج المنصوص عليها في قانون حماية البيانات الشخصية، كما فرضت على شركة التكنولوجيا العالمية الكبرى A غرامة مالية عن مخالفة إدارية قدرها 2,405,000,000 وون كوري جنوبي وغرامة إدارية قدرها 2,200,000 وون كوري جنوبي.

بدأت اللجنة التحقيق على إثر تقارير إعلامية أفادت بأن الشركتين K وA نقلتا البيانات الشخصية إلى الشركة الصينية A دون موافقة العملاء، ثم أعلنت مخالفات القانون التي تبينت لها والتدابير المتخذة على النحو الآتي.

الشركة K التي قدمت البيانات الشخصية لجميع المستخدمين دون موافقتهم

كانت الشركة K ترسل معلومات الدفع وغيرها إلى الشركة A عبر شبكة الوساطة التابعة لشركة A Pay الصينية، التي تقدم خدمات تكامل أنظمة الدفع لدى الشركة A.

وكانت الشركة A قد أسندت إلى شركة A Pay الصينية أعمال معالجة البيانات الشخصية ضمن إجراءات الدفع، بما في ذلك احتساب درجة NSF، وهي درجة تستخدم للتنبؤ باحتمال عدم كفاية الأموال في حساب المستخدم.

وفي هذه العملية، أرسلت الشركة K، في 3 مناسبات إجمالا منذ عام 2018، البيانات الشخصية لجميع مستخدميها إلى شركة A Pay الصينية دون موافقتهم، لتمكين الشركة المسند إليها العمل من إنشاء نموذج احتساب درجة NSF.

كما واصلت الشركة K، يوميا من 27 يونيو 2019 حتى 21 مايو 2024، إرسال البيانات الشخصية لنحو 40 مليون مستخدم، يمثلون جميع مستخدميها، إلى شركة A Pay الصينية دون موافقة منفصلة، لتمكينها من احتساب درجة NSF لكل مستخدم.

وتبين أن البيانات المرسلة شملت أرقام الهواتف المحمولة المشفرة، وعناوين البريد الإلكتروني، وأرصدة الشحن، وعدد عمليات الدفع وشحن الرصيد والتحويل خلال الأسبوع الأخير.

الشركة A التي لم تخطر المستخدمين بإسناد معالجة البيانات الشخصية ونقلها إلى الخارج

أسندت شركة التكنولوجيا العالمية الكبرى A إلى شركة A Pay الصينية أعمال تكامل الأنظمة المتعلقة بدرجة NSF، بما في ذلك تطوير واجهة برمجة تطبيقات للاتصالات لربط وسائل الدفع، وكلفتها بمعالجة بيانات مستخدمي الشركة K الشخصية اللازمة لإرسال معلومات الدفع واحتساب درجات NSF.

لكنها لم تخطر المستخدمين بإسناد معالجة البيانات الشخصية ونقلها إلى الخارج ضمن سياسة معالجة البيانات الشخصية أو بوسائل أخرى.

2. فرض غرامات مالية بسبب مخالفة قانون حماية البيانات الشخصية

فرضت اللجنة على الشركتين K وA غرامات مالية عن مخالفات إدارية وأصدرت بحقهما أوامر تصحيحية بسبب مخالفة قانون حماية البيانات الشخصية.

ورأت اللجنة أن تقديم البيانات الشخصية لجميع المستخدمين دون موافقتهم من أجل إنشاء نموذج NSF واحتساب الدرجات وغيرها يشكل نقلا إلى الخارج دون أساس قانوني للمعالجة.

وبناء عليه، فرضت على الشركة K غرامة مالية عن مخالفة إدارية قدرها 5,968,000,000 وون كوري جنوبي، وأصدرت أمرا تصحيحيا يلزمها باستيفاء المتطلبات القانونية للنقل إلى الخارج.

كما فرضت على الشركة A غرامة مالية عن مخالفة إدارية قدرها 2,405,000,000 وون كوري جنوبي لعدم كشفها أو إخطارها أصحاب البيانات، من خلال سياسة معالجة البيانات الشخصية أو غيرها، بالجهة الخارجية المسند إليها العمل عند إسناد معالجة البيانات الشخصية إلى الخارج. وفرضت عليها غرامة إدارية قدرها 2,200,000 وون كوري جنوبي لعدم بيان واقعة إسناد المعالجة.

