MỤC LỤC
- 1. Vụ việc có tranh chấp về hành vi vi phạm Luật Bảo vệ thông tin cá nhân của Hàn Quốc
- 2. Nhận định của tòa án liên quan đến Luật Bảo vệ thông tin cá nhân của Hàn Quốc
- - Tính thực chất của sự đồng ý cho phép thu thập và sử dụng thông tin cá nhân
- - Dữ liệu có thuộc thông tin được định danh bằng bí danh hoặc thông tin ẩn danh hay không
- - Sự không thống nhất giữa mục đích thu thập và mục đích sử dụng thực tế
- - Vi phạm nghĩa vụ tiêu hủy thông tin cá nhân
- - Yêu cầu lấy ý kiến đồng ý riêng biệt khi xử lý thông tin nhạy cảm
- 3. Ý nghĩa của phán quyết liên quan đến Luật Bảo vệ thông tin cá nhân của Hàn Quốc
- - Phương án của Daeryun đối với vụ việc xâm phạm thông tin cá nhân
1. Vụ việc có tranh chấp về hành vi vi phạm Luật Bảo vệ thông tin cá nhân của Hàn Quốc
Vấn đề trọng tâm trong vụ việc là có hành vi vi phạm Luật Bảo vệ thông tin cá nhân của Hàn Quốc hay không.
Doanh nghiệp bị đơn vận hành một ứng dụng phân tích quan hệ tình cảm và thu thập nội dung hội thoại KakaoTalk giữa người dùng với người còn lại bằng cách để người dùng trực tiếp tải nội dung lên.
Sau đó, trong quá trình phát triển một dịch vụ chatbot AI riêng biệt do cùng doanh nghiệp cung cấp, bị đơn đã chuyển thông tin cá nhân và một phần nội dung hội thoại lưu trong cơ sở dữ liệu của dịch vụ ứng dụng hiện có sang một cơ sở dữ liệu huấn luyện riêng, sử dụng chúng để huấn luyện mô hình và ra mắt dịch vụ chatbot AI trên cơ sở đó.
Tuy nhiên, do phát sinh các vấn đề như sự không thống nhất giữa mục đích xử lý được thông báo tại thời điểm thu thập thông tin cá nhân và mục đích sử dụng thực tế, tính thực chất của sự đồng ý cho phép xử lý thông tin cá nhân, cũng như việc đáp ứng các điều kiện xử lý thông tin được định danh bằng bí danh hoặc thông tin ẩn danh, những người bị ảnh hưởng đã yêu cầu bồi thường thiệt hại.
2. Nhận định của tòa án liên quan đến Luật Bảo vệ thông tin cá nhân của Hàn Quốc
Đối với vụ việc này, tòa án đưa ra nhận định như sau.
Tính thực chất của sự đồng ý cho phép thu thập và sử dụng thông tin cá nhân
Tòa án nhận định rằng chỉ thực hiện thủ tục lấy ý kiến đồng ý mang tính hình thức và bao quát thì không thể được xem là đã đáp ứng nghĩa vụ lấy ý kiến đồng ý thực chất theo yêu cầu của Luật Bảo vệ thông tin cá nhân của Hàn Quốc.
Tòa án cho rằng việc lấy ý kiến đồng ý thông qua ô đánh dấu “Tôi đồng ý với điều khoản sử dụng và chính sách xử lý thông tin cá nhân”, sau đó chỉ cung cấp đường liên kết để xem chính sách này, không đủ để xác định rằng người dùng đã nhận biết rõ và đồng ý về cách thức sử dụng thông tin cá nhân của mình.
Qua đó, tòa án đưa ra tiêu chí rằng nội dung và phạm vi đồng ý phải được phân định, thông báo rõ ràng, đồng thời phải được giải thích theo cách giúp người dùng có thể nhận biết đầy đủ.
Dữ liệu có thuộc thông tin được định danh bằng bí danh hoặc thông tin ẩn danh hay không
Tòa án nhận định rằng dữ liệu được doanh nghiệp bị đơn sử dụng trong quá trình huấn luyện AI không đáp ứng tiêu chuẩn về thông tin ẩn danh hoặc thông tin được định danh bằng bí danh theo Luật Bảo vệ thông tin cá nhân của Hàn Quốc.
Nội dung hội thoại không chỉ chứa các thông tin định danh riêng lẻ như tên, thông tin liên lạc, địa chỉ, mật khẩu và số tài khoản mà còn bao gồm những nội dung có thể được sử dụng để suy đoán về quan hệ xã hội và thông tin nhân thân. Vì vậy, tòa án cho rằng nếu kết hợp với thông tin bổ sung thì nguy cơ xác định được một cá nhân cụ thể là đáng kể.
Tòa án cũng nhận định rằng biện pháp chỉ mã hóa một phần thông tin và lưu giữ nguyên trạng phần lớn dữ liệu mà không loại bỏ yếu tố nhận dạng không đáp ứng tiêu chuẩn xử lý bằng bí danh theo Điều 28-2 của Luật Bảo vệ thông tin cá nhân của Hàn Quốc.
Sự không thống nhất giữa mục đích thu thập và mục đích sử dụng thực tế
Tòa án cho rằng dịch vụ ứng dụng hiện có và dịch vụ chatbot AI khác nhau về cơ bản xét theo mục đích, tính chất, chức năng và môi trường sử dụng; do đó, việc sử dụng dữ liệu để huấn luyện khi chưa có sự đồng ý là hành vi sử dụng vượt quá phạm vi mục đích thu thập quy định tại Điều 15 và Điều 18 của Luật Bảo vệ thông tin cá nhân của Hàn Quốc.
