สารบัญ
- 1. คดีที่มีประเด็นว่าฝ่าฝืนรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลีหรือไม่
- 2. คำวินิจฉัยของศาลเกี่ยวกับรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี
- - ความยินยอมอย่างแท้จริงในการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคล
- - ข้อมูลดังกล่าวเป็นข้อมูลแฝงหรือข้อมูลนิรนามหรือไม่
- - ความไม่สอดคล้องระหว่างวัตถุประสงค์ในการเก็บรวบรวมกับวัตถุประสงค์ในการใช้งานจริง
- - การฝ่าฝืนหน้าที่ในการทำลายข้อมูลส่วนบุคคล
- - ความจำเป็นในการขอความยินยอมแยกต่างหากสำหรับการประมวลผลข้อมูลอ่อนไหว
- 3. ความสำคัญของคำพิพากษาเกี่ยวกับรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี
- - แนวทางของ Daeryun สำหรับคดีละเมิดข้อมูลส่วนบุคคล
1. คดีที่มีประเด็นว่าฝ่าฝืนรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลีหรือไม่
คดีนี้มีประเด็นสำคัญว่ามีการฝ่าฝืนรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลีหรือไม่
บริษัทจำเลยให้บริการแอปวิเคราะห์ความสัมพันธ์เชิงชู้สาว โดยเก็บรวบรวมข้อความสนทนาทาง KakaoTalk ระหว่างผู้ใช้กับคู่สนทนาด้วยวิธีให้ผู้ใช้อัปโหลดข้อความด้วยตนเอง
ต่อมา ระหว่างการพัฒนาบริการแชตบอต AI แยกต่างหากซึ่งให้บริการโดยบริษัทเดียวกัน จำเลยได้ย้ายข้อมูลส่วนบุคคลและข้อความสนทนาบางส่วนที่จัดเก็บอยู่ในฐานข้อมูลของบริการแอปเดิมไปยังฐานข้อมูลเพื่อการฝึกอบรมแยกต่างหาก และใช้ข้อมูลดังกล่าวฝึกอบรมโมเดลก่อนเปิดตัวบริการแชตบอต AI
อย่างไรก็ตาม ผู้เสียหายได้เรียกร้องค่าเสียหาย โดยมีประเด็นเกี่ยวกับความไม่สอดคล้องระหว่างวัตถุประสงค์ในการประมวลผลที่แจ้งไว้ขณะเก็บรวบรวมข้อมูลส่วนบุคคลกับวัตถุประสงค์ในการใช้งานจริง ความยินยอมให้ประมวลผลข้อมูลส่วนบุคคลมีผลอย่างแท้จริงหรือไม่ และเป็นไปตามเงื่อนไขการประมวลผลข้อมูลแฝงหรือข้อมูลนิรนามหรือไม่
2. คำวินิจฉัยของศาลเกี่ยวกับรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี
ศาลมีคำวินิจฉัยเกี่ยวกับกรณีนี้ดังต่อไปนี้
ความยินยอมอย่างแท้จริงในการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคล
ศาลวินิจฉัยว่า กระบวนการให้ความยินยอมเพียงในเชิงรูปแบบและครอบคลุมทั่วไป ไม่อาจถือได้ว่าเป็นการปฏิบัติตามหน้าที่ในการขอความยินยอมอย่างแท้จริงตามที่รัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลีกำหนด
ศาลเห็นว่า การขอความยินยอมผ่านช่องทำเครื่องหมายที่ระบุเพียงว่า “ข้าพเจ้ายอมรับข้อกำหนดและนโยบายการประมวลผลข้อมูลส่วนบุคคล” แล้วให้ลิงก์สำหรับเปิดอ่านนโยบายดังกล่าวนั้น ยังไม่เพียงพอที่จะถือว่าผู้ใช้ได้รับรู้อย่างชัดเจนว่าข้อมูลส่วนบุคคลของตนจะถูกนำไปใช้อย่างไรและได้ให้ความยินยอมแล้ว
คำวินิจฉัยนี้จึง กำหนดหลักเกณฑ์ว่าต้องแจ้งเนื้อหาและขอบเขตของความยินยอมโดยแบ่งแยกไว้อย่างชัดเจน และต้องอธิบายด้วยวิธีที่ทำให้ผู้ใช้สามารถรับรู้และเข้าใจได้อย่างเพียงพอ
