รัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี | ศาลวินิจฉัยว่าการนำข้อมูลข้อความที่เก็บรวบรวมไปฝึกอบรมแชตบอต AI เป็นการประมวลผลข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมอย่างแท้จริง

ศาลวินิจฉัยว่า กระบวนการให้ความยินยอมเพียงในเชิงรูปแบบและครอบคลุมทั่วไป ไม่อาจถือได้ว่าเป็นการปฏิบัติตามหน้าที่ในการขอความยินยอมอย่างแท้จริงตามที่รัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลีกำหนด

ศาลเห็นว่า การขอความยินยอมผ่านช่องทำเครื่องหมายที่ระบุเพียงว่า “ข้าพเจ้ายอมรับข้อกำหนดและนโยบายการประมวลผลข้อมูลส่วนบุคคล” แล้วให้ลิงก์สำหรับเปิดอ่านนโยบายดังกล่าวนั้น ยังไม่เพียงพอที่จะถือว่าผู้ใช้ได้รับรู้อย่างชัดเจนว่าข้อมูลส่วนบุคคลของตนจะถูกนำไปใช้อย่างไรและได้ให้ความยินยอมแล้ว

คำวินิจฉัยนี้จึง กำหนดหลักเกณฑ์ว่าต้องแจ้งเนื้อหาและขอบเขตของความยินยอมโดยแบ่งแยกไว้อย่างชัดเจน และต้องอธิบายด้วยวิธีที่ทำให้ผู้ใช้สามารถรับรู้และเข้าใจได้อย่างเพียงพอ

ศาลวินิจฉัยว่า ข้อมูลที่บริษัทจำเลยใช้ในกระบวนการฝึกอบรม AI ไม่เป็นไปตามหลักเกณฑ์ของข้อมูลนิรนามหรือข้อมูลแฝงตามรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี

ข้อความสนทนามีทั้งข้อมูลที่สามารถระบุตัวบุคคลได้โดยเฉพาะ เช่น ชื่อ ข้อมูลติดต่อ ที่อยู่ รหัสผ่าน และหมายเลขบัญชี ตลอดจนเนื้อหาที่อาจใช้อนุมานความสัมพันธ์ทางสังคมและข้อมูลส่วนตัว ศาลจึงเห็นว่า หากนำข้อมูลเพิ่มเติมมาประกอบกัน ย่อมมีความเสี่ยงอย่างมีนัยสำคัญที่จะสามารถระบุตัวบุคคลใดบุคคลหนึ่งได้

นอกจากนี้ ศาลยังวินิจฉัยว่าการเข้ารหัสข้อมูลเพียงบางส่วนและจัดเก็บข้อมูลส่วนใหญ่ไว้โดยไม่ได้ทำให้ไม่สามารถระบุตัวบุคคลได้ ไม่เป็นไปตามหลักเกณฑ์การทำข้อมูลแฝงที่มาตรา 28-2 แห่งรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลีกำหนด

ศาลเห็นว่า บริการแอปเดิมกับบริการแชตบอต AI มีความแตกต่างกันโดยสาระสำคัญทั้งในด้านวัตถุประสงค์ ลักษณะการให้บริการ ฟังก์ชัน และสภาพแวดล้อมการใช้งาน ดังนั้น การนำข้อมูลไปใช้เป็นข้อมูลฝึกอบรมโดยไม่ได้รับความยินยอมจึงเป็นการใช้นอกเหนือขอบเขตวัตถุประสงค์ในการเก็บรวบรวมตามมาตรา 15 และมาตรา 18 แห่งรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี

ศาลวินิจฉัยว่า การระบุคำว่า “การพัฒนาบริการใหม่” ไว้ในนโยบายการประมวลผลข้อมูลส่วนบุคคลเพียงอย่างเดียว ไม่อาจถือได้ว่าเจ้าของข้อมูลส่วนบุคคลคาดหมายหรือยินยอมให้นำข้อมูลไปฝึกอบรมอัลกอริทึม AI

