CONTENTS
- 1. Дело по вопросу о нарушении Закона Республики Корея о защите персональных данных
- 2. Позиция суда по вопросу о защите персональных данных
- - Надлежащий характер согласия на сбор и использование персональных данных
- - Отнесение данных к псевдонимизированной и анонимной информации
- - Несоответствие цели сбора фактической цели использования
- - Нарушение обязанности по уничтожению персональных данных
- - Необходимость отдельного согласия на обработку чувствительной информации
- 3. Значение решения по вопросу о защите персональных данных
- - Стратегия Дэрюн по делам о нарушении прав в сфере персональных данных
1. Дело по вопросу о нарушении Закона Республики Корея о защите персональных данных
В данном деле ключевым был вопрос о нарушении Закона Республики Корея о защите персональных данных.
Компания-ответчик управляла приложением для анализа романтических отношений и собирала фрагменты переписки между пользователем и другим лицом в KakaoTalk путем их непосредственной загрузки пользователем.
Впоследствии при разработке отдельного чат-бота на основе ИИ, предоставляемого той же компанией, ответчик перенес часть персональных данных и переписки, хранившихся в базе данных исходного приложения, в отдельную обучающую базу данных, использовал их для обучения модели и на этой основе запустил сервис чат-бота на основе ИИ.
Однако вследствие того, что цель обработки, указанная на этапе сбора персональных данных, не соответствовала цели их фактического использования, возникли вопросы о надлежащем характере согласия на обработку персональных данных и соблюдении требований к обработке псевдонимизированной или анонимной информации, пострадавшие предъявили требования о возмещении вреда (ущерба).
2. Позиция суда по вопросу о защите персональных данных
По данному делу суд пришел к следующим выводам.
Надлежащий характер согласия на сбор и использование персональных данных
Суд пришел к выводу, что одной лишь формальной и всеобъемлющей процедуры получения согласия недостаточно для выполнения предусмотренной Законом Республики Корея о защите персональных данных обязанности по получению надлежащего согласия.
По мнению суда, получение согласия посредством флажка с текстом «Я соглашаюсь с условиями использования и политикой обработки персональных данных» и предоставление ссылки для ознакомления с указанной политикой сами по себе не позволяют считать, что пользователь четко понимал способы использования своих персональных данных и согласился с ними.
Суд установил критерий, согласно которому содержание и объем согласия должны быть четко разграничены и доведены до сведения пользователя, а соответствующие сведения должны быть изложены в форме, позволяющей пользователю в достаточной мере их понять.
Отнесение данных к псевдонимизированной и анонимной информации
Суд пришел к выводу, что данные, использованные компанией-ответчиком при обучении ИИ, не соответствовали предусмотренным Законом Республики Корея о защите персональных данных критериям анонимной или псевдонимизированной информации.
Переписка содержала не только отдельные идентифицирующие сведения, включая имена, контактные данные, адреса, пароли и номера банковских счетов, но и сведения, позволявшие сделать выводы о социальных связях и личных обстоятельствах. Поэтому суд установил, что при сопоставлении с дополнительной информацией существовал значительный риск идентификации конкретного лица.
Суд также признал, что шифрование лишь части информации при хранении значительного объема остальных данных без их деидентификации не соответствовало требованиям к псевдонимизации, установленным статьей 28-2 Закона Республики Корея о защите персональных данных.
Несоответствие цели сбора фактической цели использования
Суд установил, что функции исходного приложения и сервис чат-бота на основе ИИ существенно различались по цели, характеру, функциональности и условиям использования, поэтому использование данных для обучения без согласия являлось использованием за пределами цели сбора, предусмотренной статьями 15 и 18 Закона Республики Корея о защите персональных данных.
Суд пришел к выводу, что одно лишь указание «разработка новых сервисов» в политике обработки персональных данных не позволяет считать, что субъект персональных данных мог предполагать обучение алгоритма ИИ или дал на него согласие.
Нарушение обязанности по уничтожению персональных данных
Суд также установил нарушение в связи с несоблюдением ответчиком предусмотренной законом обязанности раздельно хранить или уничтожать персональные данные пользователей, длительное время не пользовавшихся сервисом, и пользователей, прекративших регистрацию.
Суд признал это нарушением статей 21 и 39-6 Закона Республики Корея о защите персональных данных.
Необходимость отдельного согласия на обработку чувствительной информации
Переписка содержала сведения о здоровье, половой жизни, взглядах и убеждениях, относящиеся к чувствительной информации согласно части 1 статьи 23 Закона Республики Корея о защите персональных данных. Поскольку отдельное явно выраженное согласие на их обработку получено не было, суд установил нарушение законодательства, регулирующего чувствительную информацию.
В связи с этим с учетом риска причинения вреда и степени нарушения суд разделил лиц на группы в зависимости от утечки персональных данных, утечки чувствительной информации либо одновременной утечки данных обоих видов и присудил компенсацию морального вреда в размере 100 тысяч южнокорейских вон, 300 тысяч южнокорейских вон и 400 тысяч южнокорейских вон соответственно.
3. Значение решения по вопросу о защите персональных данных
Данное решение подтвердило, что для использования персональных данных, собранных в рамках существующего сервиса, в целях отдельной разработки и обучения ИИ необходимо заранее получить явно выраженное согласие субъекта персональных данных.
В частности, суд установил, что даже если использование псевдонимизированной информации без согласия обосновывается целями научного исследования, псевдонимизация должна быть выполнена на уровне, позволяющем признать, что потоки персональных данных контролируются техническими и организационными средствами, а риск идентификации устранен.
Суд также подтвердил, что даже компания, работающая с ИИ на основе данных, не вправе дополнительно использовать данные за пределами объема, который можно было предвидеть на этапе их сбора, а пределы обработки данных должны проектироваться с учетом требований законодательства уже на начальной стадии разработки сервиса.
Стратегия Дэрюн по делам о нарушении прав в сфере персональных данных
Дэрюн оказывает компаниям, управляющим платформами и сервисами на основе ИИ, следующие услуги.
Во-первых, на стадиях проектирования и первоначальной разработки сервиса проводится моделирование комплаенс-системы с предварительной проверкой соблюдения Закона Республики Корея о защите персональных данных.
Во-вторых, разрабатываются процедуры уведомления и получения согласия относительно целей сбора и использования персональных данных, сроков их хранения и объема использования с учетом понятности информации для пользователя.
В-третьих, в ходе эксплуатации сервиса предоставляется содействие при проверках надзорных органов, включая Комиссию по защите персональных данных Республики Корея и Комиссию Республики Корея по коммуникациям, а также при разработке мер по устранению выявленных недостатков.
В-четвертых, при утечке персональных данных или ином нарушении совместно разрабатываются меры уголовно-правового характера, включая подачу заявления потерпевшего о преступлении, сопровождение расследования, обоснование прекращения дела за отсутствием достаточных подозрений и смягчения наказания или меры, а также меры гражданско-правового характера, включая защиту от требований о возмещении вреда (ущерба).
В-пятых, для работников компаний и учреждений проводятся обучение и управление уязвимостями; при выявлении нарушений Закона Республики Корея о защите персональных данных применяется цифровая криминалистика (форензика) для анализа и сбора доказательств, а также формируется система предупреждения рисков.
По вопросам применения Закона Республики Корея о защите персональных данных можно воспользоваться сервисом 🔗записи на юридическую консультацию корпоративного юриста.
