Corea del Sur introduce sanciones más severas para las filtraciones de datos reiteradas

Corea del Sur ha introducido un régimen revisado de protección de datos que puede sancionar a las empresas con multas de hasta el 10 % de sus ingresos totales en los casos graves. Las medidas se dirigen contra las filtraciones reiteradas, el incumplimiento de las órdenes correctivas y los incidentes vinculados a la intencionalidad o la negligencia grave, al tiempo que ofrecen reducciones sustanciales a las organizaciones que han invertido en proteger la información personal.

La Comisión de Protección de Información Personal anunció el día 10 que la Ley de Protección de la Información Personal, modificada, y su decreto de aplicación revisado entrarían en vigor al día siguiente. Según la información publicada por en.sedaily.com, los cambios pretenden disuadir tanto las filtraciones a gran escala como alentar a las empresas a reforzar su seguridad antes de que se produzca un incidente.

Sanciones más elevadas por fallos graves o reiterados

La multa máxima se aplica cuando una empresa comete de nuevo una infracción similar en un plazo de tres años por intencionalidad o negligencia grave, cuando resultan perjudicadas más de 10 millones de personas o cuando se produce otra filtración después de que la organización haya ignorado una orden correctiva. La sanción definitiva tendrá en cuenta la naturaleza de la filtración y la magnitud de los daños.

Las normas también incrementan el recargo adicional aplicado a las infracciones reiteradas. Una primera reincidencia puede conllevar un recargo del 20 %, que asciende al 40 % en una segunda reincidencia y al 80 % en una tercera o posteriores. Los porcentajes anteriores eran del 15 % para una primera reincidencia y del 30 % para dos o más reincidencias.

Las empresas que no informen ni notifiquen a las personas dentro del plazo establecido y que, además, no limiten la propagación de los daños pueden enfrentarse a un cargo adicional de hasta el 30 %. La disposición vincula las consecuencias no solo al fallo de seguridad original, sino también a la forma en que la organización gestiona el incidente una vez que tiene conocimiento de él.

La comisión también amplía las circunstancias en las que debe informarse a los usuarios de una posible filtración. La notificación será obligatoria cuando se considere objetivamente muy probable que haya habido una exposición, incluso si los investigadores aún no han establecido de forma concluyente que se hayan sustraído datos.

Esta obligación comienza en un plazo de 72 horas desde que una empresa tiene conocimiento de un supuesto acceso ilegal a un sistema de información personal. También se aplica cuando parte de la información personal ha sido objeto de comercio ilegal y existe la posibilidad de que se hayan expuesto datos pertenecientes a otros usuarios. Las normas revisadas abarcan además la falsificación, alteración o destrucción de información personal.

La prevención puede reducir la factura

El marco está diseñado para distinguir entre las empresas que descuidan la seguridad y aquellas que pueden demostrar un trabajo preventivo sostenido. Los reguladores pueden reducir la multa base hasta un 40 % después de considerar el importe y la proporción del gasto de una empresa en presupuestos, personal, instalaciones y equipos de seguridad.

La evaluación también puede tener en cuenta si esas inversiones se han mantenido o han aumentado, y si la organización ha establecido una estructura de protección en la que participen su director ejecutivo, su director de privacidad y empleados especializados. Una reducción independiente de hasta el 40 % puede estar disponible para una empresa con un sistema de respuesta a incidentes que detecte pronto una filtración, informe y notifique con rapidez y actúe para contener daños adicionales.

Este enfoque convierte la preparación en un factor para calcular las sanciones, en lugar de tratar todas las filtraciones de la misma manera. También presiona a las empresas para que mantengan los programas de seguridad a lo largo del tiempo, en vez de aumentar el gasto únicamente después de que se haya producido un incidente.

Mayor responsabilidad para la alta dirección

La ley revisada identifica expresamente al director ejecutivo como responsable último de la protección de datos y otorga al director de privacidad una autoridad más amplia sobre el personal especializado y los presupuestos pertinentes. En determinadas organizaciones grandes, el consejo debe aprobar el nombramiento, sustitución o destitución del director de privacidad, y la organización debe informar de la decisión a la comisión.

El requisito relativo al consejo abarca a las empresas con ingresos o rentas anuales superiores a 180.000 millones de wones que gestionen información personal perteneciente a al menos 1 millón de personas. También se aplica a las organizaciones que procesen información sensible o identificativa única de 50.000 personas o más. Asimismo, están incluidos las universidades con al menos 20.000 estudiantes matriculados, los hospitales generales de tercer nivel y los operadores de grandes sistemas públicos.

La presidenta de la comisión, Song Kyoung-hee, afirmó que las normas revisadas deberían promover un enfoque centrado en la prevención y un sistema más sólido de gestión de la seguridad. Sostuvo que el gasto en protección de la privacidad debería considerarse una inversión temprana en la confianza de los clientes y el crecimiento empresarial, en lugar de simplemente un coste.

Por tanto, los cambios crean dos incentivos paralelos para las empresas: los fallos que afecten a un gran número de personas o el desprecio reiterado de las medidas regulatorias pueden resultar considerablemente más costosos, mientras que la inversión documentada, un liderazgo eficaz y una respuesta rápida a los incidentes pueden reducir la sanción definitiva.