📌 Resumen en 3 líneas > - Los avisos de filtración tienen elementos establecidos por ley. Debe incluir qué, cuándo y cuánto se filtró, así como el canal de contacto para la presentación de informes, o se puede exigir eso primero. > - "Denuncia" es de dos tipos. La denuncia que el negocio presenta al Comité de Protección, y la denuncia que la víctima presenta al Centro de Denuncias de Violaciones de la Privacidad son procesos diferentes. > - No te limites a presentar una denuncia. Debes incluir solicitudes de eliminación y solicitudes de suspensión del procesamiento para que el mensaje realmente se detenga.
Índice 1. Una pregunta que comenzó con un mensaje de texto 2. Los tres elementos que faltaban en el aviso 3. Distinguiendo entre dos "denuncias" 4. ¿Cómo se filtró la lista? 5. Elegir qué escribir en el formulario de denuncia 6. La razón para incluir la eliminación y la suspensión del procesamiento 7. La respuesta que llegó después de ocho semanas 8. Si ha recibido un aviso de filtración de información personal
Soy un agente administrativo con una oficina en Songdo, Yeonsu-gu, Incheon. Comparto una anécdota que encontré en mi trabajo.
Las consultas relacionadas con la información personal solían provenir principalmente de los representantes de las empresas hace unos años. Ahora es al revés. Ahora hay muchos más casos en los que las personas afectadas preguntan: "¿Dónde y cómo debo denunciar esto?". Esto se debe en parte al impacto de los cambios en el sistema, pero principalmente porque las personas están comenzando a sentir hasta dónde fluye su información.
Este caso también comenzó de esa manera. Era un mensaje de texto publicitario.
## 1. Pregunta que comenzó con un mensaje de texto
La cliente era una mujer de unos treinta años que criaba a dos hijos en edad escolar primaria. El primer contacto fue por correo electrónico, y llegaron ocho capturas de pantalla.
De esas ocho, tres eran mensajes publicitarios. Eran anuncios de material didáctico, campamento de inglés y una conferencia de una academia que nunca había oído. Los tres mensajes escribían el nombre de su hijo con exactitud. No decía "Mamá ○○" sino "Mamá de ○○, curso 3". Incluso el curso escolar coincidía.
El documento restante era el problema. Era una foto de un aviso enviado por una academia vecinal que cerró hace cuatro meses. Debajo de los dos párrafos que anunciaban el cierre, había una línea adjunta. Informaba que se había confirmado la evidencia de que la información de los miembros se había filtrado externamente.
Esa sola línea era todo.
Dijo que había ignorado el aviso en ese momento. Lo primero que llamó su atención fue la noticia de que la academia cerraba, y la línea de abajo le pareció una frase formal. Pero después de unos dos meses, comenzaron a llegar los mensajes. Al principio eran uno o dos mensajes al mes, pero recientemente han sido de cuatro a la semana.
Ella misma lo había intentado. Llamó al número que aparecía en el mensaje y preguntó dónde había obtenido el número. La persona que atendió solo respondió: "Lista obtenida a través de socios afiliados" y no reveló qué afiliado era. Bloqueó el número, pero llegó otro desde un número diferente. Mientras tanto, aumentaron los mensajes con el nombre de su hijo.
La frase que escribió al final del correo electrónico decía: "No importa si mi número se filtró, pero me da miedo que el nombre y el curso de mi hijo sigan circulando".
## 2. Tres elementos faltantes en el aviso
La cita de consulta quedó programada para el viernes por la tarde de esa semana. Antes de eso, revisé el aviso.
La 「Ley de Protección de la Información Personal」 exige que el encargado del tratamiento de la información personal notifique al titular de la información cuando se ha producido una fuga de información personal. Y también ha incluido en la ley los elementos que deben incluirse en dicha notificación. Los elementos filtrados, el momento y las circunstancias de la fuga, los métodos que el titular de la información puede utilizar para minimizar el daño, las medidas de respuesta del encargado y los procedimientos de reparación del daño, y el departamento responsable y el contacto para denunciar y consultar el daño.
Faltaban tres de estos elementos en el aviso que recibió esa persona. No se indicaba qué se filtró, cuándo y cómo se filtró, y a dónde se podía denunciar.
Esta verificación es la primera porque todos los documentos que escribiré a partir de ahora parten de aquí. El contenido de la denuncia varía según si los elementos filtrados son solo el nombre y el número de teléfono o si incluyen la dirección y la escuela. Si no se conoce el momento de la fuga, tampoco se pueden conectar con los mensajes de texto que llegaron después.