ข้อมูลดังกล่าวเป็นข้อมูลแฝงหรือข้อมูลนิรนามหรือไม่
ศาลวินิจฉัยว่า ข้อมูลที่บริษัทจำเลยใช้ในกระบวนการฝึกอบรม AI ไม่เป็นไปตามหลักเกณฑ์ของข้อมูลนิรนามหรือข้อมูลแฝงตามรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี
ข้อความสนทนามีทั้งข้อมูลที่สามารถระบุตัวบุคคลได้โดยเฉพาะ เช่น ชื่อ ข้อมูลติดต่อ ที่อยู่ รหัสผ่าน และหมายเลขบัญชี ตลอดจนเนื้อหาที่อาจใช้อนุมานความสัมพันธ์ทางสังคมและข้อมูลส่วนตัว ศาลจึงเห็นว่า หากนำข้อมูลเพิ่มเติมมาประกอบกัน ย่อมมีความเสี่ยงอย่างมีนัยสำคัญที่จะสามารถระบุตัวบุคคลใดบุคคลหนึ่งได้
นอกจากนี้ ศาลยังวินิจฉัยว่าการเข้ารหัสข้อมูลเพียงบางส่วนและจัดเก็บข้อมูลส่วนใหญ่ไว้โดยไม่ได้ทำให้ไม่สามารถระบุตัวบุคคลได้ ไม่เป็นไปตามหลักเกณฑ์การทำข้อมูลแฝงที่มาตรา 28-2 แห่งรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลีกำหนด
ความไม่สอดคล้องระหว่างวัตถุประสงค์ในการเก็บรวบรวมกับวัตถุประสงค์ในการใช้งานจริง
ศาลเห็นว่า บริการแอปเดิมกับบริการแชตบอต AI มีความแตกต่างกันโดยสาระสำคัญทั้งในด้านวัตถุประสงค์ ลักษณะการให้บริการ ฟังก์ชัน และสภาพแวดล้อมการใช้งาน ดังนั้น การนำข้อมูลไปใช้เป็นข้อมูลฝึกอบรมโดยไม่ได้รับความยินยอมจึงเป็นการใช้นอกเหนือขอบเขตวัตถุประสงค์ในการเก็บรวบรวมตามมาตรา 15 และมาตรา 18 แห่งรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี
ศาลวินิจฉัยว่า การระบุคำว่า “การพัฒนาบริการใหม่” ไว้ในนโยบายการประมวลผลข้อมูลส่วนบุคคลเพียงอย่างเดียว ไม่อาจถือได้ว่าเจ้าของข้อมูลส่วนบุคคลคาดหมายหรือยินยอมให้นำข้อมูลไปฝึกอบรมอัลกอริทึม AI
การฝ่าฝืนหน้าที่ในการทำลายข้อมูลส่วนบุคคล
ศาล รับฟังว่าจำเลยกระทำการฝ่าฝืนจากการไม่ปฏิบัติตามหน้าที่ตามกฎหมายในการจัดเก็บข้อมูลส่วนบุคคลของผู้ที่ไม่ได้ใช้บริการเป็นเวลานานและผู้ที่ยกเลิกสมาชิกไว้แยกต่างหาก หรือทำลายข้อมูลดังกล่าว
ศาลวินิจฉัยว่าการกระทำดังกล่าวเป็นการฝ่าฝืนมาตรา 21 และมาตรา 39-6 แห่งรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี
ความจำเป็นในการขอความยินยอมแยกต่างหากสำหรับการประมวลผลข้อมูลอ่อนไหว
ข้อความสนทนามีเนื้อหาที่เป็นข้อมูลอ่อนไหวตามมาตรา 23 วรรค 1 แห่งรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี เช่น ข้อมูลสุขภาพ เนื้อหาเกี่ยวกับชีวิตทางเพศ ตลอดจนแนวคิดและความเชื่อ แต่จำเลยไม่ได้ขอความยินยอมโดยชัดแจ้งแยกต่างหาก ศาลจึงรับฟังว่ามีการฝ่าฝืนบทบัญญัติเกี่ยวกับข้อมูลอ่อนไหว
ด้วยเหตุนี้ ศาลจึงแบ่งผู้เสียหายออกเป็นกลุ่มตามความเสี่ยงของความเสียหายและระดับการละเมิด ได้แก่ กรณีข้อมูลส่วนบุคคลรั่วไหล กรณีข้อมูลอ่อนไหวรั่วไหล และกรณีข้อมูลทั้งสองประเภทรั่วไหล พร้อมกำหนดค่าเสียหายสำหรับความทุกข์ทรมานทางจิตใจแตกต่างกันเป็นจำนวน 100,000 วอนเกาหลีใต้ 300,000 วอนเกาหลีใต้ และ 400,000 วอนเกาหลีใต้ตามลำดับ
