Peretasan Data Pribadi | ‘Profil Kehidupan’ 430.000 Anggota Duo Bocor… Apakah Struktur Risiko Tanggung Jawab Perusahaan Berubah?

Selain itu, sekitar 300.000 data yang seharusnya dimusnahkan setelah kontrak berakhir ternyata masih tersimpan dan turut bocor.

Karena karakteristik layanannya, usaha perjodohan mengumpulkan berbagai informasi untuk mencocokkan para anggotanya.

Berbeda dari layanan daring pada umumnya, informasi yang digunakan tidak terbatas pada verifikasi identitas, tetapi juga mencakup lingkungan kehidupan dan nilai-nilai pribadi seseorang.

Pasal 29 Undang-Undang Perlindungan Data Pribadi Korea Selatan mengatur bahwa pengendali data pribadi wajib mengambil langkah perlindungan teknis dan administratif untuk mencegah kebocoran data pribadi.

Langkah tersebut mencakup pengelolaan hak akses, penetapan prosedur autentikasi, dan penerapan enkripsi.

Dalam insiden ini, dipastikan bahwa batas jumlah kegagalan autentikasi masuk tidak ditetapkan dan pengendalian akses basis data juga tidak memadai.

Selain itu, tingkat enkripsi yang diterapkan pada kata sandi dan nomor registrasi penduduk Korea Selatan juga terbukti tidak memadai.

Pasal 34 Undang-Undang Perlindungan Data Pribadi Korea Selatan mengatur bahwa apabila terjadi kebocoran data pribadi, perusahaan wajib memberitahukannya kepada subjek data dan, apabila memenuhi ambang batas tertentu, melaporkannya kepada otoritas pengawas dalam waktu 72 jam.

Namun, dalam insiden ini dipastikan bahwa laporan tidak disampaikan dalam jangka waktu yang ditentukan meskipun kebocoran telah diketahui, dan pemberitahuan kepada subjek data juga terlambat.

Pasal 24-2 Undang-Undang Perlindungan Data Pribadi Korea Selatan pada prinsipnya melarang pengumpulan dan pengolahan nomor registrasi penduduk Korea Selatan, serta hanya mengizinkannya sebagai pengecualian apabila terdapat dasar hukum yang tegas.

Dalam usaha perantara perjodohan, tidak terdapat dasar hukum yang jelas untuk mengumpulkan nomor registrasi penduduk Korea Selatan. Meskipun demikian, pengumpulan dan penyimpanan informasi tersebut menjadi persoalan yang disoroti.

Hal ini menunjukkan bahwa terlepas dari apakah masa penyimpanan telah ditetapkan, seluruh data terkait dapat berubah menjadi risiko hukum apabila prosedur pemusnahan tidak benar-benar dilaksanakan.

Pada tahap awal, sanksi administratif berupa pembayaran sejumlah uang dan denda administratif dikenakan. Namun, perkara tersebut umumnya kemudian berlanjut menjadi gugatan ganti rugi, dan ketika disertai kerusakan citra perusahaan serta hilangnya pelanggan, skala kerugian nyata akan semakin meningkat.

Secara khusus, apabila kebocoran mencakup informasi sensitif dan data profil seperti dalam insiden ini, risiko setelah tahap 2 dapat meningkat dengan cepat.

Selain itu, apabila ditemukan keterlambatan pemberitahuan mengenai kebocoran atau kekurangan dalam sistem pengelolaan internal, hal tersebut dapat memengaruhi tidak hanya tingkat sanksi administratif, tetapi juga cakupan tanggung jawab perdata.

Pada akhirnya, insiden peretasan data pribadi perlu dipahami sebagai struktur yang menimbulkan risiko administratif, perdata, dan usaha secara berantai.

Insiden peretasan data pribadi memiliki karakteristik bahwa cakupan tanggung jawab perusahaan dapat berbeda bergantung pada apakah sistem pengelolaan preventif telah dibangun sebelum insiden terjadi, bukan hanya pada tindakan yang dilakukan setelahnya.

Selain itu, apabila terjadi kebocoran, sanksi administratif, ganti rugi, dan risiko reputasi dapat timbul secara bersamaan sehingga diperlukan peninjauan hukum yang menyeluruh.

Berdasarkan pengalamannya dalam perlindungan data pribadi, kepatuhan data, dan penanganan sengketa korporasi, Firma Hukum Daeryun memberikan nasihat hukum praktis mengenai keseluruhan struktur pengolahan data pribadi perusahaan.