Por lo tanto, el primer documento fue una solicitud de complemento del aviso, no una denuncia. Es un documento breve y formal que solicita que se completen los elementos que faltan según lo establecido en la ley. Incluye la disposición legal pertinente, enumera los elementos faltantes con números e indica la fecha límite de respuesta.
Había una razón práctica para enviar este documento primero. Si el operador responde, los detalles de la fuga quedan registrados con sus palabras. Si no responde, el hecho de que no haya respondido queda registrado. En cualquier caso, se puede utilizar para el siguiente paso.
## 3. Distinguir dos 'declaraciones' Lo primero que aclaramos en la consulta del viernes fue el significado de la palabra 'declaración'.
El contenido que esa persona encontró en internet estaba mezclado. Algunos artículos decían que debía denunciar al Comité de Protección de la Información Personal, otros sugerían ir al Centro de Denuncia de Violación de la Privacidad, y otros más recomendaban solicitar una mediación. Dijo que le confundía si estos tres eran lo mismo o diferentes.
Son procedimientos distintos. Si se organizan en orden, es así:
- Denuncia del operador: Si la fuga es de una magnitud determinada o incluye información sensible o información de identificación única, el encargado del tratamiento de la información personal tiene la obligación de denunciar al Comité de Protección o a una institución especializada. Esta es una obligación del operador, no un procedimiento que realiza la víctima.
- Denuncia de la víctima: Si considera que sus derechos o intereses relacionados con su información personal han sido violados, puede denunciar al Centro de Denuncia de Violación de la Privacidad. Los casos recibidos conducen a investigaciones, recomendaciones de corrección y, si es necesario, sanciones.
- Mediación: Es un procedimiento para resolver disputas entre las partes, como la compensación de daños. La "persona" contra la que se dirige es el operador y si la disputa tiene un componente monetario, entra en esta área.
Nuestro trabajo es redactar y presentar formularios de denuncia y cartas de queja a las agencias gubernamentales. En este caso, el objetivo era detener la comunicación y eliminar la lista, por lo que correspondía a la primera opción.
Pregunté de nuevo el objetivo de esa persona. La respuesta fue clara: no quería recibir dinero, sino que la lista con el nombre de su hijo desapareciera.
Si el objetivo es claro, los documentos también lo son.
## 4. ¿Cómo pasó la lista?
La semana siguiente, el martes, recibí una respuesta de la empresa. Fue más rápido de lo esperado.
Era un correo electrónico breve enviado por la persona que estaba a cargo de la operación de la academia en el momento del cierre. El contenido era el siguiente: durante el proceso de liquidación, la cuenta que se utilizaba para el programa de gestión de estudiantes se mantuvo sin cambios, y hay indicios de que un antiguo empleado que tenía acceso a esa cuenta descargó la lista y la pasó a otra parte. Los elementos filtrados eran el nombre del estudiante, el grado escolar, el nombre del tutor, el número de teléfono móvil del tutor. Se estima que el período fue entre dos semanas antes del cierre.
Una cosa me llamó la atención. Independientemente del hecho de que la academia cerró, la información personal debe destruirse sin demora una vez que finaliza el período de retención o se cumple el propósito del procesamiento. En principio, la razón para seguir teniendo la información de los estudiantes desaparece cuando la academia cierra. Sin embargo, la lista permaneció en el programa.
Es decir, este incidente tenía dos capas. Una es la filtración de la lista por parte de una persona no autorizada, y la otra es el problema de la gestión de mantener la información que debía haber sido destruida. Decidimos dividir esto en el formulario de denuncia. Si se escribe como un solo bloque, solo se leerá como un "accidente en el que un empleado robó la lista" y la empresa tendrá la oportunidad de minimizar su responsabilidad de gestión.
Y el propio correo electrónico de respuesta se convirtió en un material importante. Describía el curso de la filtración, los elementos y el momento, según la empresa. Esto revela la razón por la que envié primero una solicitud de información complementaria.
## 5. Elegir qué incluir en el formulario de denuncia
La parte en la que pasé más tiempo al redactar el formulario no fue refinar las frases, sino elegir qué excluir.
Él tenía mucho que decir. Cuán molestos eran los mensajes, cuán decepcionado estaba con la academia, lo que dijo su hijo al ver los mensajes con su nombre. Todo era verdad, pero si se incluía todo en el formulario, el panorama del asunto se volvía borroso. Lo que la parte que investiga debe ver son los hechos y los puntos de violación, no las emociones.
