Beveiliging · 24 oktober 2026
Ook gepubliceerd in עברית
Wetgever eist duidelijkere aansprakelijkheid en verplichte cyberverzekering voor overheidsinstanties na gegevenslekken
Wetgever Cho Jeong-hoon heeft tijdens een parlementaire audit opgeroepen tot een strengere aansprakelijkheid voor overheidsinstanties bij lekken van persoonsgegevens en heeft voorgesteld om cyberverzekeringen verplicht te stellen. Deze oproep vond plaats tijdens een uitgebreide audit van de staatszaken door de commissie voor algemene zaken van de Nationale Vergadering, waarbij de focus lag op het herstellen van schade voor slachtoffers en het verdelen van risico's tussen de publieke en private sector. De wetgever benadrukte dat instanties die persoonsgegevens beheren, niet alleen geconfronteerd moeten worden met sancties na een incident, maar ook verantwoordelijk moeten zijn voor het daadwerkelijk herstellen van de geleden schade.
Tijdens de bijeenkomst op eenentwintig oktober presenteerde de wetgever cijfers waaruit bleek dat er in de afgelopen vijf jaar binnen overheidsinstanties in totaal zevenhonderdtweeënzeventig miljoen persoonsgegevens zijn gelekt. Ondanks deze omvangrijke hoeveelheid data die onbevoegd in handen is gekomen, bedroeg de totale som van de opgelegde administratieve boetes slechts vijfenveertig miljard won. Dit grote verschil tussen het aantal getroffen records en de hoogte van de boetes werd gebruikt als argument om de verantwoordelijkheid van de publieke sector te versterken. Het standpunt is dat bij schade aan burgers door fouten in het gegevensbeheer, er een duidelijke plicht tot schadevergoeding moet zijn gebaseerd op opzet of nalatigheid.
Er bestaat een fundamenteel onderscheid tussen administratieve boetes en schadevergoedingen dat bij deze discussie centraal staat. Een boete fungeert als een strafmaatregel voor het overtreden van de wet, terwijl schadevergoeding bedoeld is om het verlies van het slachtoffer te compenseren. De commissie voor de bescherming van persoonsgegevens heeft bevestigd dat deze twee mechanismen verschillende doelen en aard hebben. Hoewel de huidige wetgeving al bepaalt dat verwerkers van persoonsgegevens, waaronder overheidsorganen, aansprakelijk zijn tenzij zij kunnen bewijzen dat zij geen schuld treft, leidt een lek niet automatisch tot een vaste uitkering voor alle getroffenen. De rechterlijke macht heeft verduidelijkt dat hoewel de bewijslast voor schuld bij de verwerker ligt, de overtreding zelf niet automatisch wordt vermoed.
Als concrete oplossing om de financiële last van schadeclaims te dragen, werd de invoering van een verplichte cyberverzekering voorgesteld. Dit instrument zou ervoor moeten zorgen dat zowel overheidsinstanties als particuliere ondernemingen de risico's van incidenten kunnen verdelen en over de nodige middelen beschikken na een gebeurtenis. Bij de uitwerking van een dergelijke verzekering moeten echter gedetailleerde ontwerpen worden gemaakt over de dekking, de maximale uitkeringslimieten en het eigen risico. Het is daarbij essentieel om een onderscheid te maken tussen vergoedingen voor slachtoffers en de kosten die de instelling zelf maakt voor incidentrespons en het herstellen van systemen. Ambtenaren erkenden de noodzaak van verhoogde alertheid en bevestigden dat het algemene rechtsprincipe van aansprakelijkheid bij nalatigheid ook op deze gevallen van toepassing is.