दक्षिण कोरिया ने बार-बार होने वाले डेटा उल्लंघनों के लिए कड़े दंड लागू किए

दक्षिण कोरिया ने डेटा-संरक्षण की संशोधित व्यवस्था लागू की है, जिसके तहत गंभीर मामलों में कंपनियों पर उनके कुल राजस्व के 10% तक का जुर्माना लगाया जा सकता है। ये उपाय बार-बार होने वाले उल्लंघनों, सुधारात्मक आदेशों का पालन न करने और जानबूझकर या घोर लापरवाही से जुड़े मामलों को लक्षित करते हैं, जबकि व्यक्तिगत जानकारी की सुरक्षा में निवेश करने वाले संगठनों को बड़ी कटौती की पेशकश करते हैं।

व्यक्तिगत सूचना संरक्षण आयोग ने 10 तारीख को कहा कि संशोधित व्यक्तिगत सूचना संरक्षण अधिनियम और इसके संशोधित प्रवर्तन डिक्री अगले दिन से प्रभावी होंगे। en.sedaily.com की रिपोर्ट के अनुसार, इन बदलावों का उद्देश्य बड़े पैमाने पर होने वाले डेटा-लीक को रोकना और घटनाओं से पहले अपनी सुरक्षा मजबूत करने के लिए कारोबारों को प्रोत्साहित करना, दोनों है।

गंभीर या बार-बार होने वाली विफलताओं के लिए अधिक दंड

अधिकतम जुर्माना तब लागू होगा जब कोई कंपनी जानबूझकर या घोर लापरवाही के कारण तीन साल के भीतर फिर से ऐसा ही उल्लंघन करती है, जब 10 मिलियन से अधिक लोग प्रभावित होते हैं, या जब संगठन द्वारा सुधारात्मक आदेश की अनदेखी करने के बाद एक और उल्लंघन होता है। अंतिम जुर्माना उल्लंघन की प्रकृति और नुकसान की सीमा को ध्यान में रखकर तय किया जाएगा।

नियम बार-बार होने वाले उल्लंघनों पर लगाए जाने वाले अतिरिक्त अधिभार को भी बढ़ाते हैं। पहली बार दोहराए गए अपराध पर 20% का अधिभार लगाया जा सकता है, जो दूसरी बार दोहराए गए अपराध पर बढ़कर 40% और तीसरी या उसके बाद की पुनरावृत्ति पर 80% हो जाएगा। पिछली दरें पहली पुनरावृत्ति पर 15% और दो या अधिक पुनरावृत्तियों पर 30% थीं।

जो कारोबार आवश्यक अवधि के भीतर रिपोर्ट करने और लोगों को सूचित करने में विफल रहते हैं, और साथ ही नुकसान के फैलाव को सीमित करने में भी नाकाम रहते हैं, उन पर 30% तक का अतिरिक्त शुल्क लगाया जा सकता है। यह प्रावधान परिणामों को केवल मूल सुरक्षा विफलता से ही नहीं, बल्कि घटना की जानकारी होने के बाद संगठन द्वारा उससे निपटने के तरीके से भी जोड़ता है।

आयोग उन परिस्थितियों का दायरा भी बढ़ा रहा है, जिनमें उपयोगकर्ताओं को संभावित उल्लंघन के बारे में बताया जाना आवश्यक है। जब किसी डेटा-एक्सपोज़र की वस्तुनिष्ठ रूप से अत्यधिक संभावना आंकी जाती है, तब सूचना देना आवश्यक होगा, भले ही जांचकर्ताओं ने निर्णायक रूप से यह स्थापित न किया हो कि डेटा लिया गया था।

किसी कंपनी को व्यक्तिगत-सूचना प्रणाली में संदिग्ध अवैध पहुंच की जानकारी होने के 72 घंटे के भीतर यह दायित्व शुरू हो जाता है। यह तब भी लागू होता है जब कुछ व्यक्तिगत जानकारी का अवैध रूप से कारोबार किया गया हो और इस बात की संभावना हो कि अन्य उपयोगकर्ताओं का डेटा भी उजागर हुआ है। संशोधित नियम व्यक्तिगत जानकारी की जालसाजी, उसमें बदलाव या उसे नष्ट करने को भी शामिल करते हैं।

