การแฮ็กข้อมูลส่วนบุคคล | ข้อมูล “โปรไฟล์ชีวิต” ของสมาชิก Duo 430,000 คนรั่วไหล…โครงสร้างความเสี่ยงด้านความรับผิดขององค์กรกำลังเปลี่ยนไปหรือไม่

นอกจากนี้ ข้อมูลประมาณ 300,000 รายการที่ควรถูกทำลายหลังสิ้นสุดสัญญายังคงถูกเก็บรักษาไว้ และข้อมูลดังกล่าวก็รั่วไหลไปพร้อมกัน

ธุรกิจจัดหาคู่มีลักษณะเฉพาะที่ต้องเก็บรวบรวมข้อมูลหลากหลายประเภทเพื่อจับคู่สมาชิก

ต่างจากบริการออนไลน์ทั่วไป ธุรกิจประเภทนี้ใช้ข้อมูลที่ไม่ได้จำกัดเพียงการยืนยันตัวตน แต่ยังครอบคลุมถึงสภาพแวดล้อมในการดำเนินชีวิตและค่านิยมส่วนบุคคล

มาตรา 29 แห่งรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลีกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลใช้มาตรการคุ้มครองทางเทคนิคและมาตรการบริหารจัดการเพื่อป้องกันข้อมูลส่วนบุคคลรั่วไหล

มาตรการดังกล่าวรวมถึงการบริหารจัดการสิทธิการเข้าถึง การกำหนดขั้นตอนการยืนยันตัวตน และการเข้ารหัสข้อมูล

ในเหตุการณ์ครั้งนี้พบว่าไม่ได้กำหนดจำนวนครั้งสูงสุดของการยืนยันตัวตนเพื่อเข้าสู่ระบบที่ล้มเหลว และการควบคุมการเข้าถึงฐานข้อมูลก็ไม่เพียงพอ

นอกจากนี้ ยังพบว่าระดับการเข้ารหัสรหัสผ่านและหมายเลขทะเบียนราษฎรของสาธารณรัฐเกาหลีไม่เพียงพอเช่นกัน

มาตรา 34 แห่งรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลีกำหนดว่า เมื่อข้อมูลส่วนบุคคลรั่วไหล องค์กรต้องแจ้งเหตุแก่เจ้าของข้อมูลส่วนบุคคล และหากเป็นกรณีที่เกินเกณฑ์ที่กำหนด ต้องรายงานต่อหน่วยงานกำกับดูแลภายใน 72 ชั่วโมง

อย่างไรก็ตาม เหตุการณ์ครั้งนี้ได้รับการยืนยันว่าไม่มีการรายงานภายในระยะเวลาที่กำหนดแม้จะรับทราบการรั่วไหลแล้ว และการแจ้งแก่เจ้าของข้อมูลส่วนบุคคลก็ล่าช้าเช่นกัน

มาตรา 24-2 แห่งรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลีห้ามเก็บรวบรวมและประมวลผลหมายเลขทะเบียนราษฎรของสาธารณรัฐเกาหลีเป็นหลัก โดยอนุญาตเป็นข้อยกเว้นเฉพาะเมื่อมีกฎหมายบัญญัติให้อำนาจไว้อย่างชัดเจน

ในกรณีธุรกิจนายหน้าจัดหาคู่ มีการระบุเป็นปัญหาว่าบริษัทได้เก็บรวบรวมและเก็บรักษาข้อมูลดังกล่าว แม้ไม่มีฐานทางกฎหมายที่ชัดเจนสำหรับการเก็บรวบรวมหมายเลขทะเบียนราษฎรของสาธารณรัฐเกาหลี

กรณีนี้แสดงให้เห็นว่า หากไม่ได้ดำเนินขั้นตอนทำลายข้อมูลจริง ข้อมูลทั้งหมดอาจกลายเป็นความเสี่ยงทางกฎหมายได้โดยไม่ขึ้นอยู่กับว่ามีการกำหนดระยะเวลาเก็บรักษาไว้หรือไม่

ในระยะแรกอาจมีการกำหนดมาตรการลงโทษทางปกครอง เช่น เงินเพิ่มเชิงลงโทษทางปกครองและค่าปรับทางปกครอง แต่โดยทั่วไปอาจมีการเรียกร้องค่าเสียหายตามมาในภายหลัง และเมื่อรวมกับความเสียหายต่อภาพลักษณ์องค์กรและการสูญเสียลูกค้าแล้ว ความเสียหายที่เกิดขึ้นจริงอาจเพิ่มสูงขึ้นอีก

โดยเฉพาะอย่างยิ่ง หากมีข้อมูลอ่อนไหวและข้อมูลโปรไฟล์รวมอยู่ด้วยเช่นเดียวกับเหตุการณ์ครั้งนี้ ความเสี่ยงตั้งแต่ระยะที่ 2 เป็นต้นไปอาจขยายตัวอย่างรวดเร็ว

นอกจากนี้ หากพบว่าการแจ้งเหตุข้อมูลรั่วไหลล่าช้าหรือระบบบริหารจัดการภายในไม่เพียงพอ ปัจจัยดังกล่าวอาจส่งผลทั้งต่อระดับเงินเพิ่มเชิงลงโทษทางปกครองและขอบเขตความรับผิดทางแพ่ง

เหตุการณ์แฮ็กข้อมูลส่วนบุคคลจึงควรได้รับการพิจารณาว่าเป็นโครงสร้างที่ก่อให้เกิดความเสี่ยงด้านการปกครอง ทางแพ่ง และทางธุรกิจต่อเนื่องกัน

เหตุการณ์แฮ็กข้อมูลส่วนบุคคลมีลักษณะที่ขอบเขตความรับผิดขององค์กรอาจแตกต่างกันตามว่ามีการจัดตั้งระบบบริหารจัดการล่วงหน้าก่อนเกิดเหตุหรือไม่ มากกว่าการรับมือภายหลังเกิดเหตุเพียงอย่างเดียว

นอกจากนี้ เมื่อเกิดข้อมูลรั่วไหล อาจมีมาตรการลงโทษทางปกครอง การเรียกร้องค่าเสียหาย และความเสี่ยงด้านชื่อเสียงเกิดขึ้นพร้อมกัน จึงจำเป็นต้องมีการตรวจสอบทางกฎหมายอย่างรอบด้าน

สำนักงานกฎหมาย Daeryun ให้คำปรึกษาทางกฎหมายเกี่ยวกับโครงสร้างการประมวลผลข้อมูลส่วนบุคคลโดยรวมขององค์กร โดยอาศัยประสบการณ์ด้านการคุ้มครองข้อมูลส่วนบุคคล การปฏิบัติตามข้อกำหนดด้านข้อมูล และการรับมือข้อพิพาททางธุรกิจ