Personvernkommisjonen innfører strengere straffer og styrker ledelsesansvar for datalekkasjer

Personvernkommisjonen har skiftet fokus fra etterfølgende sanksjoner til forebygging og økt ansvar for bedriftsledelse når det gjelder personvernbeskyttelse. For gjentatte og alvorlige brudd på personvernloven kan det nå ilegges bøter på inntil 10 prosent av omsetningen, og det er etablert klarere ansvarslinjer for administrerende direktør og personvernansvarlig.

Kommisjonen og Koreansk forening for personvernansvarlige avholdt 9. november et personvernpolitisk forum som samlet rundt 450 personvernfagfolk. En tjenestemann fra kommisjonen presenterte nye retningslinjer under temaet forebygging og styrket ansvar for ledelse.

Den nye straffesystemet, som trådte i kraft 11. september, gjelder gjentatte og alvorlige brudd på personvernloven. Bøtene beregnes nå basert på det høyeste av gjennomsnittlig omsetning de siste tre år eller omsetningen fra året før. Dette betyr at raskt voksende bedrifter kan få høyere bøter enn tidligere.

Personvernkommisjonen oppfordrer samtidig til frivillig forebygging gjennom insentiver. Bedrifter som investerer i personvernbeskyttelse kan få rabatt på bøter. Kommisjonen understreket at bedrifter bør se på personvernbeskyttelse som en måte å redusere juridisk risiko, ikke bare som en kostnad.

Administrerende direktører må nå ta overordnet ansvar for personvernbeskyttelse i stedet for å overlate det til personvernansvarlige eller informasjonssikkerhetssjefer. Kommisjonen utarbeider handlingsplaner og manualer for hvordan administrerende direktører skal håndtere datalekkasjer.

Personvernansvarlige må nå rapportere viktige personvernforhold til styret, og nye personvernansvarlige må godkjennes av styret og meldes til kommisjonen. Denne prosessen må gjennomføres innen seks måneder etter at stillingen er opprettet.

Kommisjonen styrker også kravene til sertifiseringssystemet for informasjonssikkerhet og personvernbeskyttelse. Selv bedrifter med sertifisering har opplevd store datalekkasjer, så kommisjonen vil nå fokusere på faktisk gjennomføring av sikkerhetstiltak i stedet for formell sertifisering. Planen er å gjøre sertifiseringen obligatorisk for flere organisasjoner fra 1. juli 2027.

Reglene for varsling av datalekkasjer er utvidet. Tidligere måtte bedrifter varsle når en lekkasje var bekreftet, men nå må de varsle når det er høy sannsynlighet for lekkasje. Varsling om skade fra løsepengevare og andre former for datamanipulasjon er også styrket.

Kommisjonen legger vekt på at rask og nøyaktig varsling til brukere er det første steget for å minimere skade. Manglende varsling kan påvirke senere bøteavgjørelser.

Personvernbeskyttelse må bygges inn fra designfasen av nye systemer, ikke legges til etterpå. Kommisjonen arbeider med lovfesting av dette prinsippet og vil utvide sertifisering av maskinvare og programvare.

For små og mellomstore bedrifter med begrenset sikkerhetbudsjett planlegger kommisjonen personvernkonsultasjonsstøtte for 2027 med et budsjett på omtrent 2,4 milliarder won. Kommisjonen overvåker også hvordan tilkoblede produkter som robotstøvsugere samler inn og behandler personopplysninger.

Kommisjonen utvider også overvåking av personopplysninger som sirkulerer på mørke nettsteder og utenlandske nettsider for å forhindre sekundær skade som stemmebasert svindel.

Personvernkommisjonen støtter samtidig sikker bruk av personopplysninger i kunstig intelligens-industrien. Kommisjonen arbeider med unnaksbestemmelser som tillater bruk av personopplysninger i kunstig intelligens-utvikling under visse vilkår, og støtter utvikling av personvernbeskyttelsesteknikker.