रोकथाम से जुर्माना घट सकता है

यह ढांचा उन कंपनियों के बीच अंतर करने के लिए बनाया गया है जो सुरक्षा की उपेक्षा करती हैं और वे जो निरंतर रोकथाम संबंधी काम का प्रमाण दे सकती हैं। नियामक सुरक्षा बजट, कर्मचारियों, सुविधाओं और उपकरणों पर कंपनी के खर्च की राशि और अनुपात पर विचार करने के बाद मूल जुर्माने में 40% तक की कमी कर सकते हैं।

आकलन में यह भी देखा जा सकता है कि ये निवेश जारी रहे हैं या बढ़े हैं, और क्या संगठन ने अपने मुख्य कार्यकारी अधिकारी, मुख्य गोपनीयता अधिकारी तथा विशेषज्ञ कर्मचारियों को शामिल करते हुए सुरक्षा ढांचा स्थापित किया है। ऐसी कंपनी को अलग से 40% तक की कटौती मिल सकती है, जिसके पास ऐसी घटना-प्रतिक्रिया प्रणाली हो जो उल्लंघन का जल्द पता लगाए, तुरंत रिपोर्ट करे और सूचना दे, तथा आगे के नुकसान को सीमित करने के लिए कार्रवाई करे।

यह दृष्टिकोण तैयारियों को प्रतिबंधों की गणना में एक कारक बनाता है, बजाय इसके कि हर उल्लंघन को एक ही तरह से देखा जाए। यह कंपनियों पर समय के साथ सुरक्षा कार्यक्रम बनाए रखने का दबाव भी डालता है, न कि घटना होने के बाद ही खर्च बढ़ाने का।

वरिष्ठ प्रबंधन की अधिक जिम्मेदारी

संशोधित कानून मुख्य कार्यकारी अधिकारी को डेटा संरक्षण के लिए अंतिम रूप से जिम्मेदार व्यक्ति के रूप में स्पष्ट रूप से चिन्हित करता है और मुख्य गोपनीयता अधिकारी को विशेषज्ञ कर्मचारियों तथा संबंधित बजट पर व्यापक अधिकार देता है। कुछ बड़े संगठनों के लिए बोर्ड को मुख्य गोपनीयता अधिकारी की नियुक्ति, प्रतिस्थापन या बर्खास्तगी को मंजूरी देनी होगी और संगठन को इस निर्णय की सूचना आयोग को देनी होगी।

बोर्ड-स्तरीय यह आवश्यकता उन कारोबारों पर लागू होती है जिनका वार्षिक राजस्व या आय 180 बिलियन वॉन से अधिक है और जो कम-से-कम 1 मिलियन लोगों की व्यक्तिगत जानकारी संभालते हैं। यह उन संगठनों पर भी लागू होती है जो 50,000 या उससे अधिक लोगों की संवेदनशील या विशिष्ट पहचान संबंधी जानकारी का प्रसंस्करण करते हैं। कम-से-कम 20,000 नामांकित छात्रों वाले विश्वविद्यालय, तृतीयक सामान्य अस्पताल और प्रमुख सार्वजनिक प्रणालियों के संचालक भी इसमें शामिल हैं।

आयोग की अध्यक्ष सोंग क्यॉन्ग-ही ने कहा कि संशोधित नियम रोकथाम-आधारित दृष्टिकोण और सुरक्षा प्रबंधन की अधिक मजबूत प्रणाली को बढ़ावा देने चाहिए। उन्होंने कहा कि गोपनीयता संरक्षण पर होने वाले खर्च को केवल लागत के रूप में देखने के बजाय ग्राहक विश्वास और कारोबारी विकास में शुरुआती निवेश के रूप में देखा जाना चाहिए।

इसलिए कंपनियों के लिए ये बदलाव दो समानांतर प्रोत्साहन पैदा करते हैं: बड़ी संख्या में लोगों से जुड़े उल्लंघन या नियामकीय कार्रवाई की बार-बार अनदेखी काफी अधिक महंगी हो सकती है, जबकि दस्तावेजीकृत निवेश, प्रभावी नेतृत्व और घटना पर तेज प्रतिक्रिया अंतिम दंड को कम कर सकती है।