สารบัญ
- 1. บริษัท M ซึ่งคัดค้านคำสั่งทางปกครอง
- - ข้อโต้แย้งของบริษัท M ในคดีขอให้เพิกถอนเงินเพิ่มเชิงลงโทษทางปกครอง
- - จุดยืนของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐเกาหลีว่าเงินเพิ่มเชิงลงโทษทางปกครองชอบด้วยกฎหมาย
- 2. ศาลฎีกาแห่งสาธารณรัฐเกาหลีวินิจฉัยว่าคำสั่งทางปกครอง “ชอบด้วยกฎหมาย”
- - สหภาพยุโรปกำหนดโทษปรับบริษัท M จำนวน 324.9 พันล้านวอนเกาหลีใต้เช่นกัน
- 3. แนวทางของ Daeryun ในการรับมือคำสั่งทางปกครอง
1. บริษัท M ซึ่งคัดค้านคำสั่งทางปกครอง
บริษัท M ซึ่งเป็นบริษัทเทคโนโลยีขนาดใหญ่ระดับโลกและได้คัดค้านคำสั่งทางปกครอง ได้ส่งต่อข้อมูลส่วนบุคคลของผู้ใช้ SNS ที่บริษัทดำเนินการให้แก่ผู้ประกอบการรายอื่นโดยไม่ได้รับอนุญาต จึงถูกคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐเกาหลี (ต่อไปนี้เรียกว่า “คณะกรรมการฯ”) กำหนดเงินเพิ่มเชิงลงโทษทางปกครองจำนวน 6.7 พันล้านวอนเกาหลีใต้
เมื่อเดือนพฤศจิกายน 2020 คณะกรรมการฯ ตรวจสอบพบว่าบริษัท M ส่งต่อข้อมูลส่วนบุคคลของผู้ใช้ SNS ของบริษัทในสาธารณรัฐเกาหลีจำนวน 3.3 ล้านคนให้แก่ผู้ประกอบการอื่นประมาณ 10,000 รายโดยไม่ได้รับความยินยอม ข้อมูลดังกล่าวรวมถึงการศึกษา ประวัติการทำงาน ภูมิลำเนา ครอบครัว การสมรส∙ความสัมพันธ์เชิงชู้สาว จึงออกคำสั่งทางปกครองดังกล่าว
บริษัท M โต้แย้งว่าข้อมูลที่ส่งให้ผู้ประกอบการอื่นเป็นข้อมูลที่ผู้ใช้เปิดเผยโดยสมัครใจอยู่แล้ว จึงไม่ใช่ข้อมูลส่วนบุคคล และบริษัทไม่ได้ฝ่าฝืนรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี แต่การฎีกาต่อศาลฎีกาแห่งสาธารณรัฐเกาหลีก็ถูกยกเช่นกัน
ข้อโต้แย้งของบริษัท M ในคดีขอให้เพิกถอนเงินเพิ่มเชิงลงโทษทางปกครอง
1. ไม่ใช่ผู้เก็บรวบรวมข้อมูลส่วนบุคคล
บริษัท M อ้างว่าข้อมูลพฤติกรรมที่รวบรวมจากเว็บไซต์หรือแอปของบริษัทอื่นนั้น ผู้ประกอบการดังกล่าวเป็นผู้รวบรวมแล้วส่งให้บริษัท M หรือมอบหมายให้บริษัท M ประมวลผล ดังนั้นบริษัท M จึงไม่ใช่ผู้เก็บรวบรวมข้อมูลส่วนบุคคล
บริษัท M จึงอ้างว่าผู้ประกอบการดังกล่าวมีหน้าที่ขอความยินยอมในการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคล ส่วนบริษัท M ไม่มีหน้าที่ต้องขอความยินยอม
2. อ้างว่ากระบวนการขอความยินยอมไม่มีข้อบกพร่อง
บริษัท M ระบุว่าได้ขอความยินยอมต่อนโยบายข้อมูลในขั้นตอนสมัครใช้บริการ SNS และนโยบายดังกล่าวมีเนื้อหาเกี่ยวกับการเก็บรวบรวม∙ใช้ข้อมูล จึงเป็นไปตามเงื่อนไขที่กฎหมายกำหนด
3. อ้างว่าการกำหนดเงินเพิ่มเชิงลงโทษทางปกครองไม่ชอบด้วยกฎหมาย
บริษัท M ระบุว่าคณะกรรมการฯ กำหนดเงินเพิ่มเชิงลงโทษทางปกครองในจำนวนที่สูงเกินควร และอ้างว่าวิธีคำนวณเงินดังกล่าวไม่ชอบด้วยกฎหมาย
จุดยืนของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐเกาหลีว่าเงินเพิ่มเชิงลงโทษทางปกครองชอบด้วยกฎหมาย
