Анализ дел / Юридические обновления

Нарушение Закона Республики Корея о защите персональных данных | Решение суда о приобретении персональных данных, распространяемых без согласия субъекта персональных данных

2024.07.26Ким Кук Ир

Дело в отношении 3 подсудимых, занимавшихся телемаркетингом и иной деятельностью, которые за плату приобрели у продавца персональных данных большой массив таких данных и были обвинены в нарушении Закона Республики Корея о защите персональных данных и Закона Республики Корея о содействии использованию информационно-коммуникационных сетей и защите информации, рассматривалось в 3 судебных инстанциях и завершилось отклонением кассационной жалобы прокурора и частичным оправданием подсудимых.

Ниже рассмотрены основные положения указанного судебного решения.(Решение Верховного суда Республики Корея от 2024.6.17. по делу № 2019도3402)

1. Обстоятельства дела о нарушении Закона Республики Корея о защите персональных данных

Подсудимые решили получать персональные данные клиентов, у которых приближалось истечение срока подписки на интернет-услуги, чтобы связываться с ними по телефону, предлагать подключение к услугам другого интернет-провайдера, рекламировать такие услуги либо передавать персональные данные другим организациям.

Подсудимый 1 получил персональные данные клиентов без их согласия от лица 3, не привлеченного к ответственности по данному делу, и неустановленного лица; подсудимый 2 — от лица 1, не привлеченного к ответственности по данному делу; подсудимый 3 — от лица 2, не привлеченного к ответственности по данному делу.

В связи с этим подсудимым было предъявлено обвинение в нарушении прежней редакции Закона Республики Корея о защите персональных данных (по отдельным эпизодам в качестве альтернативного обвинения — в нарушении Закона Республики Корея о содействии использованию информационно-коммуникационных сетей и защите информации).

Нарушение Закона Республики Корея о защите персональных данных: позиция суда предыдущей инстанции

Согласно пункту 1 статьи 59 прежней редакции Закона Республики Корея о защите персональных данных (до внесения изменений 2020.2.4.), лицо, которое обрабатывает или обрабатывало персональные данные, не вправе получать персональные данные обманным или иным неправомерным средством или способом либо получать согласие на их обработку.

При нарушении прежней редакции Закона Республики Корея о защите персональных данных лицо, получившее персональные данные либо согласие на их обработку обманным или иным неправомерным средством или способом, а также лицо, которое, зная об этих обстоятельствах, получило персональные данные в целях извлечения прибыли или с иной неправомерной целью, наказывается лишением свободы с привлечением к труду, максимальный срок которого составляет 5 лет, либо штрафом, максимальный размер которого составляет 50 миллионов южнокорейских вон.

Центральный окружной суд Сеула, рассматривавший дело в предыдущей инстанции, по изложенным ниже основаниям пришел к выводу об отсутствии доказательств преступления по указанным пунктам обвинения и вынес оправдательный приговор по «основному обвинению и альтернативному обвинению № 1 в части получения персональных данных подсудимым 1, получения персональных данных подсудимым 2 от лица 1, не привлеченного к ответственности по данному делу, и получения персональных данных подсудимым 3 от лица 2, не привлеченного к ответственности по данному делу».

- Под «обманным или иным неправомерным средством или способом», предусмотренным прежней редакцией Закона Республики Корея о защите персональных данных, понимаются любые действия с использованием обмана либо иных методов, которые по общепринятым социальным нормам признаются неправомерными, с целью получения персональных данных или согласия на их обработку.(см. решение Верховного суда Республики Корея, вынесенное 2017.4.7. по делу № 2016도13263)

- К таким действиям относятся как активные, так и пассивные действия, способные повлиять на принятие решения субъектом персональных данных или их владельцем, а также действия, которые сами по себе признаются неправомерными по общепринятым социальным нормам независимо от принятия решения субъектом персональных данных, например взлом.

- В первой и второй частях соответствующего положения прежней редакции Закона Республики Корея о защите персональных данных отдельно указаны «лицо, получившее данные», и «лицо, которому данные были предоставлены». Поэтому одного лишь получения персональных данных при осведомленности о том, что они распространяются без согласия субъекта персональных данных или иного правового основания, недостаточно для признания того, что персональные данные были получены «обманным или иным неправомерным средством или способом».

- Однако если лицо получило персональные данные, зная, что лицо, которое обрабатывает или обрабатывало персональные данные, получило их либо согласие на их обработку обманным или иным неправомерным средством или способом, применяется вторая часть соответствующего положения.

2. Нарушение Закона Республики Корея о защите персональных данных: позиция Верховного суда Республики Корея

Прокурор незамедлительно подал кассационную жалобу на оправдательную часть приговора, однако Верховный суд Республики Корея согласился с позицией суда предыдущей инстанции.

Верховный суд Республики Корея полностью отклонил кассационную жалобу по обвинению в нарушении Закона Республики Корея о защите персональных данных по следующим основаниям.

- Из мотивировочной части решения суда предыдущей инстанции и материалов дела следует, что подсудимые в целях осуществления телемаркетинга несколько раз за плату приобретали у лиц, не привлеченных к ответственности по данному делу и продававших персональные данные, большие массивы таких данных, не проверяя их источник. Однако нельзя признать, что этими действиями они повлияли на волеизъявление указанных лиц способом, неправомерным с точки зрения общепринятых норм.

- Такие действия также нельзя приравнять к взлому или иному способу, который сам по себе представляет собой обман либо признается неправомерным с точки зрения общепринятых норм.

- Подсудимые знали, что приобретенные ими персональные данные были получены без согласия субъектов персональных данных, однако нет достаточных оснований считать, что они знали о получении этих данных неправомерным способом.

3. Нарушение Закона Республики Корея о защите персональных данных: стратегия Дэрюн

В данном деле было установлено, что деяние не подпадает ни под первую, ни под вторую часть пункта 2 статьи 72 («Наказания») прежней редакции Закона Республики Корея о защите персональных данных, поэтому указанная ошибка суда предыдущей инстанции не повлияла на судебное решение.

Опираясь на опыт ведения различных дел о нарушении Закона Республики Корея о защите персональных данных, Дэрюн предоставляет юридические консультации по вопросам сопровождения проверок соблюдения требований о защите персональных данных, управления рисками их утечки, разрешения споров, связанных со взломом информационных систем, и уголовного наказания за нарушение законодательства о защите персональных данных.

По вопросам, связанным с нарушением Закона Республики Корея о защите персональных данных, можно обратиться к соответствующим специалистам по указанным номерам телефонов.