Kepatuhan Perlindungan Data Pribadi | Komisi Perlindungan Informasi Pribadi Korea Selatan mengenakan sanksi administratif sebesar 624,6 miliar won Korea Selatan kepada Coupang… cakupan pengelolaan data pribadi perusahaan diperluas

Perlu dicermati terlebih dahulu bahwa sanksi kali ini dijatuhkan karena diakuinya beberapa perbuatan pelanggaran, bukan hanya satu perbuatan pelanggaran.

Komisi Perlindungan Informasi Pribadi Korea Selatan menilai bahwa kebocoran data pribadi berskala besar terjadi akibat pelanggaran kewajiban untuk mengambil langkah pengamanan, antara lain dalam pengelolaan kunci penandatanganan autentikasi dan pengendalian akses.

Secara terpisah, tindakan mengumpulkan dan menyimpan catatan aktivitas daring pengguna juga dinilai melanggar Undang-Undang Perlindungan Data Pribadi Korea Selatan.

Hal yang lebih patut diperhatikan daripada besarnya sanksi administratif adalah bahwa kebocoran data pribadi dan permasalahan pemanfaatan data masing-masing dinilai sebagai perbuatan pelanggaran yang berdiri sendiri.

Hal ini juga berarti bahwa metode pemrosesan catatan aktivitas daring dapat dikenai sanksi tersendiri meskipun tidak terjadi insiden kebocoran data pribadi.

Komisi Perlindungan Informasi Pribadi Korea Selatan menilai bahwa Coupang telah mengumpulkan catatan aktivitas daring para anggotanya dan menyimpannya dalam basis data dalam keadaan yang memungkinkan identifikasi individu.

Objek penyelidikan mencakup informasi URL, waktu akses, alamat IP akses, dan informasi penggunaan aplikasi.

Pasal 15 Undang-Undang Perlindungan Data Pribadi Korea Selatan mengatur dasar hukum pengumpulan dan penggunaan data pribadi, sedangkan pengendali data pribadi harus menetapkan tujuan pemrosesan dan cakupan pengumpulan secara jelas.

Dalam perkara ini, Komisi Perlindungan Informasi Pribadi Korea Selatan memeriksa apakah proses pengumpulan dan penyimpanan catatan aktivitas daring sesuai dengan standar peraturan perundang-undangan terkait serta mengenakan sanksi administratif berupa pembayaran sejumlah uang sebesar sekitar 201,1 miliar won Korea Selatan atas perbuatan pelanggaran tersebut.

Dalam sistem kepatuhan perlindungan data pribadi, pejabat perlindungan data pribadi (CPO) berperan mengawasi seluruh pekerjaan perlindungan data pribadi.

Pasal 31 Undang-Undang Perlindungan Data Pribadi Korea Selatan mengatur bahwa pengendali data pribadi wajib menunjuk pejabat perlindungan data pribadi dan menugaskannya untuk melaksanakan pekerjaan seperti memeriksa kondisi pemrosesan data pribadi serta menyusun dan menjalankan rencana pengelolaan internal.

Dalam penyelidikan ini, Komisi Perlindungan Informasi Pribadi Korea Selatan menilai bahwa independensi pejabat perlindungan data pribadi Coupang tidak dijamin secara memadai. Komisi juga memeriksa apakah sistem yang memungkinkan pejabat perlindungan data pribadi secara nyata menjalankan fungsi pengelolaan dan pengawasan terhadap proses pemrosesan data pribadi telah dioperasikan sebagaimana mestinya.

Oleh karena itu, selain kebocoran data pribadi dan permasalahan pemrosesan catatan aktivitas daring, sistem pengoperasian organisasi perlindungan data pribadi juga termasuk dalam objek penyelidikan dalam perkara ini.

Komisi Perlindungan Informasi Pribadi Korea Selatan menyatakan telah mengonfirmasi bahwa dalam proses pengoperasian mitra periklanan Coupang, catatan penggunaan layanan dikumpulkan tanpa memperhatikan kehendak pengguna.

Hasil penyelidikan juga mencakup proses ketika mitra periklanan mengumpulkan riwayat kunjungan situs web dan riwayat penggunaan aplikasi milik pengguna.

Komisi Perlindungan Informasi Pribadi Korea Selatan menyelidiki apakah Coupang telah mengelola dan mengawasi proses pemrosesan informasi yang dikumpulkan melalui mitra periklanan secara memadai. Berdasarkan hasilnya, Komisi menilai bahwa diperlukan penyempurnaan dalam aspek transparansi pemrosesan data pribadi dan jaminan atas hak pengguna untuk memilih, lalu mengeluarkan perintah perbaikan terkait.

