สารบัญ
- 1. กรณีการฝ่าฝืนกฎหมายคุ้มครองข้อมูลส่วนบุคคลซึ่งมีประเด็นเรื่องการฝ่าฝืนข้อกำหนดเกี่ยวกับการโอนข้อมูลไปต่างประเทศ
- - บริษัท K ให้ข้อมูลส่วนบุคคลของผู้ใช้งานทั้งหมดโดยไม่ได้รับความยินยอม
- - บริษัท A ไม่แจ้งข้อเท็จจริงเกี่ยวกับการมอบหมายให้ประมวลผลข้อมูลส่วนบุคคลและการโอนข้อมูลไปต่างประเทศ
- 2. การกำหนดเงินเพิ่มเชิงลงโทษทางปกครองจากการฝ่าฝืนกฎหมายคุ้มครองข้อมูลส่วนบุคคล
- - บริษัท K โต้แย้งว่าเป็นการมอบหมายให้ประมวลผลโดยชอบด้วยกฎหมาย
- 3. การฝ่าฝืนกฎหมายคุ้มครองข้อมูลส่วนบุคคล แนวทางของ Daeryun
1. กรณีการฝ่าฝืนกฎหมายคุ้มครองข้อมูลส่วนบุคคลซึ่งมีประเด็นเรื่องการฝ่าฝืนข้อกำหนดเกี่ยวกับการโอนข้อมูลไปต่างประเทศ
กรณีนี้เกี่ยวข้องกับบริษัท K และบริษัท A ซึ่งถูกกำหนดเงินเพิ่มเชิงลงโทษทางปกครองประมาณ 8.3 พันล้านวอนเกาหลีใต้และได้รับคำสั่งให้แก้ไขจากการฝ่าฝืนกฎหมายคุ้มครองข้อมูลส่วนบุคคล
เมื่อวันที่ 22 เดือน 1 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐเกาหลี (ต่อไปนี้เรียกว่า “คณะกรรมการฯ”) ได้กำหนดเงินเพิ่มเชิงลงโทษทางปกครอง 5.968 พันล้านวอนเกาหลีใต้แก่บริษัท K ผู้ให้บริการฟินเทคในสาธารณรัฐเกาหลี เนื่องจากฝ่าฝืนบทบัญญัติว่าด้วยการโอนข้อมูลไปต่างประเทศตามรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี และกำหนดเงินเพิ่มเชิงลงโทษทางปกครอง 2.405 พันล้านวอนเกาหลีใต้แก่บริษัท A ซึ่งเป็นบริษัทเทคโนโลยีระดับโลก พร้อมทั้งกำหนดค่าปรับทางปกครอง 2.2 ล้านวอนเกาหลีใต้แก่บริษัท A
คณะกรรมการฯ เริ่มดำเนินการตรวจสอบตามรายงานข่าวที่ว่า บริษัท K และบริษัท A ได้ส่งมอบข้อมูลส่วนบุคคลให้บริษัท A ในประเทศจีนโดยไม่ได้รับความยินยอมจากลูกค้า และได้ประกาศข้อเท็จจริงเกี่ยวกับการฝ่าฝืนกฎหมายและรายละเอียดของคำสั่งดังต่อไปนี้
บริษัท K ให้ข้อมูลส่วนบุคคลของผู้ใช้งานทั้งหมดโดยไม่ได้รับความยินยอม
บริษัท K ส่งข้อมูลการชำระเงินและข้อมูลอื่นให้แก่บริษัท A ผ่านเครือข่ายตัวกลางของ A Pay ในประเทศจีน ซึ่งให้บริการเชื่อมรวมระบบการชำระเงินภายในบริษัท A
ในกระบวนการชำระเงิน บริษัท A ได้มอบหมายงานประมวลผลข้อมูลส่วนบุคคลให้แก่ A Pay ในประเทศจีน รวมถึงการคำนวณคะแนน NSF ของผู้ใช้งาน ซึ่งเป็นคะแนนที่ใช้คาดการณ์ความเป็นไปได้ที่เงินในบัญชีผู้ใช้งานจะไม่เพียงพอ
ในกระบวนการดังกล่าว ตั้งแต่ปี 2018 บริษัท K ได้ส่งข้อมูลส่วนบุคคลของผู้ใช้งานทั้งหมดของบริษัท K ให้แก่ A Pay ในประเทศจีนโดยไม่ได้รับความยินยอมจากผู้ใช้งาน รวม 3 ครั้ง เพื่อให้ A Pay ในประเทศจีนซึ่งเป็นผู้รับมอบหมายงานจากบริษัท A สามารถสร้างแบบจำลองสำหรับคำนวณคะแนน NSF ได้
