Luật sư Vi phạm Luật Bảo vệ thông tin cá nhân | Ứng phó với điều tra và xử phạt từ góc độ người bị xử lý
Tóm tắt
Vi phạm Luật Bảo vệ thông tin cá nhân (개인정보보호법) xảy ra khi thu thập, sử dụng, cung cấp cho bên thứ ba, hoặc quản lý thông tin cá nhân không đúng quy định, dẫn đến rò rỉ hoặc xâm phạm quyền của chủ thể thông tin. Đặc điểm quan trọng nhất của lĩnh vực này là tính "hai tầng": một hành vi có thể vừa bị Ủy ban Bảo vệ thông tin cá nhân (개인정보보호위원회) xử phạt hành chính (phạt tiền theo doanh thu, phạt vi cảnh), vừa bị cơ quan điều tra xử lý hình sự nếu cấu thành tội theo Điều 71 và các điều liên quan. Với người/doanh nghiệp bị xử lý, việc phân biệt rõ hai tầng trách nhiệm này và ứng phó đúng thời điểm là yếu tố quyết định kết quả cuối cùng.
Hình sự · Hành chínhLiên quan: 개인정보보호법Doanh nghiệp & Cá nhân bị xử lý
Vi phạm Luật Bảo vệ thông tin cá nhân | Một vụ vi phạm thông tin cá nhân có thể phát sinh nhiều loại trách nhiệm
Cùng một hành vi (ví dụ: rò rỉ dữ liệu khách hàng) có thể bị xử lý theo ba hướng khác nhau, tùy vào mức độ vi phạm và cơ quan thụ lý. Hiểu đúng vị trí vụ việc của mình trong ba nhóm này là bước đầu tiên để xây dựng chiến lược.
Xử phạt hành chính
Ủy ban Bảo vệ thông tin cá nhân áp phạt tiền, phạt vi cảnh mà không cần khởi tố hình sự
Cơ quan xử lý
Ủy ban Bảo vệ thông tin cá nhân
Căn cứ
Vi phạm nghĩa vụ quản lý, an toàn dữ liệu
Hậu quả điển hình
Phạt tiền tính theo doanh thu liên quan
Có tiền án hình sự?
Không
Mức phạt tiền có thể lên đến một tỷ lệ phần trăm nhất định trên doanh thu liên quan đến hành vi vi phạm (개인정보보호법 제64조의2).
Tố tụng hình sự
Hành vi cố ý cung cấp, sử dụng sai mục đích thông tin cá nhân nhằm mục đích lợi nhuận hoặc gây thiệt hại
Cơ quan xử lý
Cơ quan điều tra, Viện kiểm sát, Tòa án
Căn cứ
Yếu tố cố ý, mục đích vụ lợi/gây hại
Hậu quả điển hình
Phạt tiền hình sự hoặc phạt tù
Có tiền án hình sự?
Có nếu bị kết án
Người cung cấp thông tin cá nhân cho người khác biết rõ mà không có sự đồng ý, hoặc người nhận và sử dụng thông tin đó cho mục đích lợi nhuận, có thể bị xử lý hình sự (개인정보보호법 제71조, 제59조).
Khiếu nại dân sự
Chủ thể thông tin bị thiệt hại khởi kiện yêu cầu bồi thường song song với xử lý hành chính/hình sự
Cơ quan xử lý
Tòa án dân sự
Căn cứ
Thiệt hại thực tế hoặc thiệt hại pháp định
Hậu quả điển hình
Bồi thường thiệt hại
Có tiền án hình sự?
Không (là quan hệ dân sự)
Chủ thể thông tin có thể yêu cầu bồi thường thiệt hại pháp định tối đa mà không cần chứng minh thiệt hại thực tế cụ thể trong một số trường hợp (개인정보보호법 제39조의2).
