Yang bocor adalah 'berat badan', yang dikembalikan adalah 'kupon'... isu utama insiden kebocoran data Ttareungi

Akibat peretasan sistem sepeda umum Seoul Ttareungi, informasi sekitar 4,62 juta anggota bocor. Item yang bocor sebenarnya berbeda per anggota, tetapi terpastikan mencakup tidak hanya ID dan nomor ponsel, tetapi juga tanggal lahir, jenis kelamin, alamat, bahkan 'berat badan'. Karena itu, Seoul Facilities Corporation pada tanggal 30 mengajukan tiket berlangganan berkala (setara sekitar 5 ribu won) sebagai kompensasi. Di tengah kemarahan warga membesar, kasus ini menjadi ujian penting untuk menimbang nilai data pribadi dan asas hukum ganti rugi, melampaui perdebatan emosional.

Yang membuat kasus ini menunjukkan pola berbeda dari kasus kebocoran data yang ada adalah kebocoran berat badan pelanggan. Berat badan termasuk 'data sensitif' menurut Undang-Undang Perlindungan Data Pribadi sehingga dilindungi lebih ketat daripada data pribadi umum. Terutama, inti kasus ini terletak pada 'penggabungan informasi'; misalnya bila nama, ID, nomor ponsel, alamat, dan sebagainya digabung dengan berat badan lalu bocor, bukan sekadar satu angka, melainkan pemrofilan individu tertentu menjadi mungkin sehingga sensitivitas informasi membesar secara eksponensial.

Kalau begitu, apakah kompensasi kerugian selesai dengan 'tiket penggunaan setara 5 ribu won' yang diajukan korporasi? Tiket penggunaan yang diberikan korporasi berdasarkan peraturan daerah dan lainnya hanyalah 'tindakan pemulihan kerugian' mandiri, dan tidak boleh disamakan dengan ganti rugi perdata menurut Undang-Undang Perlindungan Data Pribadi. Artinya, menerima kompensasi mandiri korporasi bukan berarti langsung melepaskan hak menuntut ganti rugi secara hukum.

Selain itu, apakah korban dapat memperoleh ganti rugi meski tidak ada kerugian sekunder konkret (penyalahgunaan nama, penipuan keuangan, dan sebagainya)? Keadaan bahwa kerugian sekunder konkret tidak terpastikan dapat menjadi unsur penting dalam menilai timbulnya dan lingkup kerugian, tetapi sulit memandangnya sebagai syarat mutlak ganti rugi. Sebabnya, kerugian mental akibat kebocoran data pribadi itu sendiri dan 'kerugian harta serta privasi tambahan' akibat kerugian sekunder jelas harus dibedakan.

Untuk itu, Pasal 39-2 Undang-Undang Perlindungan Data Pribadi mengatur sistem 'ganti rugi menurut undang-undang'. Ini sistem yang meringankan beban pembuktian jumlah kerugian konkret sehingga dapat menuntut jumlah kerugian yang cukup besar dalam kisaran 3 juta won ke bawah. Namun, alih-alih konsep menerima otomatis 3 juta won hanya dengan fakta kebocoran, jumlah ganti rugi dihitung dengan memilah ada tidaknya kebocoran sederhana, kemungkinan pelanggaran privasi menurut sifat informasi, dan seberapa berat kelalaian pengelolaan pelaku usaha.

Pengacara Firma Hukum Daeryun Kim Hyeong-jin menyampaikan, "Di titik ini muncul pokok sengketa hukum paling penting dalam kasus Ttareungi kali ini. Yaitu masalah 'tanggapan setelah mengetahui insiden'. Tanggung jawab perdata tidak dibebaskan hanya karena layanan yang dioperasikan lembaga publik, dan perbuatan lembaga publik selaku pengendali data pribadi yang mengabaikan tanggung jawab tanggapan pascakejadian mau tak mau dinilai berat sebagai kelalaian pengelolaan yang serius dalam gugatan ganti rugi ke depan," dan "namun, gugatan terhadap lembaga publik prosedurnya lebih rumit daripada gugatan perusahaan swasta biasa dan lingkup pengakuan kerugian oleh pengadilan bisa terbatas, sehingga tidak terlambat untuk memutuskan setelah cukup mempertimbangkan hal ini."

[Baca artikel selengkapnya]
Yang bocor 'berat badan' yang kembali 'kupon'···pokok sengketa kasus kebocoran informasi Ttareungi (kunjungi tautan)