Coreia do Sul introduz penalidades mais severas para violações repetidas de dados

A Coreia do Sul adotou um regime revisado de proteção de dados que pode penalizar empresas com multas de até 10% de sua receita total em casos graves. As medidas têm como alvo violações repetidas, o descumprimento de ordens corretivas e incidentes associados a dolo ou negligência grave, ao mesmo tempo que oferecem reduções substanciais às organizações que investiram na proteção de informações pessoais.

A Comissão de Proteção de Informações Pessoais informou, no dia 10, que a Lei de Proteção de Informações Pessoais alterada e seu decreto de aplicação revisado entrariam em vigor no dia seguinte. Segundo reportagem do en.sedaily.com, as mudanças pretendem tanto dissuadir vazamentos em grande escala quanto incentivar as empresas a reforçar sua segurança antes que ocorra um incidente.

Penalidades maiores para falhas graves ou repetidas

A multa máxima se aplica quando uma empresa comete novamente uma violação semelhante dentro de três anos por dolo ou negligência grave, quando mais de 10 milhões de pessoas são afetadas ou quando ocorre outra violação depois de a organização ter ignorado uma ordem corretiva. A penalidade final levará em conta a natureza da violação e a extensão dos danos.

As regras também aumentam o adicional aplicado a violações repetidas. Uma primeira reincidência pode atrair um adicional de 20%, que sobe para 40% na segunda reincidência e para 80% na terceira ou nas subsequentes. As taxas anteriores eram de 15% para a primeira reincidência e de 30% para duas ou mais reincidências.

Empresas que não informarem e notificarem as pessoas dentro do prazo exigido, além de não limitarem a propagação dos danos, podem enfrentar uma cobrança adicional de até 30%. A disposição vincula as consequências não apenas à falha de segurança original, mas também à forma como uma organização lida com o incidente depois de tomar conhecimento dele.

A comissão também está ampliando as circunstâncias em que os usuários devem ser informados sobre uma possível violação. A notificação será obrigatória quando for considerado, de maneira objetiva, que a exposição é altamente provável, mesmo que os investigadores ainda não tenham comprovado de forma conclusiva que os dados foram obtidos.

Essa obrigação começa no prazo de 72 horas após a empresa tomar conhecimento de um suposto acesso ilegal a um sistema de informações pessoais. Ela também se aplica quando algumas informações pessoais tiverem sido comercializadas ilegalmente e houver a possibilidade de que dados pertencentes a outros usuários tenham sido expostos. As regras revisadas também abrangem a falsificação, alteração ou destruição de informações pessoais.

A prevenção pode reduzir a multa

O marco regulatório foi concebido para distinguir entre empresas que negligenciam a segurança e aquelas que conseguem demonstrar um trabalho preventivo contínuo. Os reguladores podem reduzir a multa-base em até 40% após considerar o valor e a proporção dos gastos da empresa com orçamentos, pessoal, instalações e equipamentos de segurança.

A avaliação também pode levar em conta se esses investimentos foram mantidos ou ampliados e se a organização estabeleceu uma estrutura de proteção que envolva seu diretor-executivo, seu diretor de privacidade e funcionários especializados. Uma redução separada de até 40% pode estar disponível para uma empresa com um sistema de resposta a incidentes que detecte uma violação rapidamente, faça os devidos comunicados e notificações sem demora e aja para conter danos adicionais.

A abordagem transforma a preparação em um fator no cálculo das sanções, em vez de tratar todas as violações da mesma forma. Ela também pressiona as empresas a manter programas de segurança ao longo do tempo, em vez de aumentar os gastos apenas depois da ocorrência de um incidente.

Maior responsabilidade para a alta administração

A lei revisada identifica expressamente o diretor-executivo como o responsável final pela proteção de dados e confere ao diretor de privacidade autoridade mais ampla sobre funcionários especializados e orçamentos pertinentes. Para certas organizações de grande porte, o conselho deve aprovar a nomeação, substituição ou demissão do diretor de privacidade, e a organização deve comunicar a decisão à comissão.

A exigência em nível de conselho abrange empresas com receita ou renda anual superior a 180 bilhões de won que lidem com informações pessoais pertencentes a pelo menos 1 milhão de pessoas. Ela também se aplica a organizações que processem informações sensíveis ou identificadoras únicas de 50.000 ou mais pessoas. Universidades com pelo menos 20.000 estudantes matriculados, hospitais gerais terciários e operadores de grandes sistemas públicos também estão incluídos.

A presidente da comissão, Song Kyoung-hee, afirmou que as regras revisadas devem promover uma abordagem orientada pela prevenção e um sistema mais forte de gestão da segurança. Ela argumentou que os gastos com proteção da privacidade devem ser vistos como um investimento inicial na confiança dos clientes e no crescimento dos negócios, e não simplesmente como uma despesa.

Para as empresas, as mudanças criam, portanto, dois incentivos paralelos: falhas que envolvam um grande número de pessoas ou o reiterado desrespeito a medidas regulatórias podem se tornar consideravelmente mais caras, enquanto investimentos documentados, liderança eficaz e resposta rápida a incidentes podem reduzir a penalidade final.