ศาล รับฟังว่าจำเลยกระทำการฝ่าฝืนจากการไม่ปฏิบัติตามหน้าที่ตามกฎหมายในการจัดเก็บข้อมูลส่วนบุคคลของผู้ที่ไม่ได้ใช้บริการเป็นเวลานานและผู้ที่ยกเลิกสมาชิกไว้แยกต่างหาก หรือทำลายข้อมูลดังกล่าว

ศาลวินิจฉัยว่าการกระทำดังกล่าวเป็นการฝ่าฝืนมาตรา 21 และมาตรา 39-6 แห่งรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี

ข้อความสนทนามีเนื้อหาที่เป็นข้อมูลอ่อนไหวตามมาตรา 23 วรรค 1 แห่งรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี เช่น ข้อมูลสุขภาพ เนื้อหาเกี่ยวกับชีวิตทางเพศ ตลอดจนแนวคิดและความเชื่อ แต่จำเลยไม่ได้ขอความยินยอมโดยชัดแจ้งแยกต่างหาก ศาลจึงรับฟังว่ามีการฝ่าฝืนบทบัญญัติเกี่ยวกับข้อมูลอ่อนไหว

ด้วยเหตุนี้ ศาลจึงแบ่งผู้เสียหายออกเป็นกลุ่มตามความเสี่ยงของความเสียหายและระดับการละเมิด ได้แก่ กรณีข้อมูลส่วนบุคคลรั่วไหล กรณีข้อมูลอ่อนไหวรั่วไหล และกรณีข้อมูลทั้งสองประเภทรั่วไหล พร้อมกำหนดค่าเสียหายสำหรับความทุกข์ทรมานทางจิตใจแตกต่างกันเป็นจำนวน 100,000 วอนเกาหลีใต้ 300,000 วอนเกาหลีใต้ และ 400,000 วอนเกาหลีใต้ตามลำดับ

สำนักงานกฎหมาย Daeryun ให้บริการด้านการดำเนินการต่อไปนี้แก่บริษัทผู้ให้บริการแพลตฟอร์มและผู้ประกอบธุรกิจบริการ AI

ประการแรก จัดทำแบบจำลองการปฏิบัติตามกฎหมายเพื่อตรวจสอบล่วงหน้าว่าการวางแผนและการพัฒนาบริการในระยะแรกเป็นไปตามรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลีหรือไม่

ประการที่สอง จัดทำกระบวนการแจ้งและขอความยินยอมเกี่ยวกับวัตถุประสงค์ในการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคล ระยะเวลาการเก็บรักษา และขอบเขตการใช้งาน โดยคำนึงถึงความสามารถของผู้ใช้ในการทำความเข้าใจ

ประการที่สาม สนับสนุนการรับมือการตรวจสอบของหน่วยงานกำกับดูแล เช่น คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐเกาหลีและคณะกรรมการการสื่อสารแห่งสาธารณรัฐเกาหลี ตลอดจนการจัดทำแนวทางปรับปรุง ระหว่างการดำเนินงานของบริการ

ประการที่สี่ เมื่อเกิดเหตุข้อมูลส่วนบุคคลรั่วไหลหรือถูกละเมิด จะ วางแนวทางดำเนินการทั้งทางอาญา ได้แก่ การร้องทุกข์ การรับมือการสืบสวน ประเด็นการไม่มีมูลความผิด และการบรรเทาโทษ และทางแพ่ง ได้แก่ แนวทางต่อสู้ข้อเรียกร้องค่าเสียหาย

ประการที่ห้า จัดให้มี ระบบป้องกันความเสี่ยง ซึ่งรวมถึงการฝึกอบรมพนักงานภายในบริษัทหรือหน่วยงาน การจัดการช่องโหว่ และการวิเคราะห์และเก็บรวบรวมพยานหลักฐานด้วยนิติวิทยาศาสตร์ดิจิทัลเมื่อเกิดการฝ่าฝืนรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี

หากต้องการคำปรึกษาทางกฎหมายเกี่ยวกับรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี สามารถดำเนินการ 🔗นัดหมายรับคำปรึกษาทางกฎหมายกับทนายความด้านธุรกิจ