CONTENTS
- 1. Компания M, оспорившая административное распоряжение
- - Доводы компании M, подавшей иск об отмене денежного взыскания
- - Позиция Комиссии по защите персональных данных о законности денежного взыскания
- 2. Вывод Верховного суда Республики Корея: административное распоряжение признано законным
- - Европейский союз также оштрафовал компанию M на сумму, эквивалентную 324.9 миллиарда южнокорейских вон
- 3. Какова стратегия Дэрюн при оспаривании административного распоряжения?
1. Компания M, оспорившая административное распоряжение
Компания M, глобальная технологическая корпорация, оспорившая административное распоряжение (акт административного органа), без разрешения передала персональные данные пользователей эксплуатируемой ею социальной сети другим компаниям, за что Комиссия Республики Корея по защите персональных данных (далее — «Комиссия») наложила на нее денежное взыскание за нарушение административных норм в размере 6.7 миллиарда южнокорейских вон.
В ноябре 2020 года Комиссия установила, что компания M без согласия передала примерно 10 тысячам других компаний персональные данные 3.3 миллиона пользователей своей социальной сети в Республике Корея, включая сведения об образовании, трудовой деятельности, месте происхождения, семье, браке и романтических отношениях, после чего приняла указанное административное распоряжение.
Компания M возражала, что переданные другим компаниям сведения уже были добровольно раскрыты пользователями, поэтому не являлись персональными данными, и что она не нарушила Закон Республики Корея о защите персональных данных. Однако Верховный суд Республики Корея также отклонил ее кассационную жалобу.
Доводы компании M, подавшей иск об отмене денежного взыскания
1. Компания M не являлась субъектом, собиравшим персональные данные
Компания M утверждала, что сведения о поведении, полученные на сайтах или в приложениях других компаний, собирались соответствующими операторами, которые затем передавали их компании M либо поручали ей обработку, поэтому субъектом сбора персональных данных являлась не компания M.
По ее утверждению, согласие на сбор и использование персональных данных должны были получать соответствующие операторы, а компания M не была обязана получать такое согласие.
2. Утверждение об отсутствии нарушений в процедуре получения согласия
Компания M заявила, что при регистрации в ее социальной сети получала согласие пользователей с «Политикой в отношении данных», которая содержала положения о сборе и использовании информации, а потому предусмотренные законом требования были соблюдены.
3. Утверждение о незаконности наложения денежного взыскания
Компания M заявила, что Комиссия взыскала чрезмерную сумму, а методика расчета денежного взыскания за нарушение административных норм также являлась незаконной.
Позиция Комиссии по защите персональных данных о законности денежного взыскания
Позиция Комиссии по защите персональных данных о законности денежного взыскания заключалась в следующем.
1. Утверждение о том, что фактическим субъектом сбора персональных данных являлась компания M
Компания M самостоятельно создавала и присваивала пользователям сетевые идентификаторы, на основании которых собирала, хранила и анализировала сведения об их поведении на ресурсах других компаний.
Комиссия утверждала, что пользователи веб-ресурсов не располагали этими сведениями, поэтому обязанность получить согласие лежала на компании M.
2. Утверждение об отсутствии надлежащего согласия
Комиссия указала, что компания M лишь представила пользователям объемную политику в отношении данных, но не раскрыла в ясной форме предусмотренную законом информацию, включая цель и состав собираемых данных, а также срок их хранения.
Комиссия подчеркнула, что компания предоставляла европейским пользователям надлежащую процедуру получения согласия, но не информировала должным образом пользователей в Республике Корея.
Проблемой был признан и тот факт, что при регистрации согласие отмечалось автоматически по модели отказа от участия (opt-out).
Комиссия пришла к выводу, что подобные действия компании M не отвечали предусмотренным Законом Республики Корея о защите персональных данных требованиям о ясном уведомлении и предварительном согласии.