Por lo tanto, lo organicé en tres ramas.
Primero, ¿qué, cuándo y cómo se filtró? Copié textualmente los elementos, la fecha y los detalles de la respuesta del operador comercial, y adjunté el correo electrónico como material de referencia.
Segundo, ¿qué obligaciones no se cumplieron? Se anotó por separado que el aviso de fuga omitió los elementos legales, que la información no se eliminó después del cierre y que no se realizó la gestión de los derechos de acceso. Una o dos líneas por elemento eran suficientes.
Tercero, ¿se manifestó realmente el resultado de la fuga? Esta fue la parte más convincente de este caso. El hecho de que los mensajes publicitarios con el nombre y el grado exacto de su hijo provinieran de varias empresas demuestra que la lista se había extendido a múltiples lugares, no solo a uno. Creé una tabla con los mensajes que recibió, según el número de remitente y la fecha de recepción. Había veintiséis mensajes en cuatro meses.
En el momento en que se crea una tabla, la naturaleza cambia. "Los mensajes siguen llegando" es una súplica, pero al convertirse en una tabla, se convierte en el hecho de que "veintiséis mensajes de ocho empresas diferentes durante cuatro meses".
Aquí hubo un pequeño percance. Al organizar los documentos, accidentalmente borró tres mensajes de texto. Cuando sonó el teléfono, su voz estaba muy tensa. Afortunadamente, los mensajes quedaron guardados gracias a la función de almacenamiento de mensajes de la compañía de telecomunicaciones, así que pudo recuperarlos. Después de eso, cada vez que recibía un nuevo mensaje, lo capturaba y lo guardaba por separado.
## 6. La razón para incluir la eliminación y la suspensión del procesamiento juntas
¿Se detendrán los mensajes simplemente presentando la declaración? No.
La presentación de una declaración conduce a la investigación y la corrección, pero lleva tiempo. Mientras tanto, la lista permanece en los sistemas de envío de las empresas. Por lo tanto, además de la presentación de la declaración, decidimos incluir dos cosas contra las empresas que enviaron los mensajes.
La "Ley de Protección de la Información Personal" otorga al titular de la información el derecho a solicitar la visualización, corrección, eliminación y suspensión del procesamiento de su información personal. Este derecho puede ejercerse no solo contra el lugar donde se proporcionó originalmente la información, sino también contra el lugar que actualmente la posee y la está procesando.
- Solicitud de visualización: Se verifica qué elementos de información tiene la empresa y dónde los recibió.
- Solicitud de eliminación: Se exige que los elimine si no tiene una base de retención.
- Solicitud de suspensión del procesamiento: Se exige que detenga el procesamiento, como el envío de publicidad, incluso antes de la eliminación.
Hay una razón para este orden. Si solo se solicita la eliminación, la empresa se demora diciendo "en verificación" mientras los mensajes siguen llegando. Al incluir la suspensión del procesamiento, se crea una base para detener el envío durante ese período. Al colocar la solicitud de visualización primero, la empresa debe responder de dónde obtuvo la lista, y esa respuesta se convierte en una pista para rastrear el canal de distribución.
Se envió una solicitud del mismo formato a seis de las ocho empresas donde se pudo confirmar el número de remitente. El contenido era el mismo, solo variaban los nombres de las empresas y el historial de mensajes recibidos. Los dos restantes tenían números de remitente de un servicio de envío en Internet, lo que dificultaba la identificación del titular del negocio, y ese hecho se indicó tal cual en la declaración.
También se proporcionó la siguiente información adicional: estos tipos de solicitudes tienen un plazo de respuesta y, si no se responde o se rechaza, se debe proporcionar la razón. Por lo tanto, pedimos que no se deseche ni se ignore cuando se reciba una respuesta, sino que se conserve. Si alguna entidad no responde, eso en sí mismo se convierte en el siguiente material.
## 7. La respuesta llegó tras seis semanas
El primer contacto tras la presentación de la denuncia fue una pregunta para verificar los hechos. Se solicitó nuevamente el período de recepción del mensaje, el número de empresas y el original del correo electrónico de respuesta de la empresa. Gracias a que lo había organizado en una tabla, pude responder esa misma tarde.
La respuesta de las empresas fue mixta. Cuatro de las seis informaron haber completado la eliminación. Dos de ellas incluso indicaron de dónde obtuvieron la lista, y ambas se referían a la misma empresa de intermediación. Una respondió simplemente: "Fue proporcionada legalmente por una empresa afiliada". La última no respondió.
