[비즈한국] Trong bối cảnh các quy định và pháp luật về thông tin cá nhân ngày càng được thắt chặt, các biện pháp trừng phạt của chính phủ đối với các doanh nghiệp để lộ lỗ hổng trong quản lý thông tin khách hàng cũng trở nên nghiêm khắc hơn. Kakao035720, tập đoàn từng bị áp mức phạt kỷ lục trong số các doanh nghiệp Hàn Quốc vào tháng 5 năm nay do vi phạm Đạo luật Bảo vệ Thông tin Cá nhân, một lần nữa lại trở thành tâm điểm của dư luận. Nguyên nhân là do Cơ quan Giám sát Tài chính (FSS) đã bắt đầu quy trình xử phạt sau khi kết luận rằng Kakao Pay377300 đã cung cấp trái phép thông tin tín dụng khách hàng cho Alipay của Trung Quốc. Dù các hình phạt "giơ cao đánh khẽ" đối với các hành vi vi phạm đang có xu hướng được cải thiện, nhưng vẫn có ý kiến chỉ trích rằng ngay cả những doanh nghiệp coi thông tin khách hàng là nguồn lực kinh doanh cốt lõi cũng đang phản ứng một cách thụ động trước những thay đổi về thể chế.
“Ủy thác công việc thông thường” vs “Cung cấp cho bên thứ ba mà bỏ qua sự đồng ý riêng”
Quan điểm của FSS và Kakao Pay đang trái ngược nhau về việc Kakao Pay đã cung cấp thông tin tín dụng cá nhân cho Alipay mà không có sự đồng ý của khách hàng để thực hiện dịch vụ thanh toán trên Apple App Store. Trong khi FSS coi đây là hành vi “cung cấp cho bên thứ ba”, thì Kakao Pay lại lập luận rằng đây là việc chuyển thông tin phục vụ công việc vốn không cần sự đồng ý của khách hàng.
Trong đợt kiểm tra tại chỗ diễn ra từ tháng 5 đến tháng 7 năm nay, FSS đã phát hiện ra rằng từ tháng 4 năm 2018, trong suốt hơn 6 năm, Kakao Pay đã cung cấp 54,2 tỷ dữ liệu thông tin tín dụng cá nhân của 40,45 triệu người dùng (tích lũy) cho Alipay, bao gồm ID tài khoản Kakao, số điện thoại, email, lịch sử đăng ký và lịch sử giao dịch Kakao Pay (nạp tiền, rút tiền, thanh toán, chuyển khoản, số dư).
Sau khi Kakao Pay đưa ra tài liệu giải thích khẳng định đây là "việc chuyển thông tin giữa bên ủy thác và bên được ủy thác", FSS đã công bố tài liệu tham khảo báo chí để phản bác quyết liệt. Cuộc tranh luận về logic đang diễn ra gay gắt vì mối quan hệ hợp đồng và mục đích cung cấp thông tin ban đầu là điểm mấu chốt để xác định tính bất hợp pháp. Theo luật liên quan, nếu là quan hệ ủy thác, không cần sự đồng ý của khách hàng mà chỉ cần thông báo; ngược lại, nếu cung cấp cho bên thứ ba thì bắt buộc phải có quy trình đồng ý riêng từ khách hàng. Trong quan hệ ủy thác, thông tin được chuyển giao chỉ được sử dụng cho mục đích giúp bên được ủy thác (Alipay) thay mặt bên ủy thác (Kakao Pay) xử lý công việc; còn nếu thông tin khách hàng được sử dụng vì mục đích riêng của bên nhận (Alipay), vì điều đó không liên quan đến mục đích thu thập ban đầu, thì bắt buộc phải có sự đồng ý riêng biệt.