Vi phạm Luật Bảo vệ thông tin cá nhân | Phân biệt phạt hành chính và trách nhiệm hình sự
Không phải mọi vi phạm Luật Bảo vệ thông tin cá nhân đều dẫn đến khởi tố hình sự. Việc xác định vụ việc của bạn rơi vào nhóm nào quyết định toàn bộ chiến lược ứng phó, từ việc có cần chuẩn bị cho việc bị điều tra hình sự hay chỉ cần đối phó với thủ tục hành chính.
Khi nào chỉ bị xử phạt hành chính
Các vi phạm mang tính kỹ thuật, quản lý như không thiết lập biện pháp bảo vệ an toàn, chậm thông báo rò rỉ, thu thập thông tin vượt phạm vi cần thiết mà không có yếu tố cố ý vụ lợi thường được xử lý bằng phạt tiền hành chính hoặc lệnh khắc phục (개인정보보호법 제64조, 제75조). Đây là hướng xử lý phổ biến nhất với doanh nghiệp có hệ thống quản lý dữ liệu chưa hoàn thiện.
Khi nào có thể bị chuyển sang điều tra hình sự
Nếu có dấu hiệu cố ý cung cấp thông tin cá nhân cho bên thứ ba không có sự đồng ý, xâm nhập trái phép hệ thống thông tin để lấy dữ liệu, hoặc sử dụng thông tin thu thập được cho mục đích lợi nhuận/gây thiệt hại, Ủy ban Bảo vệ thông tin cá nhân có thể chuyển hồ sơ sang cơ quan điều tra hoặc bên bị hại trực tiếp tố cáo (개인정보보호법 제71조). Từ thời điểm này, vụ việc chuyển sang tính chất tố tụng hình sự với các quyền và nghĩa vụ khác hẳn thủ tục hành chính.
Vì sao hai thủ tục có thể tiến hành song song
Luật không quy định việc xử phạt hành chính sẽ loại trừ trách nhiệm hình sự, nên trên thực tế người vi phạm có thể vừa nhận quyết định phạt tiền từ Ủy ban, vừa bị điều tra hình sự về cùng hành vi. Do đó, ý kiến trình bày trong quá trình xử phạt hành chính cần được cân nhắc kỹ vì có thể được dùng làm tài liệu tham khảo trong hồ sơ hình sự.
Vi phạm Luật Bảo vệ thông tin cá nhân | Chiến lược ứng phó theo từng giai đoạn
Từ khi nhận thông báo điều tra sơ bộ của Ủy ban Bảo vệ thông tin cá nhân đến khi có quyết định cuối cùng, mỗi giai đoạn có cách ứng phó riêng. Phản hồi không đúng cách ở giai đoạn đầu có thể khiến tình huống trở nên bất lợi hơn ở giai đoạn sau.
Giai đoạn nhận thông báo điều tra, yêu cầu giải trình
Khi nhận công văn yêu cầu giải trình từ Ủy ban Bảo vệ thông tin cá nhân, cần xác định rõ phạm vi hành vi bị nghi vấn, thu thập tài liệu nội bộ liên quan (log hệ thống, quy trình xử lý dữ liệu, hợp đồng với bên thứ ba) trước khi soạn văn bản giải trình. Nội dung giải trình ở giai đoạn này ảnh hưởng trực tiếp đến việc có bị áp mức phạt cao hay được xem xét giảm nhẹ.
Giai đoạn điều trần trước Ủy ban
Trước khi ra quyết định xử phạt chính thức, đối tượng bị xử lý thường được mời tham dự phiên điều trần để trình bày ý kiến. Đây là cơ hội quan trọng để trình bày các yếu tố giảm nhẹ như đã khắc phục sự cố, đã thông báo cho chủ thể thông tin, hợp tác điều tra, chưa từng vi phạm trước đó.
Giai đoạn bị điều tra hình sự song song
Nếu vụ việc được chuyển hồ sơ hình sự hoặc có đơn tố cáo riêng, người bị điều tra cần lưu ý rằng lời khai trong hồ sơ hành chính có thể được cơ quan điều tra tham chiếu. Việc chuẩn bị luận cứ thống nhất giữa hai thủ tục, đặc biệt về yếu tố cố ý và mục đích hành vi, là điều cần được tư vấn kỹ với luật sư trước khi trình bày với bất kỳ cơ quan nào.
