Новые штрафные санкции
Регулятор защиты приватности Южной Кореи существенно повышает стоимость утечек данных, стремясь побудить компании рассматривать защиту данных как превентивные инвестиции, а не как рутинные расходы ведения бизнеса.
С пятницы компании, допустившие утечку персональных данных 10 млн и более человек через умысел или грубую халатность, могут быть оштрафованы на сумму до 10% от общей выручки. Это часть масштабной переработки Закона о защите персональной информации, вступающей в силу в тот же день. Даже если утечка не подтверждена, компании должны уведомить пользователей в течение 72 часов, если риск раскрытия высок.
«Утечки персональных данных в последнее время происходят повторно и растут в масштабах в секторах, тесно связанных с повседневной жизнью, таких как розница и телекоммуникации, — сказал журналистам в четверг генеральный секретарь Комиссии по защите персональной информации Ян Чхон Сам. — Мы улучшили систему, чтобы строго наказывать серьёзные нарушения, помогая одновременно предотвращать утечки с самого начала.»
Условия применения штрафов
В соответствии с постановлением об исполнении, предельный размер штрафа применяется к компаниям, которые повторно совершают умышленные или грубо халатные нарушения в течение трёх лет, или которые не соблюдают приказ о корректирующих мерах и впоследствии страдают от утечки. Штрафы рассчитываются на основе характера и степени тяжести нарушения, связанных с ним обстоятельств и масштаба ущерба.
До внесения поправок компании подлежали штрафу в размере до 3% от продаж.
Разница между старыми и новыми правилами становится наглядной при применении к реальному делу. Местный гигант электронной коммерции Coupang был оштрафован на 624,6 млрд вон (466,3 млн долларов) в июне после утечки персональных данных 37,55 млн человек. Применение нового стандарта в этом деле могло бы довести штраф до триллионов вон. Однако фактические штрафы по-прежнему будут зависеть от умысла, халатности, масштаба ущерба и смягчающих факторов.
Стимулы для инвестиций в защиту
Компании, заранее инвестировавшие в защиту данных, получат льготу по новым правилам. Регуляторы учтут масштаб и непрерывность инвестиций компании в бюджеты, персонал и оборудование для защиты данных, а также более широкую систему защиты, включая главного сотрудника по конфиденциальности, чтобы снизить штраф на сумму до 40%. Компания, обнаружившая утечку на ранней стадии, оперативно уведомившая пользователей и предотвратившая распространение ущерба, также может получить снижение до 40%.
Система уведомления о потенциальных утечках
Поправка также вводит «систему уведомления о потенциальной утечке данных». Если компания установит высокую вероятность раскрытия персональных данных — например, после несанкционированного доступа к её системам обработки данных или после обнаружения, что какие-то персональные данные незаконно торговались способом, предполагающим возможность утечки данных других людей — она должна уведомить затронутых лиц в течение 72 часов с момента уведомления. Данные, подделанные, изменённые или повреждённые вирусом-шифровальщиком и подобными атаками, теперь также подлежат тем же требованиям по отчётности и уведомлению.
Расширение полномочий сотрудников по конфиденциальности
Полномочия и ответственность главных сотрудников по конфиденциальности в крупных компаниях и учреждениях также расширятся. Компании с годовой выручкой, превышающей 180 млрд вон, которые обрабатывают персональные данные 1 млн и более человек или чувствительную или уникальную идентифицирующую информацию 50 000 и более человек, должны получить одобрение совета директоров перед назначением, заменой или увольнением главного сотрудника по конфиденциальности и доложить решение в PIPC. Университеты с 20 000 и более студентами, третичные общие больницы и операторы крупных государственных систем подпадают под то же требование.
«Мы ожидаем, что способ, которым компании рассматривают инвестиции в защиту данных, сместится с рассмотрения её как расходов к рассмотрению её как проактивных инвестиций, создающих доверие клиентов и расширяющих корпоративную прибыль, — сказала председатель PIPC Сон Кён Хи.»