FSS khẳng định không có bằng chứng về “Hợp đồng ủy thác chấm điểm tín dụng”…
Nhiều ý kiến cho rằng trong vụ việc này, quy trình phân biệt giữa ủy thác công việc và cung cấp cho bên thứ ba có thể được thực hiện tương đối rõ ràng. Giáo sư Choi Kyung-jin, Khoa Luật tại Đại học Gachon, giải thích: “Các hợp đồng ủy thác đều có công cụ định hình chuẩn. Nếu hợp đồng giữa Kakao Pay và Alipay tương tự như các hợp đồng ủy thác mà Kakao Pay ký với các doanh nghiệp trong nước khác, thì có khả năng đó là ủy thác; ngược lại, nếu nội dung hợp đồng có sự khác biệt, thì điều đó mâu thuẫn với lập luận của Kakao Pay”.
Cơ quan tài chính cho rằng việc Kakao Pay tự ý cung cấp thông tin tín dụng khách hàng cho Alipay là vi phạm rõ ràng dựa trên các hợp đồng hiện có. FSS tuyên bố: “Sau khi kiểm tra toàn bộ các hợp đồng (9 bản) mà Kakao Pay ký với Alipay, chúng tôi không thấy bất kỳ nội dung nào về việc Kakao Pay ủy thác cho Alipay thực hiện công việc ‘tính toán và cung cấp điểm số NSF (điểm tín dụng)’”. Việc vào Apple Store là công việc mang lại lợi ích cho cả hai bên và việc chuyển thông tin cá nhân phục vụ lợi ích của cả Alipay chứ không chỉ Kakao Pay, cùng với việc Kakao Pay chưa từng quản lý, giám sát Alipay với tư cách là bên ủy thác, cũng là căn cứ để FSS coi việc xử lý thông tin tín dụng của Kakao Pay là bất hợp pháp.
Trong mối quan hệ ủy thác, bên ủy thác có nghĩa vụ quản lý và giám sát bên được ủy thác, nhưng trong trường hợp cung cấp cho bên thứ ba, bên cung cấp chỉ chịu trách nhiệm khi thực hiện đúng quy trình hợp pháp, còn nghĩa vụ quản lý và giám sát thuộc về bên nhận thông tin. Ngoài ra, ngay cả khi có hợp đồng ủy thác, nếu chứng minh được Alipay đã xử lý thông tin vì lợi ích riêng của họ, vấn đề sẽ trở nên phức tạp hơn nhiều.
Vấn đề về tính phù hợp của phạm vi thông tin cung cấp cho Alipay cũng là một điểm trọng yếu. Trong tài liệu giải thích, Kakao Pay khẳng định: “Khi cung cấp thông tin cho Alipay, chúng tôi áp dụng phương pháp mã hóa bằng mã ngẫu nhiên để phi định danh hóa, do đó không thể sử dụng vào mục đích nào khác ngoài phát hiện thanh toán gian lận”. Vì vụ việc đang trong quá trình điều tra, Kakao Pay cho biết họ sẽ hạn chế đưa ra phản hồi thêm sau khi phát hành tài liệu giải thích và tập trung vào việc làm rõ với cơ quan chức năng.
Dù các biện pháp trừng phạt thông tin cá nhân được tăng cường, các doanh nghiệp vẫn dậm chân tại chỗ
Thông tin mà Kakao Pay chuyển cho Alipay là thông tin giả danh (pseudonymized information) đã được xử lý để không thể xác định được nội dung. Thông tin giả danh có khả năng nhận diện thấp nếu áp dụng mã hóa phức tạp, nhưng nếu có thể kết hợp nhiều thông tin để suy ra dữ liệu gốc thì sẽ gây ra vấn đề về an toàn. Khái niệm này đã trải qua nhiều thử thách, như "Hướng dẫn phi định danh hóa thông tin cá nhân" năm 2016 đã trở nên lỗi thời sau sự phản đối của xã hội dân sự, và sau đó là sự ra đời của "3 đạo luật dữ liệu" coi thông tin đã qua xử lý giả danh là thông tin cá nhân. Hệ thống thông tin giả danh được giới thiệu vào tháng 8 năm 2020 nhằm thúc đẩy ngành công nghiệp dữ liệu quy định thông tin giả danh là thông tin cá nhân chịu sự điều chỉnh của Đạo luật Bảo vệ Thông tin Cá nhân, đồng thời quy định cách quản lý và sử dụng khác nhau tùy thuộc vào việc đó là ủy thác hay cung cấp cho bên thứ ba.