Tòa án nhận định rằng không thể chỉ vì chính sách xử lý thông tin cá nhân có ghi “phát triển dịch vụ mới” mà đánh giá rằng chủ thể thông tin đã dự liệu hoặc đồng ý cho việc huấn luyện thuật toán AI.
Vi phạm nghĩa vụ tiêu hủy thông tin cá nhân
Tòa án cũng xác định có hành vi vi phạm do bị đơn không tuân thủ nghĩa vụ pháp lý về việc lưu trữ riêng biệt hoặc tiêu hủy thông tin cá nhân của người dùng không sử dụng dịch vụ trong thời gian dài và người dùng đã rút khỏi dịch vụ.
Tòa án nhận định hành vi này vi phạm Điều 21 và Điều 39-6 của Luật Bảo vệ thông tin cá nhân của Hàn Quốc.
Yêu cầu lấy ý kiến đồng ý riêng biệt khi xử lý thông tin nhạy cảm
Nội dung hội thoại có chứa thông tin về sức khỏe, đời sống tình dục, tư tưởng và tín ngưỡng, thuộc nhóm thông tin nhạy cảm quy định tại Điều 23 khoản 1 của Luật Bảo vệ thông tin cá nhân của Hàn Quốc, nhưng bị đơn không lấy ý kiến đồng ý rõ ràng riêng biệt. Trên cơ sở đó, tòa án xác định có hành vi vi phạm quy định pháp luật liên quan đến thông tin nhạy cảm.
Theo đó, căn cứ vào nguy cơ thiệt hại và mức độ xâm phạm, tòa án phân chia thành các nhóm gồm trường hợp thông tin cá nhân bị tiết lộ, thông tin nhạy cảm bị tiết lộ và cả hai loại thông tin đều bị tiết lộ, qua đó lần lượt chấp nhận mức bồi thường tổn thất tinh thần là 100.000 won Hàn Quốc, 300.000 won Hàn Quốc và 400.000 won Hàn Quốc.
3. Ý nghĩa của phán quyết liên quan đến Luật Bảo vệ thông tin cá nhân của Hàn Quốc
Phán quyết này là một trường hợp làm rõ rằng để sử dụng thông tin cá nhân được thu thập từ một dịch vụ hiện có vào mục đích phát triển và huấn luyện AI riêng biệt trong quá trình ứng dụng công nghệ AI, cần có sự đồng ý rõ ràng trước đó của chủ thể thông tin.
Đặc biệt, tòa án đưa ra tiêu chí rằng ngay cả khi cho rằng có thể sử dụng thông tin được định danh bằng bí danh mà không cần sự đồng ý vì mục đích nghiên cứu khoa học, dữ liệu vẫn phải được xử lý bằng bí danh ở mức độ đủ để xác định rằng luồng thông tin cá nhân được kiểm soát về mặt kỹ thuật và quản lý, đồng thời nguy cơ nhận dạng đã được loại bỏ.
Tòa án cũng xác nhận rằng ngay cả doanh nghiệp AI hoạt động dựa trên dữ liệu cũng không được sử dụng bổ sung dữ liệu vượt ngoài phạm vi có thể dự liệu tại thời điểm thu thập thông tin cá nhân, đồng thời phạm vi xử lý dữ liệu phải được thiết kế theo hướng đáp ứng các tiêu chuẩn pháp lý ngay từ giai đoạn đầu phát triển dịch vụ.
Phương án của Daeryun đối với vụ việc xâm phạm thông tin cá nhân
Công ty Luật Daeryun cung cấp các dịch vụ hỗ trợ sau đây cho doanh nghiệp vận hành dịch vụ nền tảng và doanh nghiệp cung cấp dịch vụ AI.
Thứ nhất, xây dựng mô hình tuân thủ để kiểm tra trước việc chấp hành Luật Bảo vệ thông tin cá nhân của Hàn Quốc trong giai đoạn lập kế hoạch và phát triển ban đầu của dịch vụ.
Thứ hai, đề xuất nội dung thông báo và thủ tục lấy ý kiến đồng ý về mục đích thu thập, sử dụng thông tin cá nhân, thời hạn lưu giữ và phạm vi sử dụng dựa trên khả năng hiểu của người dùng.
Thứ ba, hỗ trợ ứng phó với hoạt động điều tra của các cơ quan giám sát như Ủy ban Bảo vệ Thông tin Cá nhân Hàn Quốc và Ủy ban Truyền thông Hàn Quốc, đồng thời xây dựng phương án cải thiện trong quá trình vận hành dịch vụ.
Thứ tư, khi xảy ra sự cố tiết lộ hoặc xâm phạm thông tin cá nhân, xây dựng đồng thời phương án ứng phó hình sự (nộp yêu cầu xử lý hình sự, ứng phó điều tra, lập luận về việc không đủ căn cứ buộc tội và các tình tiết giảm nhẹ hình phạt) và phương án ứng phó dân sự (bảo vệ trước yêu cầu bồi thường thiệt hại).
Thứ năm, cung cấp hệ thống phòng ngừa rủi ro, bao gồm đào tạo nhân viên nội bộ của doanh nghiệp và tổ chức, quản lý lỗ hổng, cũng như phân tích và thu thập chứng cứ bằng kỹ thuật giám định kỹ thuật số khi phát sinh hành vi vi phạm Luật Bảo vệ thông tin cá nhân của Hàn Quốc.
Khi cần tư vấn pháp lý liên quan đến Luật Bảo vệ thông tin cá nhân của Hàn Quốc, có thể 🔗đặt lịch tư vấn pháp lý với luật sư doanh nghiệp.
