Tấn công mạng vào dữ liệu cá nhân | Duo làm lộ ‘hồ sơ cuộc đời’ của 430.000 người… cấu trúc rủi ro trách nhiệm doanh nghiệp có thay đổi không?

Ngoài ra, khoảng 300.000 bản ghi đáng lẽ phải được tiêu hủy sau khi hợp đồng chấm dứt vẫn được lưu giữ và cũng bị rò rỉ.

Do đặc thù của dịch vụ, ngành môi giới hôn nhân thu thập nhiều loại thông tin để kết nối các thành viên.

Khác với các dịch vụ trực tuyến thông thường, thông tin được sử dụng không chỉ để xác minh danh tính mà còn bao gồm môi trường sống và quan niệm sống của mỗi cá nhân.

Điều 29 Luật Bảo vệ thông tin cá nhân của Hàn Quốc quy định bên xử lý thông tin cá nhân phải thực hiện các biện pháp bảo vệ về kỹ thuật và quản lý nhằm ngăn chặn việc rò rỉ thông tin cá nhân.

Các biện pháp này bao gồm quản lý quyền truy cập, thiết lập quy trình xác thực và mã hóa.

Trong vụ việc này, hệ thống không giới hạn số lần xác thực đăng nhập thất bại và việc kiểm soát truy cập cơ sở dữ liệu cũng được xác định là chưa đầy đủ.

Mức độ mã hóa được áp dụng đối với mật khẩu và số đăng ký cư trú Hàn Quốc cũng được xác định là chưa đầy đủ.

Điều 34 Luật Bảo vệ thông tin cá nhân của Hàn Quốc quy định rằng khi thông tin cá nhân bị rò rỉ, doanh nghiệp phải thông báo cho chủ thể thông tin và phải báo cáo cho cơ quan giám sát trong vòng 72 giờ nếu vụ việc đáp ứng ngưỡng nhất định.

Tuy nhiên, trong vụ việc này, doanh nghiệp đã không báo cáo trong thời hạn quy định ngay cả sau khi nhận biết sự việc rò rỉ và việc thông báo cho các chủ thể thông tin cũng bị chậm trễ.

Điều 24-2 Luật Bảo vệ thông tin cá nhân của Hàn Quốc về nguyên tắc cấm thu thập và xử lý số đăng ký cư trú Hàn Quốc, chỉ cho phép ngoại lệ khi có căn cứ rõ ràng trong pháp luật.

Đối với hoạt động môi giới hôn nhân, việc thu thập và lưu giữ thông tin này dù không có căn cứ pháp lý rõ ràng cho phép thu thập số đăng ký cư trú Hàn Quốc đã bị chỉ ra là một vấn đề.

Điều này cho thấy nếu quy trình tiêu hủy thực tế không được thực hiện thì toàn bộ dữ liệu liên quan có thể trở thành rủi ro pháp lý, bất kể thời hạn lưu giữ đã được thiết lập hay chưa.

Ở giai đoạn đầu, doanh nghiệp có thể bị áp dụng các chế tài hành chính như khoản tiền phạt bổ sung và tiền phạt hành chính. Sau đó, vụ việc thường có thể dẫn đến yêu cầu bồi thường thiệt hại; khi kết hợp với tổn hại hình ảnh doanh nghiệp và tình trạng khách hàng rời bỏ dịch vụ, quy mô thiệt hại thực tế có thể tiếp tục gia tăng.

Đặc biệt, trong trường hợp có thông tin nhạy cảm và dữ liệu hồ sơ cá nhân như vụ việc này, rủi ro từ giai đoạn 2 trở đi có khả năng gia tăng nhanh chóng.

Nếu xác định có sự chậm trễ trong việc thông báo vụ rò rỉ hoặc thiếu sót trong hệ thống quản lý nội bộ, các yếu tố này có thể ảnh hưởng không chỉ đến mức khoản tiền phạt bổ sung mà còn đến phạm vi trách nhiệm dân sự.

Vì vậy, vụ tấn công mạng vào dữ liệu cá nhân cần được xem là một cơ cấu rủi ro trong đó rủi ro hành chính, dân sự và kinh doanh có thể phát sinh liên tiếp.

Vụ tấn công mạng vào dữ liệu cá nhân có đặc điểm là phạm vi trách nhiệm của doanh nghiệp phụ thuộc vào việc hệ thống quản lý phòng ngừa đã được xây dựng đầy đủ trước khi sự cố xảy ra hay chưa, thay vì chỉ phụ thuộc vào biện pháp ứng phó sau sự cố.

Khi xảy ra rò rỉ, doanh nghiệp có thể đồng thời đối mặt với chế tài hành chính, yêu cầu bồi thường thiệt hại và rủi ro uy tín, vì vậy cần tiến hành xem xét pháp lý một cách tổng thể.

Dựa trên kinh nghiệm trong lĩnh vực bảo vệ thông tin cá nhân, tuân thủ quy định về dữ liệu và ứng phó với tranh chấp doanh nghiệp, Công ty Luật Daeryun cung cấp dịch vụ tư vấn pháp lý về toàn bộ cơ cấu xử lý thông tin cá nhân của doanh nghiệp.