[การมีส่วนร่วม] การรับรองระดับชาติได้กลายเป็นการไม่ต้องรับโทษขององค์กร จำเป็นต้องมีกฎหมายเพื่อ 'ความรับผิดชอบที่แท้จริง'

หลังจาก SK Telecom ความสงสัยเกี่ยวกับการรั่วไหลของข้อมูลส่วนบุคคลก็ถูกหยิบยกขึ้นมาที่ YES24 เช่นกัน YES24 ระบุทันทีหลังจากทราบถึงการโจมตีของแรนซัมแวร์เมื่อวันที่ 9 ว่า “ไม่มีข้อมูลส่วนบุคคลรั่วไหล” แต่ความร้ายแรงของเรื่องนี้ถูกเปิดเผยเมื่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตรวจพบสถานการณ์การสอบถามข้อมูลสมาชิกที่ผิดปกติและเริ่มการสอบสวน

เหตุการณ์นี้ไม่ใช่แค่เหตุการณ์การแฮ็กธรรมดาๆ เท่านั้น การรั่วไหลของข้อมูลส่วนบุคคลซ้ำๆ ทำให้เกิดคำถามพื้นฐานเกี่ยวกับความรับผิดชอบที่แท้จริงของบริษัทรายใหญ่ในประเทศในการปกป้องข้อมูลส่วนบุคคล และระบบตอบสนองของสถาบันทำงานอย่างถูกต้องหรือไม่ โดยเฉพาะอย่างยิ่ง ทั้ง SK Telecom และ YES24 ได้รับการรับรอง ISMS (Information Security Management System) หรือ ISMS-P (Integrated Personal Information Protection Certification) ที่ดำเนินการโดยรัฐบาล

ISMS-P คือระบบที่ตรวจสอบและรับรองว่าบริษัทมีมาตรการป้องกันด้านการบริหารจัดการและด้านเทคนิคบางประการ อย่างไรก็ตาม ระบบนี้ไม่ได้ประเมินว่าเหตุการณ์การแฮ็กเกิดขึ้นหรือไม่ หรือบริษัทได้ปฏิบัติตามความรับผิดชอบที่แท้จริงหลังจากเหตุการณ์ดังกล่าวหรือไม่ ระบบบรรเทาความเสียหายและมาตรการปฏิบัติเพื่อป้องกันการเกิดซ้ำไม่เกี่ยวข้องกับความถูกต้องของการรับรอง เป็นผลให้การรับรองยังคงอยู่ตราบเท่าที่เป็นไปตามข้อกำหนด

ปัญหาคือหลังเกิดอุบัติเหตุ การรับรองนี้ถูกละเมิดได้ง่ายโดยตรรกะของการคุ้มกันของบริษัท โดยกล่าวว่า "เรากำลังใช้งานระบบที่ได้รับการรับรองจากรัฐบาล" การรับรองการป้องกันและเสริมสร้างความรับผิดชอบนั้นแท้จริงแล้วใช้เป็นเครื่องมือในการ 'ปฏิบัติตามความรับผิดชอบอย่างเป็นทางการ' เมื่อเกิดอุบัติเหตุ ระบบการรับรองทำงานแตกต่างไปจากที่ตั้งใจไว้แต่แรก

ในสถานการณ์เช่นนี้ที่เราพึ่งพาระบบที่ไม่ป้องกันอุบัติเหตุหรือเพิ่มความรับผิดชอบ ประชาชนไม่มีทางเลือกอื่นนอกจากคิดว่า “การรับรองระดับประเทศไม่ได้ปกป้องฉัน” ระบบมีอยู่จริง แต่ประสิทธิภาพของระบบยังอ่อนแอ และปัญหายิ่งร้ายแรงยิ่งขึ้นเนื่องจากเป็นโครงสร้างที่ช่วยให้บริษัทต่างๆ หลีกเลี่ยงความรับผิดชอบได้แม้ว่าจะเกิดอุบัติเหตุแล้วก็ตาม

มันแตกต่างออกไปในต่างประเทศ ศาลรัฐบาลกลางสหรัฐสั่งให้กลุ่ม NSO ของอิสราเอลจ่ายค่าเสียหายเชิงลงโทษประมาณ 167 ล้านดอลลาร์ ในกรณีที่เกี่ยวข้องกับการละเมิดอุปกรณ์ของผู้ใช้ WhatsApp โดยไม่ได้รับอนุญาต บริษัทโทรคมนาคมของสหรัฐฯ ที-โมบาย ยังได้จ่ายเงินชดเชยการดำเนินคดีแบบกลุ่มมูลค่าหลายล้านดอลลาร์ หลังจากข้อมูลส่วนบุคคลจำนวนมากรั่วไหล กฎหมายและระบบได้รับการจัดโครงสร้างเพื่อให้บริษัทต้องรับผิดชอบอย่างแท้จริง