Xét đến xu hướng tăng cường các biện pháp trừng phạt liên quan đến thông tin cá nhân đối với các doanh nghiệp tư nhân gần đây, khả năng Kakao Pay nhận mức phạt nặng là rất cao. Cơ quan tài chính cho rằng Kakao Pay đã vi phạm cả Đạo luật Bảo vệ Thông tin Cá nhân và Đạo luật Thông tin Tín dụng. Theo Đạo luật Thông tin Tín dụng cũ, mức phạt là dưới "3% doanh thu liên quan" trong năm xảy ra vi phạm, nhưng sau khi luật sửa đổi có hiệu lực vào tháng 9 năm ngoái, mức phạt đã được mở rộng đáng kể lên dưới "3% tổng doanh thu" trong năm đó. Trước đó vào tháng 5, Kakao đã bị phạt 15,1496 tỷ Won do vi phạm nghĩa vụ an toàn đối với thông tin người tham gia phòng chat mở. Dù áp dụng luật cũ, đây vẫn là mức phạt lớn nhất trong các vụ việc từ trước đến nay. Với quan điểm của hai bên trái ngược nhau, vụ việc có thể kéo dài ra các cuộc chiến pháp lý ngay cả sau khi mức trừng phạt được chốt. Dự kiến sẽ mất nhiều năm để có kết luận cuối cùng.
Cả trong và ngoài ngành đang có những ý kiến chỉ trích phản ứng chậm chạp của các doanh nghiệp trước những thay đổi về thể chế. Một chuyên gia cho biết: “Khi cung cấp cho bên thứ ba như Alipay, khái niệm 'chuyển ra nước ngoài' được áp dụng, đòi hỏi phải có sự đồng ý riêng biệt. Về tâm lý chung của người dùng, họ có ác cảm với việc thông tin bị chuyển ra nước ngoài, đặc biệt là sang các doanh nghiệp ở Trung Quốc. Gánh nặng này có thể đã tác động đến quyết định của công ty”. Tuy nhiên, chuyên gia này cũng nhấn mạnh: “Vì đây là hành vi có thể dẫn đến cả xử lý hình sự, tôi cho rằng khả năng cố tình bỏ sót là thấp. Đây là trường hợp cho thấy nhận thức còn hạn chế về bảo vệ và xử lý thông tin cá nhân”.
Trong xã hội dân sự, cũng có những tiếng nói chỉ trích về các hạn chế mang tính hệ thống. Hội Chủ quyền Người tiêu dùng nhấn mạnh: “Rất khó để xem việc rò rỉ thông tin tín dụng cá nhân của Kakao Pay chỉ là vấn đề riêng của Kakao Pay. Mặc dù các vụ rò rỉ thông tin cá nhân liên tục xảy ra trong nhiều lĩnh vực gần đây, nhưng chúng ta vẫn không thấy các biện pháp ngăn chặn tái diễn chắc chắn hay các biện pháp trừng phạt nghiêm khắc mang tính cảnh báo”. Cũng có quan điểm cho rằng, mặc dù các biện pháp trừng phạt về lơ là quản lý thông tin cá nhân đang được tăng cường, nhưng định hướng chính sách của chính phủ vẫn còn mơ hồ. Oh Byung-il, đại diện Trung tâm Mạng lưới Tiến bộ, chỉ trích: “Doanh nghiệp luôn cố gắng thu hẹp phạm vi thông tin cá nhân và nghĩa vụ của mình, còn chính phủ cũng có xu hướng diễn giải lỏng lẻo hơn để cân nhắc đến các khía cạnh công nghiệp”.