الشركة K تعترض مؤكدة أن الأمر إسناد قانوني للمعالجة

لكن الشركة K ادعت، خلال جلسة المرافعة المنعقدة في 18 أبريل في قضية وقف تنفيذ الغرامة المالية، أن «نقل البيانات الشخصية المعني كان إسنادا قانونيا للمعالجة».

وأوضحت أنه كان إسنادا قانونيا للمعالجة وإجراء ضروريا لأداء العمل، لأن تعزيز سهولة استخدام خدمة الدفع وأمنها كان يتطلب نظاما لمنع المدفوعات الاحتيالية.

واستنادا إلى سوابق المحكمة العليا، ادعت الشركة K أن التمييز بين تقديم البيانات إلى طرف ثالث وإسناد معالجتها يجب أن يستند إلى تحديد الجهة التي تعالج الأعمال ولصالح من تتم المعالجة، ومن يملك سلطة السيطرة على البيانات الشخصية وإدارتها. كما ادعت أن ملكية البيانات الشخصية تعود إلى الشركة K، وأن شركة A Pay الصينية محددة باعتبارها الجهة المسند إليها العمل، ولذلك فإن نقل البيانات الشخصية إلى الخارج يعد إسنادا للمعالجة.

في المقابل، تتمثل وجهة نظر اللجنة في أن الإرسال التلقائي للبيانات في حد ذاته يعد تقديما إلى طرف ثالث، وأن موافقة صاحب البيانات ضرورية لنقل بيانات المستخدمين إلى الخارج.

معايير العقاب على جريمة تسريب البيانات الشخصية وطريقة التعامل عند التسريب
عرض المزيد

3. مخالفة قانون حماية البيانات الشخصية، ما نهج دايريون؟

تعد قضية مخالفة قانون حماية البيانات الشخصية هذه، التي صدر فيها أمر بفرض غرامات مالية عن مخالفات إدارية يبلغ مجموعها 8.3 مليارات وون كوري جنوبي، حالة مهمة تؤكد ضرورة تحديد نطاق النقل إلى الخارج بوضوح والتزام مشغلي الأعمال بالمتطلبات القانونية عند إجراء هذا النقل، في ظل تزايد نقل البيانات الشخصية إلى الخارج مع انتشار خدمات المنصات العالمية.

عندما يقدم مشغل الأعمال خدمة تستلزم نقل البيانات الشخصية إلى الخارج، يجب عليه الحصول على موافقة منفصلة من صاحب البيانات. وإذا أسند معالجة البيانات الشخصية إلى جهة خارجية، فعليه أن يخطر صاحب البيانات بوضوح، من خلال سياسة معالجة البيانات الشخصية أو غيرها، بأن البيانات الشخصية ستنقل عبر الحدود.

وعند إسناد معالجة البيانات الشخصية إلى جهة خارجية، تتحمل الجهة المسندة المسؤولية تجاه صاحب البيانات. وإذا نقلت البيانات الشخصية خارج نطاق مسؤولية الجهة المسندة إلى نطاق مسؤولية طرف ثالث، فإن ذلك يعد «تقديما إلى طرف ثالث»، ولذلك يجب توافر أساس قانوني، مثل موافقة صاحب البيانات.

يتضمن قانون حماية البيانات الشخصية أحكاما عديدة، كما تتشابك فيه مفاهيم ومتطلبات النقل إلى الخارج، والتقديم إلى طرف ثالث وإسناد المعالجة؛ لذلك قد يكون من المناسب الاستعانة بمحام متخصص للوقاية من المخاطر.

يتولى فريق من المحامين المتخصصين لدى شركة دايريون للمحاماة أعمال ▲الاستشارات المتعلقة بمخالفة قانون حماية البيانات الشخصية ▲وتقديم المشورة بشأن النقل إلى الخارج والتقديم إلى طرف ثالث ▲والمراجعة المسبقة للمخاطر القانونية ▲والتعامل مع التحقيقات والإجراءات الإدارية ▲والاستجابة لحوادث تسرب البيانات الشخصية.