MỤC LỤC
- 1. Vi phạm pháp luật về bảo vệ thông tin cá nhân: vụ việc liên quan đến quy định về chuyển thông tin ra nước ngoài
- - Công ty K cung cấp thông tin cá nhân của toàn bộ người dùng mà không có sự đồng ý
- - Công ty A không thông báo việc ủy thác xử lý và chuyển thông tin cá nhân ra nước ngoài
- 2. Áp dụng khoản tiền phạt bổ sung do vi phạm pháp luật về bảo vệ thông tin cá nhân
- - Công ty K phản bác rằng đây là hoạt động ủy thác xử lý hợp pháp
- 3. Vi phạm pháp luật về bảo vệ thông tin cá nhân: hướng xử lý của Daeryun
1. Vi phạm pháp luật về bảo vệ thông tin cá nhân: vụ việc liên quan đến quy định về chuyển thông tin ra nước ngoài
Đây là vụ việc công ty K và công ty A bị áp dụng khoản tiền phạt bổ sung khoảng 8.300.000.000 won Hàn Quốc cùng lệnh khắc phục do vi phạm pháp luật về bảo vệ thông tin cá nhân.
Ngày 22 tháng 1 vừa qua, Ủy ban Bảo vệ Thông tin Cá nhân Hàn Quốc (sau đây gọi là Ủy ban) đã áp dụng khoản tiền phạt bổ sung 5.968.000.000 won Hàn Quốc đối với công ty K, một doanh nghiệp dịch vụ công nghệ tài chính của Hàn Quốc, do vi phạm quy định về chuyển thông tin cá nhân ra nước ngoài theo Luật Bảo vệ thông tin cá nhân của Hàn Quốc; đồng thời áp dụng đối với công ty công nghệ lớn toàn cầu A khoản tiền phạt bổ sung 2.405.000.000 won Hàn Quốc và khoản phạt tiền hành chính 2.200.000 won Hàn Quốc.
Ủy ban bắt đầu điều tra sau khi có thông tin báo chí cho rằng công ty K và công ty A đã chuyển thông tin cá nhân cho công ty A tại Trung Quốc mà không có sự đồng ý của khách hàng, sau đó công bố các hành vi vi phạm pháp luật và nội dung xử lý dưới đây.
Công ty K cung cấp thông tin cá nhân của toàn bộ người dùng mà không có sự đồng ý
Công ty K đang truyền thông tin thanh toán và các dữ liệu khác cho công ty A thông qua mạng trung gian của A Pay tại Trung Quốc, đơn vị cung cấp dịch vụ tích hợp hệ thống thanh toán trong công ty A.
Trong quá trình xử lý thanh toán, công ty A đã ủy thác cho A Pay tại Trung Quốc thực hiện công việc xử lý thông tin cá nhân, bao gồm việc tính điểm NSF của người dùng, tức điểm được sử dụng để dự đoán khả năng tài khoản người dùng không đủ tiền.
Trong quá trình này, để A Pay tại Trung Quốc, bên nhận ủy thác của công ty A, có thể xây dựng mô hình tính điểm NSF, kể từ năm 2018, công ty K đã truyền thông tin cá nhân của toàn bộ người dùng cho A Pay tại Trung Quốc tổng cộng 3 lần mà không có sự đồng ý của người dùng.
Ngoài ra, hằng ngày từ ngày 27 tháng 6 năm 2019 đến ngày 21 tháng 5 năm 2024, công ty K tiếp tục truyền thông tin cá nhân của khoảng 40 triệu người dùng cho A Pay tại Trung Quốc mà không có sự đồng ý riêng, nhằm giúp đơn vị này tính điểm NSF cho từng người dùng.
Thông tin được truyền được xác định là bao gồm số điện thoại đã mã hóa, địa chỉ email, số dư nạp tiền, các giao dịch thanh toán và nạp tiền trong 1 tuần gần nhất, số lượt chuyển tiền cùng các dữ liệu khác.
Công ty A không thông báo việc ủy thác xử lý và chuyển thông tin cá nhân ra nước ngoài
Khi ủy thác cho A Pay tại Trung Quốc thực hiện công việc tích hợp hệ thống (NSF), chẳng hạn như phát triển API truyền thông để liên kết phương thức thanh toán, công ty công nghệ lớn toàn cầu A đã cho phép đơn vị này xử lý thông tin cá nhân phục vụ việc truyền dữ liệu thanh toán của người dùng công ty K và tính điểm NSF.
Tuy nhiên, công ty A không thông báo cho người dùng về việc ủy thác xử lý và chuyển thông tin cá nhân ra nước ngoài này trong chính sách xử lý thông tin cá nhân hoặc bằng phương thức khác.
2. Áp dụng khoản tiền phạt bổ sung do vi phạm pháp luật về bảo vệ thông tin cá nhân
Đối với hành vi vi phạm pháp luật về bảo vệ thông tin cá nhân, Ủy ban đã áp dụng khoản tiền phạt bổ sung và lệnh khắc phục đối với công ty K và công ty A.
Ủy ban xác định rằng việc cung cấp thông tin cá nhân của toàn bộ người dùng mà không có sự đồng ý để xây dựng mô hình và tính điểm NSF là hành vi chuyển thông tin ra nước ngoài không có căn cứ xử lý hợp pháp.
