การปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล | คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐเกาหลีกำหนดเงินเพิ่มเชิงลงโทษทางปกครองแก่ Coupang จำนวน 6246 หน่วยร้อยล้านวอนเกาหลีใต้ ขยายขอบเขตการจัดการข้อมูลส่วนบุคคลขององค์กร

ประเด็นแรกที่ควรพิจารณาคือ การลงโทษทางปกครองครั้งนี้เกิดจากการรับรองว่ามีการกระทำฝ่าฝืนหลายประการร่วมกัน มิใช่การฝ่าฝืนเพียงประการเดียว

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐเกาหลีวินิจฉัยว่า การฝ่าฝืนหน้าที่ในการใช้มาตรการรักษาความปลอดภัย เช่น การจัดการกุญแจลงนามใบรับรองและการควบคุมการเข้าถึง เป็นเหตุให้ข้อมูลส่วนบุคคลรั่วไหลในวงกว้าง

นอกจากนี้ยังเห็นว่าการเก็บรวบรวมและจัดเก็บบันทึกกิจกรรมออนไลน์ของผู้ใช้เป็นการฝ่าฝืนรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลีเช่นกัน

ประเด็นที่ควรพิจารณามากกว่าจำนวนเงินเพิ่มเชิงลงโทษทางปกครองคือ เหตุข้อมูลส่วนบุคคลรั่วไหลและปัญหาการใช้ข้อมูลถูกประเมินว่าเป็นการกระทำฝ่าฝืนที่แยกจากกัน

กรณีนี้ยังหมายความว่า แม้ไม่มีเหตุข้อมูลส่วนบุคคลรั่วไหล วิธีประมวลผลบันทึกกิจกรรมออนไลน์เพียงอย่างเดียวก็อาจเป็นเหตุให้มีการลงโทษทางปกครองแยกต่างหากได้

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐเกาหลีวินิจฉัยว่า Coupang เก็บรวบรวมบันทึกกิจกรรมออนไลน์ของสมาชิกและจัดเก็บไว้ในฐานข้อมูลในสภาพที่สามารถระบุตัวบุคคลได้

ข้อมูลที่ตรวจสอบประกอบด้วยข้อมูล URL วันและเวลาที่เข้าถึง IP ที่ใช้เชื่อมต่อ และข้อมูลการใช้งานแอป

มาตรา 15 แห่งรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลีกำหนดฐานทางกฎหมายสำหรับการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคล โดยผู้ควบคุมข้อมูลส่วนบุคคลต้องกำหนดวัตถุประสงค์ในการประมวลผลและขอบเขตการเก็บรวบรวมให้ชัดเจน

ในกรณีนี้ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐเกาหลีตรวจสอบว่ากระบวนการเก็บรวบรวมและจัดเก็บบันทึกกิจกรรมออนไลน์เป็นไปตามหลักเกณฑ์ของกฎหมายที่เกี่ยวข้องหรือไม่ และกำหนดเงินเพิ่มเชิงลงโทษทางปกครองประมาณ 2,011 หน่วยร้อยล้านวอนเกาหลีใต้สำหรับการกระทำฝ่าฝืนดังกล่าว

ในระบบการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (CPO) มีหน้าที่กำกับดูแลงานด้านการคุ้มครองข้อมูลส่วนบุคคลโดยรวม

มาตรา 31 แห่งรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลีกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล และมอบหมายให้รับผิดชอบงานต่าง ๆ เช่น การตรวจสอบสถานะการประมวลผลข้อมูลส่วนบุคคล ตลอดจนการจัดทำและดำเนินแผนบริหารจัดการภายใน

ในการตรวจสอบครั้งนี้ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐเกาหลีวินิจฉัยว่า Coupang ไม่ได้รับประกันความเป็นอิสระของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลอย่างเพียงพอ นอกจากนี้ยังตรวจสอบด้วยว่า มีการดำเนินระบบที่ช่วยให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลสามารถปฏิบัติหน้าที่บริหารจัดการและกำกับดูแลกระบวนการประมวลผลข้อมูลส่วนบุคคลได้อย่างแท้จริงและเหมาะสมหรือไม่

กรณีนี้จึงครอบคลุมการตรวจสอบระบบการดำเนินงานของหน่วยงานคุ้มครองข้อมูลส่วนบุคคล นอกเหนือจากเหตุข้อมูลส่วนบุคคลรั่วไหลและปัญหาการประมวลผลบันทึกกิจกรรมออนไลน์

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐเกาหลีระบุว่าได้ตรวจพบว่า ในกระบวนการดำเนินงานของพันธมิตรด้านการโฆษณาของ Coupang มีการเก็บรวบรวมบันทึกการใช้บริการโดยไม่คำนึงถึงความประสงค์ของผู้ใช้

ผลการตรวจสอบยังครอบคลุมกระบวนการที่พันธมิตรด้านการโฆษณาเก็บรวบรวมประวัติการเข้าชมเว็บไซต์และประวัติการใช้แอปของผู้ใช้

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐเกาหลีตรวจสอบว่า Coupang บริหารจัดการและกำกับดูแลกระบวนการประมวลผลข้อมูลที่เก็บรวบรวมผ่านพันธมิตรด้านการโฆษณาอย่างเหมาะสมหรือไม่ และวินิจฉัยว่าจำเป็นต้องปรับปรุงด้านความโปร่งใสในการประมวลผลข้อมูลส่วนบุคคลและการรับประกันสิทธิในการเลือกของผู้ใช้ จึงออกคำสั่งให้แก้ไขที่เกี่ยวข้อง

นอกจากนี้ กระบวนการใช้ข้อมูลน้ำหนักตัวของพนักงานบริษัท Coupang Fulfillment Services (CFS) ยังอยู่ในขอบเขตการตรวจสอบด้วย