⚠ Thời hạn khiếu nại quyết định xử phạt hành chính
Nếu không đồng ý với quyết định xử phạt hành chính, cần nộp đơn khiếu nại hành chính hoặc khởi kiện hành chính trong thời hạn luật định; nếu để quá thời hạn, quyết định xử phạt sẽ có hiệu lực và khó bị thay đổi (행정심판법, 행정소송법 관련 규정).
Vi phạm Luật Bảo vệ thông tin cá nhân | Từ khi bị điều tra đến khi vụ việc kết thúc
1
Tư vấn ban đầu và phân tích hồ sơ Xác định vụ việc đang ở giai đoạn nào (yêu cầu giải trình, điều tra sơ bộ, đã bị chuyển hồ sơ hình sự) và mức độ rủi ro của từng giai đoạn.
2
Chuẩn bị tài liệu giải trình/biện hộ Thu thập chứng cứ nội bộ, xây dựng lập luận về việc đã tuân thủ quy trình bảo vệ dữ liệu hoặc thiếu yếu tố cố ý vi phạm.
3
Tham gia điều trần hoặc làm việc với cơ quan điều tra Luật sư đồng hành trong các buổi trình bày ý kiến trước Ủy ban Bảo vệ thông tin cá nhân hoặc buổi lấy lời khai của cơ quan điều tra.
4
Ứng phó với quyết định xử phạt/kết luận điều tra Đánh giá tính hợp lý của mức phạt, chuẩn bị khiếu nại hành chính hoặc chiến lược bào chữa nếu vụ việc chuyển sang khởi tố.
5
Theo dõi hậu xử lý Nếu có khiếu nại dân sự bồi thường thiệt hại từ chủ thể thông tin, cần có phương án ứng phó riêng song song với kết quả hành chính/hình sự.
Vi phạm Luật Bảo vệ thông tin cá nhân | Cơ cấu phí dịch vụ pháp lý
Phí tư vấn và soạn văn bản giải trình Tính theo mức độ phức tạp của vụ việc và số lượng tài liệu cần phân tích, phù hợp với giai đoạn yêu cầu giải trình hành chính.
Phí đại diện tại phiên điều trần/điều tra Tính theo số buổi làm việc thực tế với Ủy ban Bảo vệ thông tin cá nhân hoặc cơ quan điều tra, cùng phí đồng hành lấy lời khai.
Phí bào chữa hình sự (nếu bị khởi tố) Tính theo giai đoạn tố tụng (điều tra, xét xử sơ thẩm, phúc thẩm) và mức độ nghiêm trọng của cáo buộc.
Phí khiếu nại hành chính/khởi kiện Áp dụng khi cần phản đối quyết định xử phạt tiền, tính theo quy mô mức phạt và độ phức tạp pháp lý của lập luận.
Chi phí thực tế Bao gồm phí giám định kỹ thuật (nếu cần phân tích hệ thống, log), phí hành chính nộp hồ sơ và các chi phí phát sinh khác.
※ Chi phí thay đổi tùy theo mức độ phức tạp và tình huống cụ thể của vụ việc; chi phí chính xác sẽ được tư vấn cụ thể. Không đảm bảo kết quả cụ thể.
Vi phạm Luật Bảo vệ thông tin cá nhân | Tự kiểm tra tình huống của bạn
1️⃣ Doanh nghiệp nhận công văn yêu cầu giải trình
Công văn nêu rõ hành vi vi phạm cụ thể nào chưa?
Đã xác định được nguồn gốc rò rỉ/sự cố trong hệ thống nội bộ chưa?
Đã có quy trình xử lý dữ liệu bằng văn bản để chứng minh mức độ tuân thủ chưa?
Đã thông báo cho chủ thể thông tin bị ảnh hưởng theo quy định chưa?