ในทางกลับกัน เกาหลียังคงจำกัดการลงโทษเล็กน้อย เนื่องจากค่าปรับทางปกครอง คำสั่งแก้ไข และการกำกับดูแลอย่างเป็นทางการล้วนเกี่ยวข้องทั้งสิ้น ในคดีแพ่ง ภาระการพิสูจน์ตกอยู่กับเหยื่อมากเกินไป และระดับของค่าชดเชยยังห่างไกลจากความเป็นจริง ปัญหาที่ร้ายแรงกว่านั้นคือสื่อบางแห่งและสำนักงานกฎหมายขนาดใหญ่กำลังเผยแพร่ตรรกะที่ว่า “การเรียกร้องค่าชดเชยสำหรับการรั่วไหลของข้อมูลส่วนบุคคลนั้นไม่มีประโยชน์ในทางปฏิบัติ” สร้างบรรยากาศที่ทำให้ประชาชนต้องละทิ้งสิทธิของตน

เพื่อที่จะทำลายโครงสร้างนี้ สำนักงานกฎหมายของ Daeryun กำลังดำเนินคดีแบบกลุ่มกับบริษัทขนาดใหญ่สำหรับการรั่วไหลของข้อมูลส่วนบุคคล การตัดสินใจครั้งนี้ไม่ได้เป็นทางเลือกที่ดีหากดูจากตรรกะกำไรของตลาดกฎหมายเท่านั้น อย่างไรก็ตาม นับตั้งแต่ก่อตั้ง Daeryun ได้วางเหตุผลของการมีอยู่ของบริการทางกฎหมายไม่ใช่ 'ผลกำไร' แต่อยู่ที่ 'การตระหนักถึงสิทธิของพลเมืองในทางปฏิบัติ' คดีฟ้องร้องแบบกลุ่มนี้ยังเป็นส่วนเสริมของเรื่องนั้นด้วย

Daeryun กระจายตลาดกฎหมายที่มีศูนย์กลางอยู่ที่เขตเมืองใหญ่ไปยังระดับภูมิภาค และจัดตั้งสำนักงานสาขาทั่วประเทศเพื่อให้แน่ใจว่าพลเมืองทุกคนจะได้รับบริการทางกฎหมายคุณภาพสูง เราร่วมมือกับสำนักงานกฎหมายขนาดใหญ่ในสหรัฐอเมริกาและญี่ปุ่นเพื่อรวมระบบกฎหมายขั้นสูงในเกาหลี และเปิดตัวระบบการบริการลูกค้า (ระบบ AS) ที่ช่วยให้สามารถสำรวจความพึงพอใจของลูกค้า เปลี่ยนทนายความ และแม้แต่คืนเงินได้ การฟ้องร้องดำเนินคดีแบบกลุ่มของ SK Telecom ยังเป็นแบบฝึกหัดเพื่อพิสูจน์ว่าการทดลองเชิงโครงสร้างดังกล่าวมีความเป็นไปได้ในความเป็นจริง

ไม่มีเหตุผลว่าทำไมข้อมูลส่วนบุคคลของพลเมืองของสาธารณรัฐเกาหลีจึงควรมีความสำคัญน้อยกว่าของพลเมืองของสหรัฐอเมริกาหรือยุโรป สิ่งที่จำเป็นในตอนนี้คือการนำระบบค่าเสียหายเชิงลงโทษ การเสริมสร้างประสิทธิผลของระบบการฟ้องคดีแบบกลุ่ม และสร้างรากฐานทางกฎหมายที่สามารถนำไปสู่ความรับผิดชอบขององค์กรอย่างแท้จริง ศาลยังต้องนำเสนอมาตรฐานที่ชัดเจนและข้อความที่ชัดเจนเพื่อให้บริษัทต่างๆ ยอมรับการคุ้มครองข้อมูลส่วนบุคคลว่าเป็น 'สาระสำคัญของการจัดการ' แทนที่จะเป็น 'ทางเลือก'

คดีนี้ไม่ใช่แค่การทำให้บริษัทใดบริษัทหนึ่งต้องรับผิดชอบตามกฎหมายเท่านั้น นี่ควรเป็นจุดเริ่มต้นของกฎหมายและระบบในการประกาศอย่างเป็นทางการว่าข้อมูลส่วนบุคคลเป็นสิทธิขั้นพื้นฐานภายใต้รัฐธรรมนูญ ไม่อยู่ภายใต้การจัดการทางเทคนิค ข้อมูลส่วนบุคคลถือเป็นทรัพย์สินอันมีค่า ไม่ควรมอบสิทธิของประชาชนในราคาที่ถูก

[ดูบทความเต็ม]
หัวหน้าฝ่ายกฎหมาย - [การมีส่วนร่วม] การรับรองระดับประเทศกลายเป็นองค์กรไม่ต้องรับโทษ จำเป็นต้องมีกฎหมายเพื่อ "ความรับผิดชอบที่แท้จริง" (ลิงก์)
Korea Law Daily - [การสนับสนุน] การรับรองระดับชาติที่กลายมาเป็นภูมิคุ้มกันขององค์กร จำเป็นต้องมีกฎหมายสำหรับ "ความรับผิดชอบที่แท้จริง" (ลิงก์)