Закон Республики Корея о защите персональных данных | Суд признал использование собранных сообщений для обучения чат-бота на основе ИИ обработкой персональных данных без надлежащего согласия

Суд пришел к выводу, что одной лишь формальной и всеобъемлющей процедуры получения согласия недостаточно для выполнения предусмотренной Законом Республики Корея о защите персональных данных обязанности по получению надлежащего согласия.

По мнению суда, получение согласия посредством флажка с текстом «Я соглашаюсь с условиями использования и политикой обработки персональных данных» и предоставление ссылки для ознакомления с указанной политикой сами по себе не позволяют считать, что пользователь четко понимал способы использования своих персональных данных и согласился с ними.

Суд установил критерий, согласно которому содержание и объем согласия должны быть четко разграничены и доведены до сведения пользователя, а соответствующие сведения должны быть изложены в форме, позволяющей пользователю в достаточной мере их понять.

Суд пришел к выводу, что данные, использованные компанией-ответчиком при обучении ИИ, не соответствовали предусмотренным Законом Республики Корея о защите персональных данных критериям анонимной или псевдонимизированной информации.

Переписка содержала не только отдельные идентифицирующие сведения, включая имена, контактные данные, адреса, пароли и номера банковских счетов, но и сведения, позволявшие сделать выводы о социальных связях и личных обстоятельствах. Поэтому суд установил, что при сопоставлении с дополнительной информацией существовал значительный риск идентификации конкретного лица.

Суд также признал, что шифрование лишь части информации при хранении значительного объема остальных данных без их деидентификации не соответствовало требованиям к псевдонимизации, установленным статьей 28-2 Закона Республики Корея о защите персональных данных.

Суд установил, что функции исходного приложения и сервис чат-бота на основе ИИ существенно различались по цели, характеру, функциональности и условиям использования, поэтому использование данных для обучения без согласия являлось использованием за пределами цели сбора, предусмотренной статьями 15 и 18 Закона Республики Корея о защите персональных данных.

Суд пришел к выводу, что одно лишь указание «разработка новых сервисов» в политике обработки персональных данных не позволяет считать, что субъект персональных данных мог предполагать обучение алгоритма ИИ или дал на него согласие.

Суд также установил нарушение в связи с несоблюдением ответчиком предусмотренной законом обязанности раздельно хранить или уничтожать персональные данные пользователей, длительное время не пользовавшихся сервисом, и пользователей, прекративших регистрацию.

Суд признал это нарушением статей 21 и 39-6 Закона Республики Корея о защите персональных данных.

Переписка содержала сведения о здоровье, половой жизни, взглядах и убеждениях, относящиеся к чувствительной информации согласно части 1 статьи 23 Закона Республики Корея о защите персональных данных. Поскольку отдельное явно выраженное согласие на их обработку получено не было, суд установил нарушение законодательства, регулирующего чувствительную информацию.

В связи с этим с учетом риска причинения вреда и степени нарушения суд разделил лиц на группы в зависимости от утечки персональных данных, утечки чувствительной информации либо одновременной утечки данных обоих видов и присудил компенсацию морального вреда в размере 100 тысяч южнокорейских вон, 300 тысяч южнокорейских вон и 400 тысяч южнокорейских вон соответственно.

Дэрюн оказывает компаниям, управляющим платформами и сервисами на основе ИИ, следующие услуги.

Во-первых, на стадиях проектирования и первоначальной разработки сервиса проводится моделирование комплаенс-системы с предварительной проверкой соблюдения Закона Республики Корея о защите персональных данных.

Во-вторых, разрабатываются процедуры уведомления и получения согласия относительно целей сбора и использования персональных данных, сроков их хранения и объема использования с учетом понятности информации для пользователя.

В-третьих, в ходе эксплуатации сервиса предоставляется содействие при проверках надзорных органов, включая Комиссию по защите персональных данных Республики Корея и Комиссию Республики Корея по коммуникациям, а также при разработке мер по устранению выявленных недостатков.

В-четвертых, при утечке персональных данных или ином нарушении совместно разрабатываются меры уголовно-правового характера, включая подачу заявления потерпевшего о преступлении, сопровождение расследования, обоснование прекращения дела за отсутствием достаточных подозрений и смягчения наказания или меры, а также меры гражданско-правового характера, включая защиту от требований о возмещении вреда (ущерба).

В-пятых, для работников компаний и учреждений проводятся обучение и управление уязвимостями; при выявлении нарушений Закона Республики Корея о защите персональных данных применяется цифровая криминалистика (форензика) для анализа и сбора доказательств, а также формируется система предупреждения рисков.

По вопросам применения Закона Республики Корея о защите персональных данных можно воспользоваться сервисом 🔗записи на юридическую консультацию корпоративного юриста.