مخالفة قانون حماية البيانات الشخصية | شركة بطاقات W استخدمت دون إذن البيانات الشخصية لأصحاب المتاجر المتعاقدة، وغرامة قدرها 13.4 مليار وون كوري جنوبي

هذه هي شركة بطاقات W التي خضعت لقرار بفرض غرامة مالية عن مخالفة إدارية بسبب مخالفة قانون حماية البيانات الشخصية.

في 4/2024، بدأت لجنة حماية البيانات الشخصية تحقيقًا مع شركة بطاقات W على خلفية تقارير إعلامية أفادت باستخدام البيانات الشخصية لممثلي المتاجر المتعاقدة، ويشار إليهم فيما يلي بأصحاب المتاجر، في استقطاب عملاء جدد للبطاقات.

وأظهر التحقيق أن شركة W استخدمت البيانات الشخصية لأصحاب المتاجر دون موافقتهم في التسويق لإصدار بطاقات ائتمان جديدة، كما ثبت أن موظفًا تابعًا لمركز مبيعات شركة W في إنتشون (Incheon) نقل هذه المعلومات إلى مسوّقي البطاقات.

وسعيًا إلى رفع أداء المبيعات، أدخل مركز مبيعات شركة W في إنتشون أرقام تسجيل الأعمال الخاصة بالمتاجر في برنامج إدارة المتاجر خلال الفترة من 7/2022 إلى 4/2024، واطلع بذلك على البيانات الشخصية لما لا يقل عن 131,862 من أصحاب المتاجر، بما يشمل الأسماء، وأرقام تسجيل المقيمين، وأرقام الهواتف المحمولة والعناوين وغيرها.

كذلك، كان الموظفون يدخلون رقم تسجيل المقيم الخاص بصاحب المتجر في برنامج مراجعة طلبات إصدار البطاقات، ثم يتحققون مما إذا كان يحمل بطاقة ائتمان صادرة عن شركة W، ويدونون النتيجة في مستند مطبوع أو يصورونها ويشاركونها في غرفة دردشة جماعية على كاكاو توك (KakaoTalk) تضم مسوّقي البطاقات وغيرهم.

وثبت أنه منذ 9/2023، استخدمت الشركة أوامر الاستعلام في قاعدة بيانات (DB) تحتوي على البيانات الشخصية لأصحاب المتاجر وأعضاء البطاقات للاستعلام عن بيانات أصحاب المتاجر وما إذا كانوا يحملون بطاقات، ثم أنشأت ملفات بهذه البيانات وأرسلت عبر البريد الإلكتروني إلى مسوّقي البطاقات، خلال الفترة من 8/1/2024 إلى 2/4/2024، البيانات الشخصية لـ75,676 شخصًا في ما مجموعه 100 مرة.

وبهذه الطريقة، جرى الاطلاع على البيانات الشخصية لما لا يقل عن 207,538 من أصحاب المتاجر ونقلها إلى مسوّقي البطاقات، واستخدمت هذه البيانات في التسويق لإصدار بطاقات W.

غير أن 74,692 من أصحاب المتاجر هؤلاء لم يقدموا أي موافقة على استخدام بياناتهم لأغراض التسويق.

فيما يتعلق بأفعال شركة W المخالفة لـ🔗قانون حماية البيانات الشخصية، فرضت لجنة حماية البيانات الشخصية غرامة مالية عن مخالفة إدارية بلغ مجموعها 13 مليارًا و451 مليون وون كوري جنوبي، وأصدرت أوامر تصحيحية شملت ▲تعزيز الضوابط الداخلية لمنع الاستخدام الخاطئ أو التعسفي للبيانات الشخصية ▲الالتزام بتدابير الحماية، بما يشمل تقليص صلاحيات الوصول وفحصها ▲تعزيز إدارة الأشخاص المسؤولين عن معالجة البيانات الشخصية والإشراف عليهم.

وردًا على ذلك، أعلنت شركة W أنها ستعيد تنظيم صلاحيات وصول الموظفين إلى نظام الأجهزة الداخلية، وستنشئ نظامًا إداريًا يشترط الحصول على موافقة إدارة حماية المعلومات عند إرسال البيانات عبر البريد الإلكتروني إلى خارج الشركة.

ويُتوقع أيضًا أن تعزز الشركة ضوابطها الداخلية، بما يشمل تدريب الموظفين والمسؤولين التنفيذيين والفحص المستمر لنظام حماية المعلومات، لمنع تكرار حالات مماثلة.

وأكدت لجنة حماية البيانات الشخصية أن «معالجة البيانات الشخصية خارج النطاق الذي تمت الموافقة عليه تُعد غير مشروعة حتى إذا جرى الحصول على الموافقة عند جمعها في البداية»، وشددت على ضرورة التحقق دوريًا من منح صلاحيات المسؤولين عن المعالجة على نحو سليم ومن إدارتها بصورة مشروعة، وفحص ما إذا وقعت عمليات اطلاع غير قانونية.

هذه هي المرة الأولى التي تفرض فيها لجنة حماية البيانات الشخصية غرامة مالية عن مخالفة إدارية على شركة بطاقات.

وأضافت اللجنة أنها ستراجع تدابير الاستجابة التي ستقدمها شركة البطاقات خلال 90 يومًا من تاريخ إخطارها رسميًا بالأمر التصحيحي، وستبحث ما إذا كان الأمر سيؤدي إلى فرض غرامة إدارية وتقديم بلاغ جنائي.

وقد تؤدي مخالفة قانون حماية البيانات الشخصية، كما في هذه الحالة، إلى فرض غرامات مالية عن مخالفات إدارية تتراوح من مئات الملايين إلى عشرات المليارات من الوون الكوري الجنوبي، وقد تصل إلى العقاب الجنائي إذا كانت المخالفة متعمدة أو متكررة.

كما قد تترتب عليها، إلى جانب القرار الإداري، مطالبة مدنية بالتعويض عن الضرر وبلاغ جنائي وأمر بالنشر، ولذلك تكتسب الاستعانة بمحام متخصص للتعامل مع القضية منذ مراحلها الأولى أهمية كبيرة.

وكان القرار الصادر بحق شركة W مثالًا يبين أن معالجة البيانات الشخصية خارج أغراض جمعها واستخدامها تشكل مخالفة قانونية واضحة.

كما يبين ضرورة إنشاء نظام متكامل للضوابط الداخلية، من خلال الفحص الدوري لصلاحيات وصول الموظفين وغيرهم من الأشخاص المسؤولين عن معالجة البيانات الشخصية، ومراجعة سجلات الاتصال للتحقق من عدم وقوع عمليات اطلاع أو استخدام غير ضرورية للبيانات الشخصية.

ويعمل لدى شركة دايريون للمحاماة محامون متخصصون ذوو خبرة في عدد من القضايا ذات الصلة ضمن فريق يضع استراتيجيات للتعامل مع حوادث تسرب البيانات الشخصية.

كما تقدم المساعدة في تصميم تنظيم وإجراءات حماية البيانات الشخصية اللازمة لإنشاء نظام امتثال داخل الشركات، وتصميم عمليات التدقيق الداخلي وبنود الفحص، وإنشاء منظومة لدعم المسؤول عن حماية البيانات الشخصية.