El hecho de que la misma empresa de intermediación apareciera dos veces se incluyó tal cual como evidencia complementaria. Demostraba la posibilidad de que varias empresas no hubieran obtenido la lista por separado, sino que se hubiera propagado a través de una sola.
Los mensajes disminuyeron notablemente unas seis semanas después de la denuncia. No se detuvieron por completo. Primero cesó el mensaje de las empresas que respondieron a la solicitud de suspensión del procesamiento, y la que no respondió se mantuvo igual. Se envió una nueva solicitud a esa empresa por separado.
Recuerdo lo que dijo en nuestra última llamada. Dijo que los mensajes no habían desaparecido por completo, pero ahora, incluso si recibía uno, era menos aterrador porque sabía qué hacer. Consistía en capturar la pantalla, anotar la fecha y enviar la solicitud.
Los resultados de los procedimientos administrativos no siempre son limpios. Sin embargo, la diferencia entre saber lo que sucedió y saber qué se puede hacer a continuación y no saberlo es grande.
## 8. Recibió una Notificación de Filtración de Datos Personales
① Primero, verifique si la notificación contiene todos los elementos legales. Debe incluir los elementos filtrados, el momento y las circunstancias, las medidas tomadas por el responsable, los procedimientos de reparación de daños y los canales de denuncia y consulta. Si falta algo, puede solicitar que se complete y esa respuesta será un documento útil para más adelante.
② Distinga qué tipo de 'denuncia' es. La denuncia que el operador presenta al Comité de Protección, y la denuncia que la víctima presenta al Centro de Denuncias de Violaciones de la Privacidad, son procesos diferentes. Las disputas monetarias como la indemnización por daños entran en el ámbito de la mediación o la demanda judicial.
③ Organice los hechos perjudiciales en una tabla, no en términos emocionales. Si crea una lista de números de remitente, fechas de recepción y elementos de información personal contenidos en el mensaje, "es molesto" se convierte en "veintiséis mensajes de ocho empresas durante ocho meses".
④ Incluya solicitudes de acceso, eliminación y suspensión del procesamiento junto con la denuncia. Una simple denuncia no detiene inmediatamente la lista ya divulgada. Escribir las tres cosas juntas proporciona una base para detener el envío durante el período de investigación.
⑤ No deseche los correos electrónicos, guárdelos. El hecho de no haber respondido y el hecho de no poder presentar pruebas también son documentos.
⑥ Incluso si una empresa ha cesado sus operaciones, la responsabilidad no desaparece. El principio de que se deben destruir sin demora una vez cumplido el propósito del procesamiento sigue siendo aplicable incluso después de la disolución.
La aplicación de los procedimientos y los destinatarios de los informes pueden variar según la escala o los elementos de la fuga, y el juicio de la agencia también puede variar según el caso. Es necesario confirmar con la agencia correspondiente antes de solicitarla.
Este artículo está reconstruido a partir de casos de consulta reales y los personajes, nombres comerciales, nombres de lugares y cifras que aparecen no están relacionados con ninguna persona o evento específico.
- --
Somos una oficina de agente administrativo ubicada en Songdo, Incheon (Posco Tower Songdo). Nos ocupamos de la mediación administrativa, permisos/notificaciones, inmigración y residencia de extranjeros, y gestión administrativa periódica. Para aquellos que han recibido una notificación de fuga de información personal o están molestos porque los mensajes publicitarios no se detienen, nos preparamos juntos, desde la confirmación del contenido de la notificación hasta la redacción del formulario de notificación y la presentación de solicitudes de visualización, eliminación y suspensión del procesamiento. Si tiene una situación similar, no dude en preguntar.
📍 인천 연수구 컨벤시아대로 δρομος 165, 포스코타워송도 2697호 📍 Incheon, Yeongsu-gu, Convensea-ro 165, Posco Tower Songdo 2697 📞 010-3374-2687 🌐 www.hwangadmin.com
#caso_virtual #fuga_de_informacion_personal #notificacion_de_fuga_de_informacion_personal #centro_de_notificacion_de_violacion_de_informacion_personal #notificacion_de_fuga #solicitud_de_suspension_de_procesamiento #solicitud_de_eliminacion #mensajes_publicitarios #ley_de_proteccion_de_la_informacion_personal #agente_administrativo_de_incheon #agente_administrativo_de_songdo