Từ ngày 11, Luật bảo vệ thông tin cá nhân sửa đổi, tập trung vào việc phòng ngừa, sẽ được thực thi. Luật này không chỉ tăng cường các biện pháp trừng phạt đối với các vi phạm nghiêm trọng mà còn khuyến khích các doanh nghiệp đầu tư trước và phản ứng nhanh chóng, đồng thời tăng cường trách nhiệm bảo vệ thông tin cá nhân của giám đốc điều hành (CEO) và hội đồng quản trị.
Trong lần sửa đổi này, bên cạnh việc tăng cường các biện pháp trừng phạt, cấu trúc khuyến khích để thúc đẩy đầu tư và phản ứng nhanh chóng của doanh nghiệp cũng đã được củng cố. Các doanh nghiệp thực hiện tốt việc phòng ngừa và phản ứng sau sự cố sẽ được giảm phạt tối đa 80% như một biện pháp khuyến khích đầu tư vào bảo vệ thông tin cá nhân.
Giám đốc Văn phòng Yang Cheong-sam đã nhấn mạnh trong buổi họp báo vào ngày 10 tại trụ sở Chính phủ Seoul rằng "điểm cốt lõi của việc sửa đổi luật lần này là chuyển đổi mô hình chính sách bảo vệ thông tin cá nhân từ việc trừng phạt sau sự cố sang tập trung vào phòng ngừa". Ông giải thích rằng chi phí bảo vệ thông tin cá nhân không nên được xem là gánh nặng sau khi xảy ra sự cố mà là một khoản đầu tư chủ động nhằm nâng cao lòng tin của khách hàng và giá trị của doanh nghiệp.
Luật sửa đổi đã nâng mức phạt tối đa đối với các vi phạm lặp lại hoặc nghiêm trọng từ 3% doanh thu toàn bộ lên tối đa 10%. Các trường hợp áp dụng bao gồm việc vi phạm lặp lại do cố ý hoặc sơ suất nghiêm trọng, hoặc gây ra thiệt hại lớn cho hơn 10 triệu người, hoặc không thực hiện lệnh khắc phục dẫn đến sự cố rò rỉ.
Giám đốc Yang cũng cho biết rằng ngay cả khi không phải là sự cố lặp lại, nếu có sự cố cố ý hoặc sơ suất nghiêm trọng và thiệt hại cho hơn 10 triệu người xảy ra, mức phạt tối đa 10% cũng có thể được áp dụng. Các điều kiện này sẽ được áp dụng độc lập với nhau, không cần phải đáp ứng tất cả.
Ngược lại, các doanh nghiệp đã đầu tư và quản lý đầy đủ để bảo vệ thông tin cá nhân sẽ được giảm phạt tối đa 40%. Điều này chỉ áp dụng cho các doanh nghiệp nhanh chóng phát hiện dấu hiệu bất thường sau sự cố và thông báo cho các bên liên quan và cơ quan chức năng, đồng thời chủ động ngăn chặn thiệt hại và cải thiện các điểm yếu.
Ủy ban bảo vệ thông tin cá nhân đã nhấn mạnh rằng bên cạnh việc tăng cường các biện pháp trừng phạt, cũng cần có các cơ chế để khuyến khích đầu tư phòng ngừa và phản ứng sau sự cố của doanh nghiệp. Nếu doanh nghiệp thực hiện đầy đủ cả hai khía cạnh này, mức giảm phạt có thể lên tới 80%. Do đó, Ủy ban muốn khuyến khích các doanh nghiệp xây dựng hệ thống bảo vệ thông tin cá nhân và phản ứng nhanh chóng khi xảy ra sự cố.
Tuy nhiên, việc đầu tư nhiều không có nghĩa là mức giảm phạt sẽ lớn hơn. Ủy ban sẽ xem xét tổng thể quy mô và tính bền vững của đầu tư, việc xác định tài sản và rủi ro thông tin cá nhân, mức độ bảo mật, vai trò của người chịu trách nhiệm bảo vệ thông tin (CPO) và CEO để xác định mức giảm phạt. Giám đốc Yang cho biết: "Đặc điểm của từng ngành khác nhau khiến việc xác định mức đầu tư bảo vệ thông tin cá nhân bằng một con số cụ thể là rất khó".
Trách nhiệm của ban lãnh đạo cũng sẽ được nâng cao. Luật sửa đổi quy định rằng chủ doanh nghiệp hoặc đại diện sẽ là người chịu trách nhiệm cuối cùng về việc xử lý và bảo vệ thông tin cá nhân. CPO sẽ báo cáo tình hình bảo vệ thông tin cá nhân, các rủi ro chính và các vấn đề cần cải thiện cho CEO hoặc hội đồng quản trị, và ban lãnh đạo phải hỗ trợ ngân sách và nhân lực cần thiết. Điều này đã đưa bảo vệ thông tin cá nhân lên thành một vấn đề quan trọng trong quyết định của ban lãnh đạo, không chỉ là công việc của các phòng ban thực thi.
Do đó, thời điểm doanh nghiệp thông báo về sự cố rò rỉ cũng sẽ được rút ngắn. Từ nay, ngay cả khi chưa xác nhận rò rỉ thông tin cá nhân, cũng phải có những dấu hiệu khách quan cho thấy khả năng rò rỉ là cao.
Ủy ban bảo vệ thông tin cá nhân đã đưa ra ví dụ về việc thông tin tương ứng với cấu trúc cơ sở dữ liệu thực tế đang được lưu hành trên dark web, hoặc có dấu hiệu xâm nhập nhưng quy mô thiệt hại chưa được xác định.
Giám đốc Yang giải thích rằng: "Chúng tôi không thông báo chỉ vì có điểm yếu hoặc có dấu hiệu mơ hồ, mà cần phải có những dấu hiệu nghi ngờ rõ ràng".
Nghĩa vụ báo cáo của CPO sẽ có thời gian hướng dẫn đến tháng 12 năm sau. Hiện có khoảng 600-700 doanh nghiệp được chỉ định làm CPO chuyên nghiệp. Trong bối cảnh có ý kiến cho rằng thời gian hướng dẫn một năm là quá dài, Giám đốc Yang đã giải thích rằng: "Thời hạn báo cáo là 6 tháng kể từ ngày thi hành, vì vậy thực tế các trường hợp vi phạm sẽ xảy ra sau tháng 3 năm sau, do đó chúng tôi đã đặt thời gian hướng dẫn đến cuối năm".
* Bài viết này được dịch tự động bằng AI.
© Bản quyền thuộc về Thời báo Kinh tế AJU & www.ajunews.com: Việc sử dụng các nội dung đăng tải trên vietnam. kyungjeilbo.com phải có sự đồng ý bằng văn bản của Aju News Corporation.