كوريا الجنوبية تفرض عقوبات أشد على حالات خرق البيانات المتكررة

أدخلت كوريا الجنوبية نظاماً معدّلاً لحماية البيانات يمكن أن يفرض على الشركات غرامات تصل إلى 10% من إجمالي إيراداتها في الحالات الخطيرة. وتستهدف التدابير الخروقات المتكررة، وعدم الامتثال للأوامر التصحيحية، والحوادث المرتبطة بالتعمد أو الإهمال الجسيم، فيما تقدم تخفيضات كبيرة للمنظمات التي استثمرت في حماية المعلومات الشخصية.

وقالت لجنة حماية المعلومات الشخصية في العاشر من الشهر إن قانون حماية المعلومات الشخصية المعدّل ومرسومه التنفيذي المعدّل سيدخلان حيز التنفيذ في اليوم التالي. ووفقاً لتقرير نشره en.sedaily.com، تهدف التغييرات إلى ردع عمليات التسريب واسعة النطاق، وكذلك تشجيع الشركات على تعزيز أمنها قبل وقوع أي حادث.

غرامات أعلى على الإخفاقات الخطيرة أو المتكررة

تُطبّق الغرامة القصوى عندما ترتكب شركة مخالفة مماثلة مرة أخرى خلال ثلاث سنوات عن عمد أو بسبب إهمال جسيم، أو عندما يتضرر أكثر من 10 ملايين شخص، أو عندما يقع خرق آخر بعد تجاهل المنظمة أمراً تصحيحياً. وستعكس الغرامة النهائية طبيعة الخرق وحجم الضرر.

كما تزيد القواعد الرسوم الإضافية المفروضة على المخالفات المتكررة. وقد تستتبع المخالفة المتكررة الأولى رسماً إضافياً قدره 20%، يرتفع إلى 40% عند التكرار للمرة الثانية، وإلى 80% عند التكرار للمرة الثالثة أو أكثر. وكانت النسب السابقة 15% للتكرار الأول و30% لتكرارين أو أكثر.

وقد تواجه الشركات التي لا تبلغ ولا تُخطر الأشخاص خلال المهلة المطلوبة، مع إخفاقها في الحد من انتشار الضرر، رسماً إضافياً يصل إلى 30%. ويربط الحكم العواقب ليس فقط بالإخفاق الأمني الأصلي، بل أيضاً بكيفية تعامل المنظمة مع الحادث بمجرد علمها به.

كما توسّع اللجنة الظروف التي يجب فيها إبلاغ المستخدمين بوقوع خرق محتمل. ويصبح الإخطار إلزامياً عندما يُحكم موضوعياً بأن احتمال حدوث انكشاف مرتفع للغاية، حتى إذا لم يثبت المحققون بشكل قاطع أن البيانات قد سُرقت.

ويبدأ هذا الالتزام خلال 72 ساعة من علم الشركة بوجود وصول غير قانوني مشتبه به إلى نظام للمعلومات الشخصية. وينطبق أيضاً عندما تكون بعض المعلومات الشخصية قد جرى الاتجار بها بصورة غير قانونية، ويكون هناك احتمال لانكشاف بيانات تخص مستخدمين آخرين. كما تشمل القواعد المعدّلة تزوير المعلومات الشخصية أو تغييرها أو إتلافها.

الوقاية قد تخفّض قيمة الغرامة

صُمّم الإطار لتمييز الشركات التي تهمل الأمن عن تلك التي تستطيع إثبات قيامها بأعمال وقائية مستمرة. وقد يخفض المنظمون الغرامة الأساسية بنسبة تصل إلى 40% بعد النظر في قيمة ونسبة إنفاق الشركة على ميزانيات الأمن والموظفين والمنشآت والمعدات.

ويمكن أن يأخذ التقييم في الحسبان أيضاً ما إذا كانت هذه الاستثمارات قد استمرت أو نمت، وما إذا كانت المنظمة قد أنشأت هيكل حماية يضم رئيسها التنفيذي، ومسؤول الخصوصية الرئيسي لديها، والموظفين المتخصصين. وقد يتاح تخفيض منفصل يصل إلى 40% لشركة لديها نظام للاستجابة للحوادث يكتشف الخرق مبكراً، ويُبلغ ويُخطر بسرعة، ويتخذ إجراءات لاحتواء المزيد من الضرر.

ويجعل هذا النهج الجاهزية عاملاً في احتساب العقوبات، بدلاً من معاملة كل خرق بالطريقة نفسها. كما يضغط على الشركات للحفاظ على برامج الأمن بمرور الوقت، بدلاً من زيادة الإنفاق فقط بعد وقوع حادث.

مسؤولية أكبر على الإدارة العليا

يحدد القانون المعدّل صراحةً الرئيس التنفيذي بوصفه المسؤول النهائي عن حماية البيانات، ويمنح مسؤول الخصوصية الرئيسي صلاحيات أوسع على الموظفين المتخصصين والميزانيات ذات الصلة. وبالنسبة إلى بعض المنظمات الكبيرة، يجب على مجلس الإدارة الموافقة على تعيين مسؤول الخصوصية الرئيسي أو استبداله أو إقالته، كما يجب على المنظمة إبلاغ اللجنة بالقرار.

ويشمل الشرط المتعلق بمستوى مجلس الإدارة الشركات التي تتجاوز إيراداتها أو دخلها السنوي 180 مليار وون، والتي تتعامل مع معلومات شخصية تخص ما لا يقل عن مليون شخص. كما ينطبق على المنظمات التي تعالج معلومات حساسة أو معلومات تعريفية فريدة تخص 50,000 شخص أو أكثر. وتشمل القائمة أيضاً الجامعات التي تضم ما لا يقل عن 20,000 طالب مسجل، والمستشفيات العامة من الدرجة الثالثة، ومشغلي الأنظمة العامة الرئيسية.

وقالت رئيسة اللجنة، سونغ كيونغ-هي، إن القواعد المعدّلة ينبغي أن تعزز نهجاً قائماً على الوقاية ونظاماً أقوى لإدارة السلامة. ورأت أن الإنفاق على حماية الخصوصية ينبغي أن يُنظر إليه باعتباره استثماراً مبكراً في ثقة العملاء ونمو الأعمال، لا مجرد تكلفة.

ومن ثم، تخلق التغييرات بالنسبة إلى الشركات حافزين متوازيين: فقد تصبح الإخفاقات التي تشمل أعداداً كبيرة من الأشخاص أو التجاهل المتكرر للإجراءات التنظيمية أكثر تكلفة بكثير، في حين يمكن للاستثمار الموثق والقيادة الفعالة والاستجابة السريعة للحوادث أن تخفض العقوبة النهائية.