นอกจากนี้ ตั้งแต่วันที่ 27 เดือน 6 ค.ศ. 2019 จนถึงวันที่ 21 เดือน 5 ค.ศ. 2024 บริษัท K ได้ส่งข้อมูลส่วนบุคคลของผู้ใช้งานทั้งหมดประมาณ 40,000,000 คนให้แก่ A Pay ในประเทศจีนอย่างต่อเนื่องทุกวันโดยไม่ได้รับความยินยอมแยกต่างหาก เพื่อให้ A Pay ในประเทศจีนคำนวณคะแนน NSF ของผู้ใช้งานแต่ละราย
ข้อมูลที่ส่งไปปรากฏว่ารวมถึงหมายเลขโทรศัพท์มือถือที่เข้ารหัส ที่อยู่อีเมล ยอดเงินคงเหลือที่เติมไว้ ตลอดจนจำนวนรายการชำระเงิน การเติมเงิน และการโอนเงินในช่วง 1 สัปดาห์ล่าสุด
บริษัท A ไม่แจ้งข้อเท็จจริงเกี่ยวกับการมอบหมายให้ประมวลผลข้อมูลส่วนบุคคลและการโอนข้อมูลไปต่างประเทศ
บริษัท A ซึ่งเป็นบริษัทเทคโนโลยีระดับโลกได้มอบหมายงานเชื่อมรวมระบบ (NSF) ซึ่งรวมถึงการพัฒนา API สำหรับการสื่อสารเพื่อเชื่อมต่อวิธีการชำระเงินให้ A Pay ในประเทศจีน และให้ A Pay ประมวลผลข้อมูลส่วนบุคคลเพื่อส่งข้อมูลการชำระเงินของผู้ใช้งานบริษัท K และคำนวณคะแนน NSF
อย่างไรก็ตาม บริษัท A ไม่ได้แจ้งให้ผู้ใช้งานทราบถึงการมอบหมายให้ประมวลผลข้อมูลส่วนบุคคลและการโอนข้อมูลไปต่างประเทศดังกล่าวในนโยบายการประมวลผลข้อมูลส่วนบุคคลหรือช่องทางอื่น
2. การกำหนดเงินเพิ่มเชิงลงโทษทางปกครองจากการฝ่าฝืนกฎหมายคุ้มครองข้อมูลส่วนบุคคล
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐเกาหลีได้กำหนดเงินเพิ่มเชิงลงโทษทางปกครองและออกคำสั่งให้แก้ไขแก่บริษัท K และบริษัท A จากการฝ่าฝืนกฎหมายคุ้มครองข้อมูลส่วนบุคคล
คณะกรรมการฯ วินิจฉัยว่าการให้ข้อมูลส่วนบุคคลของผู้ใช้งานทั้งหมดโดยไม่ได้รับความยินยอมเพื่อสร้างแบบจำลอง NSF และคำนวณคะแนนนั้น เป็นการโอนข้อมูลไปต่างประเทศโดยไม่มีฐานทางกฎหมายสำหรับการประมวลผล
คณะกรรมการฯ จึงกำหนดเงินเพิ่มเชิงลงโทษทางปกครอง 5.968 พันล้านวอนเกาหลีใต้แก่บริษัท K และออกคำสั่งให้แก้ไขเพื่อให้เป็นไปตามเงื่อนไขทางกฎหมายสำหรับการโอนข้อมูลไปต่างประเทศ
นอกจากนี้ คณะกรรมการฯ ยังกำหนดเงินเพิ่มเชิงลงโทษทางปกครอง 2.405 พันล้านวอนเกาหลีใต้แก่บริษัท A เนื่องจากมอบหมายให้ประมวลผลข้อมูลส่วนบุคคลในต่างประเทศโดยไม่เปิดเผยหรือแจ้งข้อมูลเกี่ยวกับผู้รับดำเนินการในต่างประเทศแก่เจ้าของข้อมูลผ่านนโยบายการประมวลผลข้อมูลส่วนบุคคลหรือช่องทางอื่น และกำหนดค่าปรับทางปกครอง 2.2 ล้านวอนเกาหลีใต้เนื่องจากไม่เปิดเผยข้อเท็จจริงเกี่ยวกับการมอบหมายดังกล่าว
บริษัท K โต้แย้งว่าเป็นการมอบหมายให้ประมวลผลโดยชอบด้วยกฎหมาย
อย่างไรก็ตาม ในการไต่สวนคำร้องขอระงับการบังคับเงินเพิ่มเชิงลงโทษทางปกครองเมื่อวันที่ 18 เดือน 4 บริษัท K โต้แย้งว่า “การโอนข้อมูลส่วนบุคคลดังกล่าวเป็นการมอบหมายให้ประมวลผลโดยชอบด้วยกฎหมาย”
บริษัท K ระบุว่า การดำเนินการดังกล่าวเป็นการมอบหมายให้ประมวลผลโดยชอบด้วยกฎหมายและเป็นขั้นตอนที่จำเป็นต่อการปฏิบัติงาน เนื่องจากจำเป็นต้องมีระบบป้องกันการชำระเงินโดยมิชอบเพื่อเพิ่มความสะดวกและความปลอดภัยของบริการชำระเงิน