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐเกาหลียืนยันว่า CFS ได้นำข้อมูลน้ำหนักตัวซึ่งเก็บรวบรวมและจัดเก็บไว้เพื่อวัตถุประสงค์ในการดูแลสุขภาพของผู้บริหารและพนักงานไปใช้ในกระบวนการดำเนินคดีเกี่ยวกับอุบัติเหตุจากการทำงาน

คณะกรรมการดังกล่าวเห็นว่าข้อมูลนี้เป็นข้อมูลที่มีความอ่อนไหวเกี่ยวกับสุขภาพ และตรวจสอบว่ามีการนำไปใช้นอกเหนือจากขอบเขตวัตถุประสงค์ที่เก็บรวบรวมหรือไม่

มาตรา 23 แห่งรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลีกำหนดว่า การประมวลผลข้อมูลที่มีความอ่อนไหว เช่น ข้อมูลสุขภาพ ต้องมีฐานทางกฎหมายแยกต่างหากหรือได้รับความยินยอมแยกต่างหากจากเจ้าของข้อมูลส่วนบุคคล

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐเกาหลีวินิจฉัยว่า กระบวนการใช้ข้อมูลน้ำหนักตัวไม่เป็นไปตามข้อกำหนดในการประมวลผลข้อมูลที่มีความอ่อนไหวดังกล่าว และกำหนดเงินเพิ่มเชิงลงโทษทางปกครองแยกต่างหากในประเด็นนี้

ในกรณีนี้ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐเกาหลีวินิจฉัยว่า นอกจากข้อมูลส่วนบุคคลของบุคคลประมาณ 3,750 หมื่นรายรั่วไหลแล้ว กระบวนการประมวลผลบันทึกกิจกรรมออนไลน์ยังเป็นการกระทำฝ่าฝืนแยกต่างหากด้วย

ประเด็นที่ควรพิจารณาอีกประการหนึ่งคือ ในบรรดาเงินเพิ่มเชิงลงโทษทางปกครองทั้งหมด 6,246 หน่วยร้อยล้านวอนเกาหลีใต้ มีประมาณ 2,011 หน่วยร้อยล้านวอนเกาหลีใต้ที่กำหนดสำหรับการกระทำฝ่าฝืนเกี่ยวกับการเก็บรวบรวมและใช้บันทึกกิจกรรมออนไลน์

นอกจากนี้ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐเกาหลีไม่ได้ตรวจสอบเฉพาะข้อเท็จจริงเรื่องข้อมูลส่วนบุคคลรั่วไหล แต่ยังตรวจสอบระบบการปฏิบัติงานของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ระบบบริหารจัดการและกำกับดูแลพันธมิตรด้านการโฆษณา ตลอดจนกระบวนการใช้ข้อมูลที่มีความอ่อนไหว

กรณีนี้แสดงให้เห็นว่า นอกจากผลของการประมวลผลข้อมูลส่วนบุคคลแล้ว กระบวนการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคล รวมถึงสถานะการดำเนินระบบบริหารจัดการภายใน ก็อาจอยู่ในขอบเขตการตรวจสอบเช่นกัน

ภายหลังกรณีนี้ องค์กรมีความจำเป็นมากขึ้นที่จะต้องตรวจสอบทั้ง ระบบรักษาความมั่นคงปลอดภัยเพื่อป้องกันข้อมูลส่วนบุคคลรั่วไหล สถานะการดำเนินนโยบายความเป็นส่วนตัว วิธีใช้บันทึกกิจกรรมออนไลน์ การครอบครองข้อมูลที่มีความอ่อนไหว ระบบการปฏิบัติงานของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ตลอดจนสถานะการจัดการผู้รับจ้างประมวลผลข้อมูลและพันธมิตรทางธุรกิจ

โดยเฉพาะองค์กรที่ให้บริการออนไลน์ จำเป็นต้องตรวจสอบว่าข้อมูลที่ใช้ในกระบวนการโฆษณาและการตลาดถูกเก็บรวบรวมและใช้งานด้วยวิธีใด และมีการแจ้งรายละเอียดที่เกี่ยวข้องแก่ผู้ใช้อย่างเหมาะสมหรือไม่

ประเด็นเกี่ยวกับข้อมูลส่วนบุคคลไม่ได้เป็นปัญหาของฝ่ายความมั่นคงปลอดภัยสารสนเทศเพียงฝ่ายเดียว

หากพบการฝ่าฝืนในกระบวนการประมวลผลข้อมูลส่วนบุคคล ฝ่ายกฎหมาย ฝ่ายการตลาด ฝ่าย IT และฝ่ายทรัพยากรบุคคลอาจได้รับผลกระทบพร้อมกันหลายฝ่าย และในบางกรณีอาจต้องพิจารณาทั้งการกำหนดเงินเพิ่มเชิงลงโทษทางปกครอง การปฏิบัติตามคำสั่งให้แก้ไข และการรับมือข้อเรียกร้องให้ชดใช้ค่าเสียหาย

องค์กรจึงจำเป็นต้องจัดให้มีระบบตรวจสอบกระบวนการประมวลผลข้อมูลส่วนบุคคลทั้งหมดเป็นระยะ และตรวจสอบว่านโยบายความเป็นส่วนตัวสอดคล้องกับการดำเนินงานจริงหรือไม่

นอกจากนี้ ควรตรวจสอบปัจจัยเสี่ยงที่อาจเกิดขึ้นล่วงหน้าด้วยการตรวจสอบทางกฎหมายเกี่ยวกับวิธีใช้บันทึกกิจกรรมออนไลน์ ขั้นตอนการประมวลผลข้อมูลที่มีความอ่อนไหว และสถานะการจัดการผู้รับจ้าง