Proses pemanfaatan informasi berat badan pekerja Coupang Fulfillment Services (CFS) juga termasuk dalam objek penyelidikan.

Komisi Perlindungan Informasi Pribadi Korea Selatan mengonfirmasi bahwa CFS telah menggunakan informasi berat badan yang dikumpulkan dan disimpan untuk tujuan pengelolaan kesehatan karyawan dalam proses litigasi terkait kecelakaan kerja.

Komisi menilai bahwa informasi tersebut merupakan data sensitif yang berkaitan dengan kondisi kesehatan dan memeriksa apakah informasi itu digunakan di luar cakupan tujuan pengumpulannya.

Pasal 23 Undang-Undang Perlindungan Data Pribadi Korea Selatan mengatur bahwa pemrosesan data sensitif, seperti informasi kesehatan, harus memiliki dasar hukum tersendiri atau memperoleh persetujuan terpisah dari subjek data.

Komisi Perlindungan Informasi Pribadi Korea Selatan menilai bahwa proses pemanfaatan informasi berat badan tidak memenuhi persyaratan pemrosesan data sensitif tersebut dan mengenakan sanksi administratif tersendiri atas hal itu.

Dalam perkara ini, Komisi Perlindungan Informasi Pribadi Korea Selatan menilai bahwa tidak hanya terjadi kebocoran data pribadi sekitar 37,5 juta orang, tetapi proses pemrosesan catatan aktivitas daring juga merupakan perbuatan pelanggaran tersendiri.

Hal yang juga patut diperhatikan adalah bahwa dari keseluruhan sanksi administratif sebesar 624,6 miliar won Korea Selatan, sekitar 201,1 miliar won Korea Selatan dikenakan atas perbuatan pelanggaran yang berkaitan dengan pengumpulan dan pemanfaatan catatan aktivitas daring.

Selain itu, Komisi Perlindungan Informasi Pribadi Korea Selatan tidak hanya mengonfirmasi kebocoran data pribadi, tetapi juga menyelidiki sistem pengoperasian pejabat perlindungan data pribadi, sistem pengelolaan dan pengawasan mitra periklanan, serta proses pemanfaatan data sensitif.

Hal ini menunjukkan bahwa tidak hanya hasil pemrosesan data pribadi, tetapi juga proses pengumpulan dan penggunaan data pribadi serta kondisi pengoperasian sistem pengelolaan internal dapat menjadi objek penyelidikan.

Setelah perkara ini, semakin besar kebutuhan bagi perusahaan untuk memeriksa tidak hanya sistem keamanan guna mencegah kebocoran data pribadi, tetapi juga kondisi penerapan kebijakan pemrosesan data pribadi, metode pemanfaatan catatan aktivitas daring, keberadaan data sensitif, sistem pengoperasian pejabat perlindungan data pribadi, serta kondisi pengelolaan penyedia jasa dan perusahaan mitra.

Terutama bagi perusahaan yang mengoperasikan layanan daring, perlu dipastikan bagaimana data yang digunakan dalam proses periklanan dan pemasaran dikumpulkan dan digunakan serta apakah informasi terkait telah diberitahukan kepada pengguna secara memadai.

Permasalahan terkait data pribadi bukan hanya masalah departemen keamanan informasi.

Apabila ditemukan pelanggaran dalam proses pemrosesan data pribadi, berbagai departemen seperti hukum, pemasaran, TI, dan sumber daya manusia dapat terdampak secara bersamaan. Dalam keadaan tertentu, perusahaan mungkin perlu mempertimbangkan penanganan pengenaan sanksi administratif, pelaksanaan perintah perbaikan, hingga tuntutan ganti rugi.

Oleh karena itu, perusahaan perlu membangun sistem pemeriksaan berkala terhadap seluruh proses pemrosesan data pribadi dan memastikan bahwa kebijakan pemrosesan data pribadi sesuai dengan kondisi operasional yang sebenarnya.

Selain itu, sebaiknya perusahaan mengidentifikasi terlebih dahulu faktor-faktor risiko potensial melalui peninjauan hukum terhadap metode pemanfaatan catatan aktivitas daring, prosedur pemrosesan data sensitif, dan kondisi pengelolaan penyedia jasa.