CONTENTS
- 1. Дело о нарушении положений о трансграничной передаче данных, предусмотренных Законом Республики Корея о защите персональных данных
- - Компания K без согласия предоставила персональные данные всех пользователей
- - Компания A не уведомила о поручении обработки персональных данных и их передаче за пределы страны
- 2. Денежные взыскания за нарушение Закона Республики Корея о защите персональных данных
- - Компания K возразила, что речь шла о законном поручении обработки
- 3. Нарушение Закона Республики Корея о защите персональных данных: подход Дэрюн
1. Дело о нарушении положений о трансграничной передаче данных, предусмотренных Законом Республики Корея о защите персональных данных
Речь идет о компаниях K и A, на которые за нарушение Закона Республики Корея о защите персональных данных были наложены денежные взыскания на сумму около 8 миллиардов 300 миллионов южнокорейских вон и выданы предписания об устранении нарушений.
22 января Комиссия по защите персональных данных Республики Корея (далее — Комиссия) наложила на корейскую финтех-компанию K денежное взыскание в размере 5 миллиардов 968 миллионов южнокорейских вон за нарушение положений Закона Республики Корея о защите персональных данных, регулирующих трансграничную передачу данных, а на международную технологическую компанию A — денежное взыскание в размере 2 миллиардов 405 миллионов южнокорейских вон и административный штраф в размере 2 миллионов 200 тысяч южнокорейских вон.
Комиссия начала проверку после публикаций в СМИ о том, что компании K и A передали персональные данные клиентов китайской компании A без их согласия, и сообщила о выявленных нарушениях и принятых мерах.
Компания K без согласия предоставила персональные данные всех пользователей
Компания K передавала платежные и иные сведения компании A через посредническую сеть китайской компании A Pay, предоставлявшей услуги по интеграции платежной системы в сервис компании A.
Компания A поручила китайской компании A Pay обработку персональных данных в рамках обработки платежей, включая расчет показателя NSF — показателя, используемого для прогнозирования вероятности недостаточности средств на счете пользователя.
В ходе этой деятельности компания K начиная с 2018 года в общей сложности 3 раза передавала китайской компании A Pay персональные данные всех своих пользователей без их согласия, чтобы компания A Pay могла разработать модель расчета показателя NSF.
С 27 июня 2019 года по 21 мая 2024 года компания K также ежедневно и без отдельного согласия пользователей передавала китайской компании A Pay персональные данные примерно 40 миллионов своих пользователей для расчета индивидуальных показателей NSF.
Установлено, что передаваемые сведения включали зашифрованные номера мобильных телефонов, адреса электронной почты, остатки пополненных средств, а также количество платежей, пополнений и денежных переводов за последнюю неделю.
Компания A не уведомила о поручении обработки персональных данных и их передаче за пределы страны
Международная технологическая компания A поручила китайской компании A Pay выполнение работ по системной интеграции (NSF), включая разработку коммуникационного API для подключения платежных средств, а также обработку персональных данных, необходимых для передачи платежной информации пользователей компании K и расчета показателей NSF.
Однако пользователи не были уведомлены об этом поручении обработки персональных данных и их передаче за пределы страны, в том числе посредством политики обработки персональных данных.
2. Денежные взыскания за нарушение Закона Республики Корея о защите персональных данных
За нарушение Закона Республики Корея о защите персональных данных Комиссия наложила на компании K и A денежные взыскания и выдала предписания об устранении нарушений.
Комиссия признала предоставление персональных данных всех пользователей для разработки модели NSF и расчета показателей трансграничной передачей без законных оснований для обработки.
На компанию K было наложено денежное взыскание в размере 5 миллиардов 968 миллионов южнокорейских вон; ей также было предписано обеспечить соблюдение законных условий трансграничной передачи данных.
За то, что при поручении обработки персональных данных за пределами страны компания A не раскрыла субъектам персональных данных и не сообщила им сведения об иностранном обработчике, в том числе посредством политики обработки персональных данных, на нее было наложено денежное взыскание в размере 2 миллиардов 405 миллионов южнокорейских вон. За нераскрытие факта поручения обработки на нее также был наложен административный штраф в размере 2 миллионов 200 тысяч южнокорейских вон.
Компания K возразила, что речь шла о законном поручении обработки
Однако на состоявшемся 18 апреля заседании по делу о приостановлении исполнения решения о денежном взыскании компания K заявила: «Рассматриваемая передача персональных данных представляла собой законное поручение обработки».
По утверждению компании, речь шла о законном поручении обработки и процедуре, необходимой для выполнения соответствующей деятельности, поскольку для повышения удобства и безопасности платежного сервиса требовалась система предотвращения неправомерных платежей.
Компания K сослалась на судебную практику Верховного суда Республики Корея, согласно которой разграничение предоставления данных третьему лицу и поручения обработки должно осуществляться с учетом того, в чьих интересах и для выполнения чьих функций ведется обработка, а также кому принадлежат полномочия по контролю и управлению персональными данными. Компания заявила, что персональные данные находятся под контролем компании K, а китайская компания A Pay прямо указана в качестве обработчика, поэтому трансграничная передача персональных данных являлась поручением обработки.
Комиссия, напротив, придерживается позиции, что сама автоматическая передача сведений представляет собой предоставление данных третьему лицу, поэтому для трансграничной передачи пользовательских данных необходимо согласие субъекта персональных данных.
3. Нарушение Закона Республики Корея о защите персональных данных: подход Дэрюн
Это дело о нарушении Закона Республики Корея о защите персональных данных, по которому были наложены денежные взыскания на общую сумму 8 миллиардов 300 миллионов южнокорейских вон, имеет значение в условиях роста трансграничной передачи персональных данных вследствие распространения глобальных платформенных сервисов. Оно разъясняет пределы такой передачи и подтверждает, что при передаче данных за пределы страны хозяйствующие субъекты обязаны соблюдать предусмотренные законом условия.
При оказании услуг, предполагающих трансграничную передачу персональных данных, хозяйствующий субъект должен получить отдельное согласие субъекта персональных данных. Если обработка персональных данных поручается иностранному обработчику, посредством политики обработки персональных данных или иным способом необходимо четко уведомить субъекта о передаче данных через государственную границу.
При передаче обработки персональных данных внешнему исполнителю поручившая сторона продолжает нести ответственность перед субъектом персональных данных. Если персональные данные переходят из сферы ответственности поручившей стороны в сферу ответственности третьего лица, это считается «предоставлением третьему лицу», поэтому требуется согласие субъекта персональных данных или иное законное основание.
Закон Республики Корея о защите персональных данных содержит множество положений, а понятия и условия трансграничной передачи, предоставления третьим лицам и поручения обработки тесно взаимосвязаны и сложны. Для предупреждения связанных с этим рисков может потребоваться помощь юриста, специализирующегося в соответствующей области.
В Дэрюн группы профильных юристов осуществляют консультирование по вопросам соблюдения Закона Республики Корея о защите персональных данных, трансграничной передачи и предоставления данных третьим лицам, предварительную оценку правовых рисков, сопровождение проверок и административных процедур, а также реагирование на утечки персональных данных.