3. ความสำคัญของคำพิพากษาเกี่ยวกับรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี
คำพิพากษานี้เป็นกรณีที่ยืนยันอย่างชัดเจนว่า การนำข้อมูลส่วนบุคคลที่เก็บรวบรวมจากบริการเดิมไปใช้เพื่อพัฒนาและฝึกอบรม AI แยกต่างหากในกระบวนการใช้เทคโนโลยี AI ต้องได้รับความยินยอมล่วงหน้าจากเจ้าของข้อมูลส่วนบุคคลอย่างชัดเจน
โดยเฉพาะอย่างยิ่ง ศาลได้ กำหนดหลักเกณฑ์ว่า แม้จะอ้างการใช้ข้อมูลแฝงโดยไม่ได้รับความยินยอมเพื่อวัตถุประสงค์ในการวิจัยทางวิทยาศาสตร์ ก็ต้องมีการทำข้อมูลแฝงในระดับที่ยอมรับได้ว่าการไหลเวียนของข้อมูลส่วนบุคคลอยู่ภายใต้การควบคุมทั้งทางเทคนิคและทางการจัดการ และได้ขจัดความเสี่ยงในการระบุตัวบุคคลแล้ว
นอกจากนี้ ศาลยังยืนยันว่า แม้เป็นบริษัท AI ที่ดำเนินธุรกิจโดยใช้ข้อมูล ก็ไม่อาจใช้ข้อมูลเพิ่มเติมนอกเหนือขอบเขตที่คาดหมายได้ในขั้นตอนการเก็บรวบรวมข้อมูลส่วนบุคคล และต้องออกแบบขอบเขตการประมวลผลข้อมูลให้เป็นไปตามหลักเกณฑ์ทางกฎหมายตั้งแต่ระยะแรกของการพัฒนาบริการ
แนวทางของ Daeryun สำหรับคดีละเมิดข้อมูลส่วนบุคคล
สำนักงานกฎหมาย Daeryun ให้บริการด้านการดำเนินการต่อไปนี้แก่บริษัทผู้ให้บริการแพลตฟอร์มและผู้ประกอบธุรกิจบริการ AI
ประการแรก จัดทำแบบจำลองการปฏิบัติตามกฎหมายเพื่อตรวจสอบล่วงหน้าว่าการวางแผนและการพัฒนาบริการในระยะแรกเป็นไปตามรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลีหรือไม่
ประการที่สอง จัดทำกระบวนการแจ้งและขอความยินยอมเกี่ยวกับวัตถุประสงค์ในการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคล ระยะเวลาการเก็บรักษา และขอบเขตการใช้งาน โดยคำนึงถึงความสามารถของผู้ใช้ในการทำความเข้าใจ
ประการที่สาม สนับสนุนการรับมือการตรวจสอบของหน่วยงานกำกับดูแล เช่น คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐเกาหลีและคณะกรรมการการสื่อสารแห่งสาธารณรัฐเกาหลี ตลอดจนการจัดทำแนวทางปรับปรุง ระหว่างการดำเนินงานของบริการ
ประการที่สี่ เมื่อเกิดเหตุข้อมูลส่วนบุคคลรั่วไหลหรือถูกละเมิด จะ วางแนวทางดำเนินการทั้งทางอาญา ได้แก่ การร้องทุกข์ การรับมือการสืบสวน ประเด็นการไม่มีมูลความผิด และการบรรเทาโทษ และทางแพ่ง ได้แก่ แนวทางต่อสู้ข้อเรียกร้องค่าเสียหาย
ประการที่ห้า จัดให้มี ระบบป้องกันความเสี่ยง ซึ่งรวมถึงการฝึกอบรมพนักงานภายในบริษัทหรือหน่วยงาน การจัดการช่องโหว่ และการวิเคราะห์และเก็บรวบรวมพยานหลักฐานด้วยนิติวิทยาศาสตร์ดิจิทัลเมื่อเกิดการฝ่าฝืนรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี
หากต้องการคำปรึกษาทางกฎหมายเกี่ยวกับรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี สามารถดำเนินการ 🔗นัดหมายรับคำปรึกษาทางกฎหมายกับทนายความด้านธุรกิจ