บริษัท K อ้างว่า ตามแนวคำพิพากษาของศาลฎีกาแห่งสาธารณรัฐเกาหลี การพิจารณาว่าเป็นการให้ข้อมูลแก่บุคคลที่ 3 หรือเป็นการมอบหมายให้ประมวลผล ต้องพิจารณาจากเกณฑ์ว่า ‘เป็นการดำเนินงานและเพื่อประโยชน์ของผู้ใด’ และผู้ใดมีอำนาจควบคุมและจัดการข้อมูลส่วนบุคคล โดยสิทธิความเป็นเจ้าของข้อมูลส่วนบุคคลเป็นของบริษัท K และ A Pay ในประเทศจีนถูกระบุว่าเป็นผู้รับมอบหมายงาน ดังนั้นการโอนข้อมูลส่วนบุคคลไปต่างประเทศจึงเป็นการมอบหมายให้ประมวลผล
ในทางกลับกัน คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐเกาหลีมีความเห็นว่า การส่งข้อมูลโดยอัตโนมัตินั้นถือเป็นการให้ข้อมูลแก่บุคคลที่ 3 จึงจำเป็นต้องได้รับความยินยอมจากเจ้าของข้อมูลเพื่อโอนข้อมูลผู้ใช้งานไปต่างประเทศ
3. การฝ่าฝืนกฎหมายคุ้มครองข้อมูลส่วนบุคคล แนวทางของ Daeryun
กรณีการฝ่าฝืนกฎหมายคุ้มครองข้อมูลส่วนบุคคลนี้ ซึ่งมีคำสั่งกำหนดเงินเพิ่มเชิงลงโทษทางปกครองรวม 8.3 พันล้านวอนเกาหลีใต้ เป็นกรณีที่มีนัยสำคัญในสถานการณ์ที่การโอนข้อมูลส่วนบุคคลไปต่างประเทศเพิ่มขึ้นตามการขยายตัวของบริการแพลตฟอร์มระดับโลก เนื่องจากตอกย้ำถึงความจำเป็นในการกำหนดขอบเขตของการโอนข้อมูลไปต่างประเทศให้ชัดเจน และผู้ประกอบธุรกิจต้องปฏิบัติตามเงื่อนไขทางกฎหมายในการโอนข้อมูลไปต่างประเทศ
หากผู้ประกอบธุรกิจให้บริการที่มีการโอนข้อมูลส่วนบุคคลไปต่างประเทศ ผู้ประกอบธุรกิจต้องได้รับความยินยอมแยกต่างหากจากเจ้าของข้อมูล หรือในกรณีที่มอบหมายให้ผู้รับดำเนินการในต่างประเทศประมวลผลข้อมูลส่วนบุคคล ต้องแจ้งอย่างชัดเจนผ่านนโยบายการประมวลผลข้อมูลส่วนบุคคลหรือช่องทางอื่นว่าข้อมูลส่วนบุคคลจะถูกโอนข้ามพรมแดน
นอกจากนี้ เมื่อมอบหมายงานประมวลผลข้อมูลส่วนบุคคลให้บุคคลภายนอก ผู้มอบหมายยังคงต้องรับผิดชอบต่อเจ้าของข้อมูล หากข้อมูลส่วนบุคคลถูกโอนออกนอกขอบเขตความรับผิดชอบของผู้มอบหมายไปยังขอบเขตความรับผิดชอบของบุคคลที่ 3 การโอนดังกล่าวจะเข้าข่ายเป็น ‘การให้ข้อมูลแก่บุคคลที่ 3’ จึงต้องมีฐานทางกฎหมาย เช่น ความยินยอมของเจ้าของข้อมูล
รัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลีมีบทบัญญัติจำนวนมาก อีกทั้งแนวคิดและเงื่อนไขของการโอนข้อมูลไปต่างประเทศ การให้ข้อมูลแก่บุคคลที่ 3 และการมอบหมายให้ประมวลผลมีความซับซ้อนและเชื่อมโยงกัน จึงอาจขอคำแนะนำจากทนายความเพื่อป้องกันความเสี่ยงได้
สำนักงานกฎหมาย Daeryun ให้บริการโดยคณะทนายความในด้าน ▲การให้คำปรึกษาเกี่ยวกับการฝ่าฝืนกฎหมายคุ้มครองข้อมูลส่วนบุคคล ▲คำปรึกษาเกี่ยวกับการโอนข้อมูลไปต่างประเทศและการให้ข้อมูลแก่บุคคลที่ 3 ▲การตรวจสอบความเสี่ยงทางกฎหมายล่วงหน้า ▲การดำเนินการรองรับการตรวจสอบและกระบวนการทางปกครอง ▲การดำเนินการกรณีข้อมูลส่วนบุคคลรั่วไหล