2️⃣ Cá nhân/nhân viên bị nghi ngờ truy cập, cung cấp thông tin trái phép
Việc truy cập thông tin có nằm trong phạm vi công việc được giao không?
Có bằng chứng về mục đích sử dụng thông tin đó là gì không?
Đã nhận được thông báo mời làm việc từ cơ quan điều tra chưa?
Có yếu tố vụ lợi cá nhân trong hành vi bị nghi vấn không?
3️⃣ Doanh nghiệp bị áp mức phạt tiền hành chính
Mức phạt được tính dựa trên doanh thu nào, có hợp lý không?
Đã xem xét các yếu tố giảm nhẹ được ghi nhận trong quyết định chưa?
Thời hạn khiếu nại/khởi kiện hành chính còn bao lâu?
Có tiền lệ xử phạt tương tự để so sánh mức độ hợp lý không?
4️⃣ Bị chủ thể thông tin khởi kiện dân sự đòi bồi thường
Thiệt hại được yêu cầu là thiệt hại thực tế hay thiệt hại pháp định?
Đã có kết luận từ cơ quan hành chính/điều tra về mức độ vi phạm chưa?
Số lượng chủ thể thông tin bị ảnh hưởng là bao nhiêu (liên quan khởi kiện tập thể)?
Câu hỏi thường gặp
Q. Doanh nghiệp tôi vừa bị Ủy ban Bảo vệ thông tin cá nhân gửi công văn yêu cầu giải trình, có phải chắc chắn sẽ bị phạt không?
A. Không nhất thiết. Công văn yêu cầu giải trình là bước điều tra sơ bộ để xác minh sự việc, không đồng nghĩa với việc đã có quyết định xử phạt. Nội dung giải trình mà doanh nghiệp gửi lại có thể ảnh hưởng lớn đến việc có bị xử phạt hay không và mức phạt cụ thể.
Q. Bị xử phạt hành chính rồi có còn bị truy cứu hình sự nữa không?
A. Có thể. Luật không loại trừ trách nhiệm hình sự chỉ vì đã bị xử phạt hành chính, đặc biệt khi có yếu tố cố ý cung cấp/sử dụng thông tin sai mục đích (개인정보보호법 제71조). Hai thủ tục có thể diễn ra song song hoặc nối tiếp nhau.
Q. Nhân viên tự ý truy cập và tiết lộ thông tin khách hàng, công ty có phải chịu trách nhiệm không?
A. Công ty có thể phải chịu trách nhiệm liên đới nếu không thiết lập đầy đủ biện pháp giám sát, quản lý nhân viên xử lý thông tin cá nhân theo quy định (개인정보보호법 관련 관리·감독 의무 규정). Mức độ trách nhiệm của công ty và cá nhân nhân viên sẽ được xem xét riêng theo yếu tố cố ý và phạm vi công việc.
Q. Mức phạt tiền hành chính được tính như thế nào?
A. Mức phạt tiền có thể được tính dựa trên một tỷ lệ phần trăm nhất định của doanh thu liên quan đến hành vi vi phạm, kết hợp với các yếu tố như mức độ nghiêm trọng, số lượng chủ thể thông tin bị ảnh hưởng, có khắc phục hậu quả hay không (개인정보보호법 제64조의2). Mức cụ thể do Ủy ban Bảo vệ thông tin cá nhân quyết định theo từng vụ việc.
Q. Tôi có thể phản đối quyết định xử phạt hành chính không?
A. Có. Người bị xử phạt có thể nộp đơn khiếu nại hành chính hoặc khởi kiện hành chính để yêu cầu xem xét lại quyết định trong thời hạn luật định. Việc chuẩn bị lập luận và chứng cứ phù hợp là yếu tố quyết định khả năng thành công.