Theo đó, Ủy ban đã áp dụng khoản tiền phạt bổ sung 5,968 tỷ won Hàn Quốc đối với công ty K và ban hành lệnh khắc phục, yêu cầu đáp ứng các điều kiện hợp pháp khi chuyển thông tin ra nước ngoài.
Đối với việc công ty A không công khai hoặc thông báo cho chủ thể thông tin về bên nhận ủy thác ở nước ngoài và các nội dung liên quan trong chính sách xử lý thông tin cá nhân khi ủy thác xử lý thông tin cá nhân ở nước ngoài, Ủy ban đã áp dụng khoản tiền phạt bổ sung 2,405 tỷ won Hàn Quốc; đối với việc không công bố nội dung ủy thác, Ủy ban phạt tiền hành chính 2,2 triệu won Hàn Quốc.
Công ty K phản bác rằng đây là hoạt động ủy thác xử lý hợp pháp
Tuy nhiên, tại phiên thẩm vấn ngày 18 tháng 4 trong vụ yêu cầu tạm đình chỉ thi hành khoản tiền phạt bổ sung, phía công ty K cho rằng “việc chuyển thông tin cá nhân này là hoạt động ủy thác xử lý hợp pháp”.
Công ty K trình bày rằng đây là hoạt động ủy thác xử lý hợp pháp và là thủ tục cần thiết để thực hiện công việc, bởi hệ thống phòng chống thanh toán gian lận là cần thiết nhằm nâng cao tính thuận tiện và bảo mật của dịch vụ thanh toán.
Viện dẫn án lệ của Tòa án Tối cao Hàn Quốc, công ty K cho rằng việc xác định đây là cung cấp cho bên thứ 3 hay ủy thác xử lý phải dựa trên các tiêu chí như hoạt động đó phục vụ công việc và lợi ích của ai, cũng như quyền kiểm soát và quản lý thông tin cá nhân thuộc về ai. Công ty K lập luận rằng quyền sở hữu thông tin cá nhân thuộc về mình và A Pay tại Trung Quốc được ghi rõ là bên nhận ủy thác, nên việc chuyển thông tin cá nhân ra nước ngoài thuộc trường hợp ủy thác xử lý.
Ngược lại, phía Ủy ban Bảo vệ Thông tin Cá nhân Hàn Quốc cho rằng bản thân việc tự động truyền thông tin đã cấu thành hành vi cung cấp cho bên thứ 3; do đó, việc chuyển thông tin người dùng ra nước ngoài bắt buộc phải có sự đồng ý của chủ thể thông tin.
3. Vi phạm pháp luật về bảo vệ thông tin cá nhân: hướng xử lý của Daeryun
Vụ vi phạm pháp luật về bảo vệ thông tin cá nhân này, trong đó lệnh áp dụng khoản tiền phạt bổ sung tổng cộng 8.300.000.000 won Hàn Quốc đã được ban hành, là một trường hợp đáng chú ý trong bối cảnh việc chuyển thông tin cá nhân ra nước ngoài ngày càng gia tăng cùng với sự phổ biến của các dịch vụ nền tảng toàn cầu. Vụ việc cho thấy cần xác định rõ phạm vi chuyển thông tin ra nước ngoài và bảo đảm doanh nghiệp tuân thủ các điều kiện hợp pháp bắt buộc khi thực hiện việc chuyển này.
Khi cung cấp dịch vụ có việc chuyển thông tin cá nhân ra nước ngoài, doanh nghiệp phải có sự đồng ý riêng của chủ thể thông tin; nếu ủy thác việc xử lý thông tin cá nhân cho bên nhận ủy thác ở nước ngoài, doanh nghiệp phải thông báo rõ trong chính sách xử lý thông tin cá nhân hoặc bằng phương thức khác rằng thông tin cá nhân sẽ được chuyển qua biên giới.
Khi ủy thác công việc xử lý thông tin cá nhân cho bên ngoài, bên ủy thác vẫn phải chịu trách nhiệm đối với chủ thể thông tin. Nếu thông tin cá nhân được chuyển ra ngoài phạm vi trách nhiệm của bên ủy thác và sang phạm vi trách nhiệm của bên thứ 3, việc này được coi là “cung cấp cho bên thứ 3”; do đó, bắt buộc phải có căn cứ pháp lý như sự đồng ý của chủ thể thông tin.
Luật Bảo vệ thông tin cá nhân của Hàn Quốc có nhiều điều khoản, trong khi các khái niệm và điều kiện liên quan đến chuyển thông tin ra nước ngoài, cung cấp cho bên thứ 3 và ủy thác xử lý có mối liên hệ phức tạp. Vì vậy, doanh nghiệp có thể xem xét nhận hỗ trợ từ luật sư có chuyên môn để phòng ngừa rủi ro.
Công ty Luật Daeryun tổ chức đội ngũ luật sư thực hiện ▲tư vấn về vi phạm pháp luật bảo vệ thông tin cá nhân ▲tư vấn liên quan đến chuyển thông tin ra nước ngoài và cung cấp cho bên thứ 3 ▲kiểm tra trước các rủi ro pháp lý ▲hỗ trợ ứng phó với hoạt động điều tra và thủ tục hành chính ▲hỗ trợ xử lý sự cố rò rỉ thông tin cá nhân.
