الدعوى الإدارية | خسارة شركة I لدعوى إلغاء القرار بعد فرض غرامة مالية إدارية عليها بسبب تسرّب البيانات الشخصية

تلقّت شركة I التي رفعت الدعوى الإدارية في 30 أغسطس 2023 قراراً بفرض غرامة مالية إدارية بنحو 70 مليون وون من لجنة حماية البيانات الشخصية (المُشار إليها لاحقاً بالمدّعى عليها).

الشركة المدعية I هي مزوّد خدمات معلومات واتصالات ومعالِج للبيانات الشخصية يُشغّل موقعاً لتقديم معلومات التوظيف.

بين 29 و30 سبتمبر 2020، حاول قرصان تنفيذ هجوم حشو بيانات الاعتماد (Credential Stuffing) بإدخال معرّفات وكلمات مرور حصل عليها بطريقة غير مشروعة عبر الويب المظلم ونحوه بصورة عشوائية.

ونتيجة لذلك، نجح من بين أكثر من مليونَي محاولة تسجيل دخول نحو 36 ألف محاولة، وجرى الاطلاع على بيانات شخصية تشمل السير الذاتية لـ 35,076 شخصاً.

أدركت شركة I ذلك في يوم الحادث وأبلغت الجهات المعنية، وبعد تحقيق أجرته المدّعى عليها عام 2022 فرضت في 30 أغسطس 2023 غرامة مالية إدارية قدرها 70,609,000 وون وغرامة إدارية تنظيمية قدرها 3,600,000 وون.

وبناءً على ذلك رفعت شركة I دعوى إدارية تطلب فيها إلغاء القرار.

بعد نظر الدعوى الإدارية، قضت المحكمة برفض طلب شركة I.

أشارت المحكمة إلى وجود أوجه قصور في تشغيل النظام، وإلى وجود إشكال في توقيت تدابير استجابة شركة I وطريقتها، وأفادت بأنّ احتساب المدّعى عليها للغرامة المالية الإدارية سليم.

1. أوجه القصور في تشغيل النظام

أشارت المحكمة إلى أنّ شركة I استخدمت نظام كشف تسلّل (IDS) بلا وظيفة فكّ تشفير HTTPS؛ ذلك أنّ هذا النظام لا يستطيع كشف الاختراق المشفَّر.

كما أنّ بعض سياسات الكشف في نظام منع التسلّل (IPS) كانت مضبوطة على «Allow»، فلم يُكتَشف هجوم حشو بيانات الاعتماد.

وفعلياً لم تكتشف شركة I أكثر من مليونَي محاولة تسجيل دخول غير طبيعية.

وأشارت المحكمة إلى أنّ بلاغ المستخدمين وصل فعلياً قبل كشف الاختراق، وأكّدت أنه كانت هناك بوضوح أوجه قصور في تشغيل النظام.

2. توقيت تدابير الاستجابة وطريقتها

أشارت المحكمة إلى أنّ هجوم القرصان بدأ في 29 سبتمبر، لكنّ حجب جدار الحماية لدى شركة I لم يُنفَّذ إلا صباح 30 سبتمبر.

كما أنّ التدابير التكميلية، مثل الحجب عند تسجيل الدخول أكثر من 30 مرة خلال ساعة واحدة، وإدخال اختبار كابتشا (CAPTCHA)، وتطبيق المصادقة الثنائية، لم تُطبَّق جميعها إلا بعد الحادث.

وأشارت المحكمة إلى أنّ التدابير التكميلية المذكورة كانت ممكنة بتقنيات ذلك الوقت، وأنّ كلفتها لم تكن كبيرة، فكان بالإمكان إدخالها من قبل وقوع الحادث، وأكّدت أنّ تدابير استجابة شركة I لم تكن فاعلة.

3. سلامة احتساب الغرامة المالية الإدارية

رأت المحكمة أنّ مدة مخالفة شركة I تمتدّ من وقت التأسيس (نحو عام 2018) حتى حادث عام 2020، أي أكثر من سنتين، وتُعدّ فعلاً مخالفاً طويل الأمد.

كما احتسبت المدّعى عليها المبلغ النهائي بـ 70,609,000 وون بعد تخفيض 20% من المبلغ المرجعي البالغ 88,261,000 وون، وذلك بسبب الإبلاغ الذاتي والتعاون ونحوهما.

وقالت المحكمة إنّ أسباب التخفيض والإعفاء أمور تقديرية بحسب اللائحة، وليست تجاوزاً للسلطة التقديرية، وأفادت بأنّ احتساب المدّعى عليها للغرامة المالية الإدارية سليم.

بشأن الدعوى الإدارية، رأت المحكمة أنّ شركة I لم تستكمل التدابير التقنية والإدارية المطلوبة قانوناً، وأنها افتقرت إلى تشغيل فعّال.

وفي هذه الدعوى الإدارية، لا يُعدّ مجرّد تركيب نظام أمني شكلي وفاءً بالالتزام القانوني، وكانت القضية مناسبة لإعادة التأكيد على أنّ سرعة المعالجة بعد وقوع الحادث الأمني وطريقتها ووجود تدابير مسبقة من عدمه، كلها تنعكس في عناصر تقدير الغرامة المالية الإدارية.

ووفقاً للمادة 29 من قانون حماية البيانات الشخصية، يجب على معالِج البيانات الشخصية اتخاذ التدابير التقنية والإدارية والمادية اللازمة لضمان الأمان، كوضع خطة إدارة داخلية وحفظ سجلات الدخول، حتى لا تُفقَد البيانات الشخصية أو تُسرَق أو تُسرَّب أو تُزوَّر أو تُحرَّف أو تُتلَف.

كما تنصّ سوابق المحكمة العليا على أنّ الحكم يكون بحسب «مدى اتخاذ تدابير الحماية المتوقّعة بصورة معقولة عرفاً، بجمع مستوى التقنية وقت الاختراق وحجم أعمال الشركة وكلفة الأمن واحتمال الضرر ونحوها».

لذلك ينبغي للشركة، بمراعاة حجم أعمالها ودرجة حساسية البيانات الشخصية التي تحتفظ بها، أن تُنشئ نظاماً أمنياً بفاعلية إلى المستوى القابل للتحقيق واقعياً، وأن تتّخذ فحصاً دورياً وتدابير تكميلية.

ومسألة ما إذا كانت التدابير التقنية كافية تتجاوز كونها مسألة تقنية معلوماتية بحتة، إذ هي مسألة يجب فيها الإثبات القانوني لمدى اتخاذ تدابير الحماية إلى المستوى المتوقّع عرفاً في ذلك الوقت.

وفي أبريل الماضي، تعرّضت شركة الاتصالات S أيضاً لتسرّب بيانات شخصية من شرائح USIM، وقُدِّم بلاغ بضرر الاختراق، فباشرت وحدة التحقيقات الإلكترونية بوكالة شرطة سيول العاصمة التحقيق.

ولا تُصدِر لجنة البيانات الشخصية قراراً بمجرّد تسرّب البيانات الشخصية.

بل يصبح من المسائل المهمة ما إذا كانت التدابير الأمنية قد اتُّخذت على نحو سليم إزاء تسرّب المعلومات الناجم عن هجوم البرمجيات الخبيثة أم لا.

تقترح شركة دايريون للمحاماة الحلول عبر تحليل شامل لفاعلية النظام الأمني وطريقة تشغيله وملاءمة الاستجابة للحادث ونحوها، من خلال فريق من المحامين المتخصصين ذوي الخبرة في العديد من القضايا المتعلقة بالبيانات الشخصية.