3. Утверждение об обоснованности денежного взыскания
Комиссия пришла к выводу, что компания M подлежала денежному взысканию за нарушение административных норм, поскольку не получила надлежащего согласия на сбор и использование персональных данных.
При расчете взыскания учитывались объем выручки, тяжесть и продолжительность нарушения; ввиду допущенных ранее нарушений Комиссия не усмотрела оснований для смягчения меры.
По утверждению Комиссии, размер взыскания был правомерно определен в пределах установленного законом максимума, а административное распоряжение имело существенное общественное значение для защиты права граждан самостоятельно распоряжаться своими персональными данными.
2. Вывод Верховного суда Республики Корея: административное распоряжение признано законным
В отношении компании M, подавшей иск об отмене административного распоряжения (акта административного органа), Верховный суд Республики Корея согласился с выводами судов первой и второй инстанций и отказал в удовлетворении требования компании.
В 2021 году компания M подала иск, утверждая, что административное распоряжение было необоснованным, однако проиграла дело в первой инстанции в 2023 году и во второй инстанции в 2024 году. Верховный суд также отклонил ее кассационную жалобу, вследствие чего проигрыш дела стал окончательным.
Верховный суд установил, что соответствующие сведения являлись персональными данными, а действия компании M, которая передала их третьим лицам без согласия пользователей, нарушали Закон Республики Корея о защите персональных данных.
Тем самым Верховный суд согласился с выводом нижестоящего суда о том, что пользователи не могли узнать или предвидеть предусмотренные законом сведения, которые должны были быть сообщены для получения согласия, поэтому считать согласие предоставленным было нельзя.
Суд также пришел к выводу, что добровольное раскрытие информации пользователями не освобождало компанию M от обязанностей оператора сервиса.
Комиссия сообщила, что после вынесения окончательного решения действие административного распоряжения, приостановленное на время судебного разбирательства, возобновилось. В связи с этим она потребует от компании M исполнить предписание об устранении нарушений и проверит его исполнение.
Европейский союз также оштрафовал компанию M на сумму, эквивалентную 324.9 миллиарда южнокорейских вон
В апреле Европейский союз также наложил на компанию M штраф в размере 200 миллионов евро (примерно 324.9 миллиарда южнокорейских вон).
Нарушением было признано фактическое принуждение пользователей сервиса компании M, не оплачивавших его использование, к предоставлению согласия на сбор данных в рекламных целях.
Эта мера стала первой санкцией, примененной на основании «Акта о цифровых рынках» (DMA), направленного на регулирование рыночной власти глобальных технологических корпораций и обеспечение справедливого и конкурентного рынка.
Высказываются и мнения о том, что эта санкция могла стать ответной мерой Европейского союза в связи с тарифным противостоянием с администрацией Трампа.
3. Какова стратегия Дэрюн при оспаривании административного распоряжения?
Решение Верховного суда Республики Корея о законности административного распоряжения может стать прецедентом, подчеркивающим ответственность операторов крупных платформ за защиту персональных данных.
Определение субъекта, осуществляющего сбор информации, случаев, когда требуется явно выраженное согласие пользователя, и обоснованности расчета денежного взыскания за нарушение административных норм требует глубокого понимания соответствующего законодательства и судебной практики.
Если компания собирает или использует персональные данные либо намерена оспорить административное распоряжение, целесообразно обратиться за содействием к адвокату, обладающему специальными знаниями и практическим опытом применения Закона Республики Корея о защите персональных данных.
Компаниям, эксплуатирующим платформенные сервисы, целесообразно оценивать правовые риски, связанные со структурой сбора и использования персональных данных, уже на начальном этапе проектирования сервиса, а при возникновении спора — получать юридическое консультирование для подготовки соответствующей стратегии.
Дэрюн формирует команды из профильных адвокатов, имеющих опыт ведения дел о 🔗нарушении Закона Республики Корея о защите персональных данных, и 🔗адвокатов по корпоративным делам для оказания компаниям юридического содействия в управлении деловыми рисками.
