Undang-Undang Perlindungan Data Pribadi Korea Selatan | Pengadilan menilai bahwa penggunaan data pesan yang dikumpulkan untuk pelatihan chatbot AI merupakan pemrosesan data pribadi tanpa persetujuan substantif

Pengadilan menilai bahwa prosedur persetujuan yang hanya bersifat formal dan menyeluruh tidak dapat dianggap telah memenuhi kewajiban untuk memperoleh persetujuan substantif sebagaimana diwajibkan oleh Undang-Undang Perlindungan Data Pribadi Korea Selatan.

Pengadilan berpandangan bahwa penerimaan persetujuan hanya melalui kotak centang bertuliskan “Saya menyetujui syarat dan ketentuan serta kebijakan pemrosesan data pribadi”, yang kemudian disertai tautan untuk membaca kebijakan pemrosesan data pribadi, tidak cukup untuk menyimpulkan bahwa pengguna telah memahami dengan jelas dan menyetujui cara data pribadinya akan digunakan.

Dengan demikian, pengadilan menetapkan standar bahwa isi dan ruang lingkup persetujuan harus dibedakan serta diberitahukan secara jelas dan harus dijelaskan dengan cara yang memungkinkan pengguna memahaminya secara memadai.

Pengadilan menilai bahwa data yang digunakan oleh perusahaan tergugat dalam proses pelatihan AI tidak memenuhi standar data anonim atau data berpseudonim berdasarkan Undang-Undang Perlindungan Data Pribadi Korea Selatan.

Kalimat percakapan tersebut tidak hanya memuat informasi identitas individual seperti nama, nomor kontak, alamat, kata sandi, dan nomor rekening, tetapi juga memuat informasi yang memungkinkan hubungan sosial dan informasi pribadi seseorang diperkirakan. Oleh karena itu, pengadilan menilai bahwa terdapat risiko yang cukup besar bahwa individu tertentu dapat diidentifikasi apabila data tersebut digabungkan dengan informasi tambahan.

Pengadilan juga menilai bahwa tindakan yang hanya mengenkripsi sebagian informasi dan menyimpan sebagian besar data tanpa melakukan deidentifikasi tidak memenuhi standar pseudonimisasi yang diwajibkan oleh Pasal 28-2 Undang-Undang Perlindungan Data Pribadi Korea Selatan.

Pengadilan berpandangan bahwa karena fungsi yang disediakan oleh layanan aplikasi lama dan layanan chatbot AI pada dasarnya berbeda dari segi tujuan, sifat, fungsi, serta lingkungan penggunaan, tindakan menggunakan data tersebut sebagai data pelatihan tanpa persetujuan merupakan penggunaan yang melampaui ruang lingkup tujuan pengumpulan sebagaimana diatur dalam Pasal 15 dan Pasal 18 Undang-Undang Perlindungan Data Pribadi Korea Selatan.

Pengadilan menilai bahwa pencantuman frasa “pengembangan layanan baru” dalam kebijakan pemrosesan data pribadi tidak serta-merta berarti bahwa subjek data dapat dianggap telah memperkirakan atau menyetujui penggunaan datanya untuk pelatihan algoritma AI.

Pengadilan juga mengakui adanya pelanggaran karena tergugat tidak mematuhi kewajiban hukum untuk menyimpan secara terpisah atau memusnahkan data pribadi milik pengguna yang sudah lama tidak menggunakan layanan dan pengguna yang telah menutup akunnya.

Pengadilan menilai bahwa hal tersebut merupakan pelanggaran Pasal 21 dan Pasal 39-6 Undang-Undang Perlindungan Data Pribadi Korea Selatan.

Meskipun kalimat percakapan tersebut memuat informasi yang tergolong sebagai data sensitif berdasarkan Pasal 23 ayat (1) Undang-Undang Perlindungan Data Pribadi Korea Selatan, seperti informasi kesehatan, kehidupan seksual, ideologi, dan keyakinan, perusahaan tidak memperoleh persetujuan tegas secara terpisah. Berdasarkan hal tersebut, pengadilan mengakui adanya pelanggaran ketentuan hukum terkait data sensitif.

Atas dasar tingkat risiko kerugian dan tingkat pelanggaran, pengadilan membagi korban ke dalam kelompok yang mengalami kebocoran data pribadi, kebocoran data sensitif, atau kebocoran kedua jenis data tersebut, lalu menetapkan uang santunan secara berbeda masing-masing sebesar 100.000 won Korea Selatan, 300.000 won Korea Selatan, dan 400.000 won Korea Selatan.

Firma Hukum Daeryun menyediakan layanan penanganan berikut bagi perusahaan layanan platform dan penyedia layanan AI.

Pertama, kami menyediakan pemodelan kepatuhan untuk melakukan pemeriksaan awal terhadap kepatuhan pada Undang-Undang Perlindungan Data Pribadi Korea Selatan sejak tahap perencanaan layanan dan pengembangan awal.

Kedua, kami menyusun prosedur pemberitahuan dan persetujuan mengenai tujuan pengumpulan dan penggunaan data pribadi, masa penyimpanan, serta ruang lingkup penggunaannya berdasarkan tingkat pemahaman pengguna.

Ketiga, selama pengoperasian layanan, kami mendukung penanganan pemeriksaan oleh lembaga pengawas, termasuk Komisi Perlindungan Informasi Pribadi Korea Selatan dan Komisi Komunikasi Korea Selatan, serta penyusunan langkah perbaikan.

Keempat, apabila terjadi kebocoran atau insiden pelanggaran data pribadi, kami merancang secara terpadu penanganan pidana (pengaduan pidana, penanganan penyidikan, strategi untuk memperoleh keputusan tidak cukup bukti, dan peringanan hukuman) serta penanganan perdata (strategi pembelaan terhadap gugatan ganti rugi).

Kelima, kami menyediakan sistem pencegahan risiko, termasuk pelatihan bagi pegawai internal perusahaan dan lembaga, pengelolaan kerentanan, serta analisis dan pengumpulan alat bukti melalui forensik digital apabila terjadi pelanggaran Undang-Undang Perlindungan Data Pribadi Korea Selatan.

Jika Anda memerlukan nasihat hukum terkait Undang-Undang Perlindungan Data Pribadi Korea Selatan, silakan segera membuat 🔗reservasi konsultasi hukum dengan pengacara korporasi.