Q. Chủ thể thông tin có thể kiện tôi/doanh nghiệp tôi đòi bồi thường không?
A. Có. Chủ thể thông tin bị thiệt hại do vi phạm có thể khởi kiện dân sự yêu cầu bồi thường, và trong một số trường hợp có thể yêu cầu bồi thường thiệt hại pháp định mà không cần chứng minh cụ thể mức thiệt hại thực tế (개인정보보호법 제39조의2). Đây là thủ tục độc lập với xử phạt hành chính hoặc hình sự.
Q. Nếu công ty đã tự phát hiện và báo cáo sự cố rò rỉ, có được xem xét giảm nhẹ không?
A. Việc tự phát hiện, chủ động thông báo cho cơ quan quản lý và chủ thể thông tin, cùng với việc đã áp dụng biện pháp khắc phục kịp thời, thường được xem là yếu tố có lợi khi Ủy ban Bảo vệ thông tin cá nhân xem xét mức xử phạt. Tuy nhiên mức độ giảm nhẹ cụ thể tùy thuộc vào từng vụ việc.
Q. Tôi là cá nhân bị cáo buộc xem trộm thông tin cá nhân của người khác trên hệ thống công ty, tôi nên làm gì đầu tiên?
A. Trước khi trả lời bất kỳ câu hỏi nào từ bộ phận nội bộ, cơ quan điều tra hay Ủy ban Bảo vệ thông tin cá nhân, nên tham vấn luật sư để xác định phạm vi trách nhiệm, mục đích hành vi được cáo buộc và chuẩn bị lời khai/tài liệu phù hợp. Lời khai ban đầu có ảnh hưởng lớn đến hướng xử lý sau đó.
Q. Có cần thiết phải thuê luật sư ngay từ giai đoạn giải trình hành chính hay chờ đến khi bị khởi tố hình sự?
A. Nên tham vấn sớm ngay từ giai đoạn giải trình hành chính, vì nội dung trình bày ở giai đoạn này có thể được sử dụng làm cơ sở cho cả quyết định xử phạt hành chính và, nếu có, hồ sơ điều tra hình sự sau này. Luật sư hình sự-hành chính có thể tư vấn từ đầu để tránh những phát ngôn hoặc tài liệu gây bất lợi về sau.
법무법인 프런티어(이하 “사무소”)는 개인정보보호법에 따라 정보주체의 개인정보 및 권익을 보호하고 개인정보와 관련된 정보주체의 고충을 신속하고 원활하게 처리하기 위하여 본 개인정보 처리방침을 수립·공개합니다.
제 1 조 수집하는 개인정보의 항목, 목적, 방법
제 2 조 개인정보의 처리 및 보유기간
제 3 조 개인정보의 제3자 제공
제 4 조 개인정보 처리업무의 위탁
제 5 조 정보주체의 권리·의무 및 그 행사방법
제 6 조 개인정보의 파기
제 7 조 의견수렴 및 불만처리
제 8 조 개인정보 처리방침의 변경
제 9 조 개인정보의 안전성 확보 조치
제 1 조 (수집하는 개인정보의 항목, 목적, 방법)
① 게시판 글 작성 시 필수 항목에 대한 수집목적은 ‘별도의 구체적 상담을 위하여’이며 수집항목은 ‘이름, 이메일, 연락처’입니다.
② 전항 외에 고객의 서비스 이용 과정이나 요청 사항 처리 과정에서 ‘IP주소, 접속로그, 단말기 및 환경정보, 서비스 이용기록, 쿠키’와 같은 정보들이 자동으로 수집 및 저장될 수 있으며, 이 때의 수집목적은 ‘사용자 홈페이지 이용, 사이트 이용에 대한 문의 민원 등 고객 고충 처리’입니다.
③ 사무소는 ‘홈페이지 고객 문의/고충 처리 시 전화 또는 인터넷을 통한 상담’과 같은 방법으로 개인정보를 수집합니다
제 2 조 (개인정보의 처리 및 보유기간)
관계법령의 규정에 따라 개인정보를 보존하여야 하는 의무가 있는 경우가 아닌 한, 정보주체의 개인정보는 원칙적으로 해당 개인정보의 처리목적이 달성될 때까지 보유 및 이용되며, 그 목적이 달성되면 지체 없이 파기됩니다.