จุดยืนของคณะกรรมการฯ ที่ว่าเงินเพิ่มเชิงลงโทษทางปกครองชอบด้วยกฎหมายมีดังนี้
1. อ้างว่าบริษัท M เป็นผู้เก็บรวบรวมข้อมูลส่วนบุคคลโดยแท้จริง
บริษัท M สร้างตัวระบุออนไลน์ขึ้นเองและกำหนดให้แก่ผู้ใช้ จากนั้นจึงใช้ตัวระบุดังกล่าวเก็บรวบรวม จัดเก็บ และวิเคราะห์ข้อมูลพฤติกรรมจากบริษัทอื่น
คณะกรรมการฯ อ้างว่าเนื่องจากผู้ใช้เว็บไซต์ไม่ได้ครอบครองข้อมูลดังกล่าว บริษัท M จึงมีหน้าที่ต้องขอความยินยอม
2. อ้างว่าไม่ได้รับความยินยอมโดยชอบด้วยกฎหมาย
คณะกรรมการฯ ชี้ว่าบริษัท M เพียงนำเสนอนโยบายข้อมูลที่มีเนื้อหาจำนวนมาก แต่ไม่ได้แจ้งข้อมูลที่กฎหมายกำหนดไว้อย่างชัดเจน เช่น วัตถุประสงค์ในการเก็บรวบรวม รายการข้อมูล และระยะเวลาจัดเก็บ
นอกจากนี้ยังเน้นว่าบริษัท M จัดให้มีกระบวนการขอความยินยอมที่เหมาะสมแก่ผู้ใช้ในยุโรป แต่ไม่ได้แจ้งข้อมูลดังกล่าวอย่างเหมาะสมแก่ผู้ใช้ในสาธารณรัฐเกาหลี
คณะกรรมการฯ ยังชี้ว่าการทำเครื่องหมายยินยอมโดยอัตโนมัติขณะสมัครใช้บริการ (วิธีเลือกไม่เข้าร่วม) ก็เป็นปัญหาเช่นกัน
คณะกรรมการฯ วินิจฉัยว่าการดำเนินการดังกล่าวของบริษัท M ไม่เป็นไปตามข้อกำหนดเรื่องการแจ้งอย่างชัดเจนและการได้รับความยินยอมล่วงหน้าตามรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี
3. อ้างว่าการกำหนดเงินเพิ่มเชิงลงโทษทางปกครองมีความเหมาะสม
คณะกรรมการฯ วินิจฉัยว่าบริษัท M อยู่ภายใต้บังคับของเงินเพิ่มเชิงลงโทษทางปกครอง เนื่องจากไม่ได้รับความยินยอมโดยชอบด้วยกฎหมายในการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคล
คณะกรรมการฯ ระบุว่าได้คำนวณเงินดังกล่าวโดยคำนึงถึงรายได้ ความร้ายแรง และระยะเวลาของการฝ่าฝืน อีกทั้งบริษัท M เคยมีประวัติการฝ่าฝืนมาก่อนจึงไม่มีเหตุให้บรรเทา
คณะกรรมการฯ ยังอ้างว่าจำนวนเงินได้รับการกำหนดโดยชอบภายในเพดานตามกฎหมาย และคำสั่งดังกล่าวมีประโยชน์สาธารณะอย่างมากในด้านการคุ้มครองสิทธิในการกำหนดตนเองเกี่ยวกับข้อมูลส่วนบุคคล
2. ศาลฎีกาแห่งสาธารณรัฐเกาหลีวินิจฉัยว่าคำสั่งทางปกครอง “ชอบด้วยกฎหมาย”
สำหรับบริษัท M ซึ่งยื่นคดีขอให้เพิกถอนคำสั่งทางปกครอง ศาลฎีกาแห่งสาธารณรัฐเกาหลีมีคำพิพากษายกคำขอของบริษัท M โดยยืนตามคำวินิจฉัยในการพิจารณาคดีชั้นที่ 1 และชั้นที่ 2
บริษัท M ยื่นฟ้องในปี 2021 โดยอ้างว่าคำสั่งทางปกครองดังกล่าวไม่ชอบ แต่แพ้คดีในการพิจารณาคดีชั้นที่ 1 เมื่อปี 2023 และชั้นที่ 2 เมื่อปี 2024 ทั้งยังถูกศาลฎีกาแห่งสาธารณรัฐเกาหลียกฎีกา จึงเป็นฝ่ายแพ้คดีถึงที่สุด
ศาลฎีกาแห่งสาธารณรัฐเกาหลีวินิจฉัยว่าข้อมูลดังกล่าวเป็นข้อมูลส่วนบุคคล และการที่บริษัท M ให้ข้อมูลดังกล่าวแก่บุคคลที่ 3 โดยไม่ได้รับความยินยอมจากผู้ใช้ เป็นการฝ่าฝืนรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี
ศาลฎีกาแห่งสาธารณรัฐเกาหลียืนตามคำพิพากษาของศาลล่างที่วินิจฉัยว่า ไม่อาจถือว่าผู้ใช้ให้ความยินยอม เนื่องจากผู้ใช้ไม่อาจทราบหรือคาดหมายถึงข้อมูลที่กฎหมายกำหนดให้ต้องแจ้งเพื่อขอความยินยอมเกี่ยวกับข้อมูลส่วนบุคคล
นอกจากนี้ ศาลยังวินิจฉัยว่าแม้ผู้ใช้จะเปิดเผยข้อมูลดังกล่าว บริษัท M ก็ยังมีหน้าที่ในฐานะผู้ให้บริการ
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐเกาหลีระบุว่า เมื่อผลของคำสั่งซึ่งถูกระงับการบังคับเนื่องจากการฟ้องคดีกลับมามีผลตามคำวินิจฉัยถึงที่สุดแล้ว คณะกรรมการฯ จะเรียกร้องให้บริษัท M ปฏิบัติตามคำสั่งให้แก้ไขและตรวจสอบการปฏิบัติตามด้วย
สหภาพยุโรปกำหนดโทษปรับบริษัท M จำนวน 324.9 พันล้านวอนเกาหลีใต้เช่นกัน
เมื่อเดือน 4 ที่ผ่านมา สหภาพยุโรปได้กำหนดโทษปรับแก่บริษัท M เป็นเงิน 2 ร้อยล้านยูโร (ประมาณ 3249 ร้อยล้านวอนเกาหลีใต้) เช่นกัน
ประเด็นปัญหาคือ ผู้ใช้บริการของบริษัท M ที่ไม่ชำระค่าบริการถูกบังคับโดยพฤตินัยให้ยินยอมต่อการเก็บรวบรวมข้อมูลเพื่อวัตถุประสงค์ในการโฆษณา
มาตรการดังกล่าวเป็นมาตรการลงโทษครั้งแรกที่อาศัยรัฐบัญญัติตลาดดิจิทัล (DMA) ซึ่งมุ่งควบคุมอำนาจเหนือตลาดของบริษัทเทคโนโลยีขนาดใหญ่ระดับโลก และสร้างตลาดที่เป็นธรรมและมีการแข่งขัน
นอกจากนี้ยังมีข้อสังเกตอย่างต่อเนื่องว่า การดำเนินการดังกล่าวอาจเป็นมาตรการตอบโต้เชิงแก้แค้นของสหภาพยุโรปต่อสงครามภาษีของรัฐบาลทรัมป์
3. แนวทางของ Daeryun ในการรับมือคำสั่งทางปกครอง
ตามคำพิพากษาของศาลฎีกาแห่งสาธารณรัฐเกาหลีที่วินิจฉัยว่าคำสั่งทางปกครองชอบด้วยกฎหมาย คดีนี้อาจเป็นบรรทัดฐานที่เน้นย้ำถึงความรับผิดชอบในการคุ้มครองข้อมูลส่วนบุคคลของผู้ประกอบธุรกิจแพลตฟอร์มขนาดใหญ่
ประเด็นว่าบุคคลใดเป็นผู้เก็บรวบรวมข้อมูล กรณีใดต้องได้รับความยินยอมโดยชัดแจ้งจากผู้ใช้ และการคำนวณเงินเพิ่มเชิงลงโทษทางปกครองมีความเหมาะสมหรือไม่ เป็นเรื่องที่วินิจฉัยได้ยากหากไม่มีความเข้าใจอย่างละเอียดเกี่ยวกับกฎหมายและแนวคำพิพากษาที่เกี่ยวข้อง
ดังนั้น หากองค์กรเก็บรวบรวมหรือใช้ข้อมูลส่วนบุคคล หรือต้องโต้แย้งคำสั่งทางปกครอง การได้รับความช่วยเหลือจากทนายความที่มีความรู้และประสบการณ์ปฏิบัติงานเกี่ยวกับรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลีอาจเป็นประโยชน์
โดยเฉพาะองค์กรที่ให้บริการผ่านแพลตฟอร์มควรตรวจสอบความเสี่ยงทางกฎหมายเกี่ยวกับโครงสร้างการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลตั้งแต่ขั้นตอนแรกของการออกแบบบริการ รวมทั้งรับคำปรึกษาทางกฎหมายเพื่อเตรียมรับมือข้อพิพาทที่อาจเกิดขึ้นภายหลัง
สำนักงานกฎหมาย Daeryun จัดทีมทนายความที่ปฏิบัติงานเกี่ยวกับ 🔗การฝ่าฝืนรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี และ 🔗ทนายความด้านกฎหมายธุรกิจ เพื่อให้คำปรึกษาและดำเนินงานด้านการจัดการความเสี่ยงทางธุรกิจขององค์กร
