La Corea del Sud introduce sanzioni più severe per le violazioni ripetute dei dati

La Corea del Sud ha introdotto un regime rivisto per la protezione dei dati che, nei casi gravi, può sanzionare le aziende con multe fino al 10% dei loro ricavi complessivi. Le misure sono rivolte alle violazioni ripetute, alla mancata osservanza degli ordini correttivi e agli incidenti legati a dolo o negligenza grave, offrendo al contempo riduzioni sostanziali alle organizzazioni che hanno investito nella protezione delle informazioni personali.

La Commissione per la protezione delle informazioni personali ha dichiarato il 10 che la legge modificata sulla protezione delle informazioni personali e il relativo decreto attuativo rivisto sarebbero entrati in vigore il giorno successivo. Secondo quanto riportato da en.sedaily.com, le modifiche mirano sia a scoraggiare le fughe di dati su larga scala sia a incoraggiare le imprese a rafforzare la propria sicurezza prima che si verifichi un incidente.

Sanzioni più elevate per violazioni gravi o ripetute

La multa massima si applica quando un’azienda commette nuovamente una violazione simile entro tre anni per dolo o negligenza grave, quando sono danneggiate più di 10 milioni di persone o quando si verifica un’altra violazione dopo che l’organizzazione ha ignorato un ordine correttivo. La sanzione finale terrà conto della natura della violazione e dell’entità del danno.

Le norme aumentano inoltre la maggiorazione aggiuntiva applicata alle violazioni ripetute. Una prima recidiva può comportare una maggiorazione del 20%, che sale al 40% per una seconda recidiva e all’80% per una terza recidiva o per le successive. Le aliquote precedenti erano del 15% per una prima recidiva e del 30% per due o più recidive.

Le imprese che non denunciano l’incidente e non informano le persone entro il termine previsto, omettendo inoltre di limitare la diffusione del danno, possono incorrere in un’ulteriore maggiorazione fino al 30%. La disposizione collega le conseguenze non solo alla falla di sicurezza originaria, ma anche al modo in cui un’organizzazione gestisce l’incidente una volta venutane a conoscenza.

La commissione sta inoltre ampliando le circostanze in cui gli utenti devono essere informati di una possibile violazione. La notifica è richiesta quando si ritiene oggettivamente altamente probabile che si sia verificata un’esposizione, anche se gli investigatori non hanno stabilito in modo conclusivo che i dati siano stati sottratti.

Tale obbligo scatta entro 72 ore dal momento in cui un’azienda viene a conoscenza di un sospetto accesso illecito a un sistema contenente informazioni personali. Si applica anche quando alcune informazioni personali sono state scambiate illegalmente e vi è la possibilità che siano stati esposti i dati appartenenti ad altri utenti. Le norme riviste comprendono inoltre la falsificazione, l’alterazione o la distruzione di informazioni personali.

La prevenzione può ridurre la sanzione

Il quadro normativo è concepito per distinguere tra le aziende che trascurano la sicurezza e quelle in grado di dimostrare un’attività preventiva costante. Le autorità di regolamentazione possono ridurre la sanzione di base fino al 40%, tenendo conto dell’entità e della proporzione della spesa di un’azienda destinata a bilanci per la sicurezza, personale, strutture e attrezzature.

La valutazione può tenere conto anche del fatto che tali investimenti siano proseguiti o aumentati e che l’organizzazione abbia istituito una struttura di protezione che coinvolga il suo amministratore delegato, il responsabile della privacy e il personale specializzato. Un’ulteriore riduzione fino al 40% può essere concessa a un’azienda dotata di un sistema di risposta agli incidenti che rilevi tempestivamente una violazione, effettui rapidamente le denunce e le notifiche e intervenga per contenere ulteriori danni.

Questo approccio fa della preparazione un fattore da considerare nel calcolo delle sanzioni, invece di trattare tutte le violazioni allo stesso modo. Inoltre, spinge le imprese a mantenere nel tempo i programmi di sicurezza, anziché aumentare la spesa solo dopo che si è verificato un incidente.

Maggiore responsabilità per l’alta dirigenza

La legge rivista identifica espressamente l’amministratore delegato come responsabile ultimo della protezione dei dati e conferisce al responsabile della privacy un’autorità più ampia sul personale specializzato e sui relativi bilanci. Per alcune grandi organizzazioni, il consiglio di amministrazione deve approvare la nomina, la sostituzione o la revoca del responsabile della privacy, e l’organizzazione deve comunicare la decisione alla commissione.

L’obbligo a livello di consiglio di amministrazione riguarda le imprese con ricavi o entrate annuali superiori a 180 miliardi di won che gestiscono informazioni personali appartenenti ad almeno 1 milione di persone. Si applica anche alle organizzazioni che trattano informazioni sensibili o identificative univoche relative ad almeno 50.000 persone. Sono inoltre comprese le università con almeno 20.000 studenti iscritti, gli ospedali generali di terzo livello e gli operatori di importanti sistemi pubblici.

La presidente della commissione, Song Kyoung-hee, ha dichiarato che le norme riviste dovrebbero promuovere un approccio incentrato sulla prevenzione e un sistema più solido per la gestione della sicurezza. Ha sostenuto che la spesa per la protezione della privacy dovrebbe essere considerata un investimento iniziale nella fiducia dei clienti e nella crescita aziendale, anziché semplicemente un costo.

Per le aziende, le modifiche creano quindi due incentivi paralleli: le violazioni che coinvolgono un numero elevato di persone o il ripetuto disprezzo per le misure delle autorità di regolamentazione possono diventare considerevolmente più costose, mentre gli investimenti documentati, una leadership efficace e una risposta rapida agli incidenti possono ridurre la sanzione finale.