제 3 조 (개인정보의 제3자 제공)
사무소는 정보주체의 개인정보를 본 처리방침에서 명시한 목적에 한해서만 처리하며 정보주체의 사전동의가 있는 경우 또는 개인정보보호법 등 관계법령의 규정에 의거한 경우에만 개인정보를 제3자에게 제공합니다. 사무소는 현재 개인정보를 제3자에게 제공하지 않고 있습니다.
제 4 조 (개인정보 처리업무의 위탁)
사무소는 현재 귀하의 개인정보 보호를 위해 귀하의 개인정보를 직접 취급 관리하고 있습니다. 단, 향후 보다 전문적인 서비스를 제공하기 위하여 제3의 전문기관에 귀하의 정보를 위탁할 필요가 있다고 판단되는 경우, 귀하의 사전 동의 하에 개인정보에 대한 취급을 위탁할 수 있습니다.
제 5 조 (정보주체의 권리·의무 및 그 행사방법)
① 정보주체는 개인정보보호법 등 관계법령이 정하는 바에 따라 사무소에 대해 개인정보의 열람, 정정 및 삭제, 처리정지 요구 등 개인정보 보호 관련 권리를 행사할 수 있습니다.
② 제1항에 따른 권리행사는 정보주체의 법정대리인이나 위임을 받은 사람을 통해서도 할 수 있습니다. 다만, 이 경우에는 개인정보보호법 시행규칙에 따른 위임장을 사무소에 제출하여야 합니다.
③ 사무소는 정보주체의 권리행사에 대하여 개인정보보호법 등 관계법령이 정하는 바에 따라 지체 없이 조치하겠습니다.
제 6 조 (개인정보의 파기)
① 사무소는 원칙적으로 개인정보의 처리목적이 달성된 경우 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 해당 개인정보를 파기합니다.
② 사무소가 관계법령의 규정에 따라 개인정보를 파기하지 아니하고 보존하여야 하는 경우에는 해당 개인정보 또는 개인정보파일을 다른 개인정보와 분리해서 저장·관리 합니다.
③ 사무소는 파기사유가 발생한 개인정보를 선정하여 개인정보 보호책임자의 승인을 받아 해당 개인정보를 파기합니다.
④ 사무소는 파기하여야 할 개인정보가 전자적 파일 형태인 경우 복원이 불가능한 방법으로 영구 삭제하며, 이외의 기록물, 인쇄물, 서면, 그 밖의 기록매체인 경우 파쇄 또는 소각합니다.
제 7 조 (의견수렴 및 불만처리)
정보주체는 개인정보 보호 관련 문의, 불만처리, 피해구제 등에 관한 사항을 아래 개인정보 보호책임자 또는 담당부서에 문의하실 수 있습니다. 사무소는 정보주체의 문의에 대하여 신속하고 충분한 답변을 드릴 것입니다.
개인정보 보호 책임자 : 변호사
연락처 : 02.
제 8 조 (개인정보 처리방침의 변경)
사무소의 개인정보 처리방침은 관련 법령, 지침 및 사무소 내부규정에 따라 변경될 수 있으며, 개인정보 처리방침이 변경되는 경우 관련 법령이 정하는 방법에 따라 공개합니다.
제 9 조 (개인정보의 안전성 확보 조치)
사무소는 개인정보의 안전성 확보를 위해 다음과 같은 조치를 취하고 있습니다.
관리적 조치 : 내부관리계획의 수립 및 시행, 구성원에 대한 정기적인 개인정보 보호교육 등
기술적 조치 : 개인정보처리시스템 등의 접근권한 관리, 접근통제시스템 설치, 고유식별정보 등의 암호화, 보안프로그램의 설치 등
물리적 조치 : 전산실, 자료보관실 등 개인정보 보관장소에 대한 접근통제