📌 3 Righe in Sintesi > - Le notifiche di violazione dei dati contengono elementi stabiliti dalla legge. Devono includere cosa, quando e quanto è stato compromesso, oltre al punto di contatto per la segnalazione, altrimenti possono essere richieste. > - "Segnalazione" è di due tipi. La segnalazione che l'operatore commerciale fa al Comitato per la Protezione dei Dati e la segnalazione che la vittima fa al Centro per le Violazioni della Privacy sono procedure diverse. > - Non limitarti a fare la segnalazione. Devi includere anche la richiesta di cancellazione e la richiesta di sospensione del trattamento per far sì che il messaggio si fermi effettivamente.
Indice 1. Una Domanda Iniziata da un Messaggio 2. I Tre Elementi Mancanti nella Notifica 3. Distinguere le Due "Segnalazioni" 4. Come è Passata la Lista? 5. Scegliere Cosa Scrivere nel Modulo di Segnalazione 6. Il Motivo per Cui Ho Inserito Cancellazione e Sospensione del Trattamento Insieme 7. La Risposta Arrivata Dopo Quattro Settimane 8. Cosa Fare se si Riceve una Notifica di Violazione dei Dati
Sono un agente amministrativo con un ufficio a Songdo, Yeongsu-gu, Incheon. Vorrei condividere un episodio che ho vissuto durante il mio lavoro.
Le richieste relative alla protezione dei dati, fino a qualche anno fa, provenivano principalmente dai responsabili aziendali. Ora è il contrario. Molto più spesso, le persone danneggiate chiedono: "Dove e come devo denunciare questo?". Questo è dovuto in parte ai cambiamenti del sistema, ma soprattutto al fatto che le persone iniziano a percepire fino a che punto le loro informazioni si diffondono.
Anche questo caso è iniziato così. Era un messaggio pubblicitario.
## 1. Un messaggio di testo come punto di partenza
La cliente era una donna sui trentacinque anni, madre di due bambini delle elementari. Il primo contatto è avvenuto via email, con l'invio di quattro schermate.
Tre delle quattro schermate erano messaggi pubblicitari. Materiale didattico, campo estivo di inglese e un invito a un evento di una scuola che non aveva mai sentito nominare. Tutti e tre i messaggi indicavano il nome del bambino in modo preciso. Non "Mamma ○○", ma "Mamma di ○○, corso di terza elementare". Anche la classe era corretta.
L'ultima schermata era il documento problematico. Era una foto di un avviso inviato da un istituto privato di quartiere chiuso quattro mesi prima. Sotto i due paragrafi che annunciavano la chiusura, c'era una singola riga. Conteneva l'informazione che era stata rilevata una situazione di perdita di informazioni dei membri all'esterno.
Quella singola riga era tutto.
Ha detto di aver ignorato l'avviso quando l'ha ricevuto. La notizia della chiusura dell'istituto è stata la prima cosa che le è venuta in mente, e la riga in basso le è sembrata una frase formale. Ma circa due mesi dopo, i messaggi hanno iniziato ad arrivare. Inizialmente una o due volte al mese, e recentemente quattro a settimana.
Aveva anche provato a fare qualcosa di suo. Ha chiamato il numero indicato nel messaggio per chiedere come avessero ottenuto il suo numero. L'operatore ha risposto solo: "Elenco ricevuto tramite partner". Non ha detto quale partner. Ha bloccato la ricezione, ma sono arrivati da altri numeri. Nel frattempo, sono aumentati i messaggi con il nome del bambino.
L'ultima frase che ha scritto nell'email diceva: "Non mi preoccupa tanto se il mio numero è trapelato, ma ho paura che il nome e la classe del mio bambino continuino a circolare."
## 2. Tre elementi mancanti nella notifica
L'appuntamento per la consulenza era fissato per venerdì pomeriggio di quella settimana. Prima, ho esaminato l'avviso.
La 「Legge sulla protezione delle informazioni personali」 prevede che l'operatore delle informazioni personali informi l'interessato quando le informazioni personali sono state divulgate. E ha scritto nella legge anche gli elementi da includere in tale notifica. Gli elementi divulgati, il momento e le circostanze della divulgazione, i metodi che l'interessato può utilizzare per ridurre al minimo i danni, le misure di risposta dell'operatore e le procedure di risarcimento dei danni, e il dipartimento responsabile e le informazioni di contatto per segnalare e consultare i danni.
Tre di questi elementi mancavano dall'avviso che aveva ricevuto. Mancava cosa era stato divulgato, quando e come era stato divulgato, e dove segnalarlo.
Questo controllo è importante per primo perché tutti i documenti che scriverò in futuro partono da qui. A seconda che gli elementi divulgati siano solo nome e numero di telefono o includano anche indirizzo e scuola, il contenuto della denuncia cambierà. Se non si conosce il momento della divulgazione, non è possibile collegare i messaggi ricevuti in seguito.
Quindi, il primo documento è stato impostato come una richiesta di integrazione della notifica: un documento breve e formale che chiede di completare gli elementi che la legge prevede siano inclusi. Ho indicato la base giuridica, elencato gli elementi mancanti con numeri e indicato la scadenza per la risposta.
C'era anche una ragione pratica per inviare prima questo documento. Se l'operatore risponde, le circostanze della divulgazione rimangono registrate secondo la loro versione. Se non risponde, il fatto stesso che non abbia risposto rimane registrato. In entrambi i casi, può essere utilizzato per la fase successiva.
## 3. Distinguere due 'Dichiarazioni' Durante la consulenza di venerdì, la prima cosa che ho chiarito è stata la parola 'dichiarazione'.
I contenuti che quella persona aveva trovato su internet erano confusi. Alcuni articoli suggerivano di denunciare alla Commissione per la Protezione delle Informazioni Personali, altri di recarsi al Centro per la Segnalazione delle Violazioni della Privacy. Alcuni articoli ancora suggerivano di presentare una richiesta di mediazione. Era confuso se queste tre cose fossero la stessa cosa o diverse.
Sono procedure diverse. Se ordinate, sono così:
- Segnalazione effettuata dall'operatore: Quando la perdita di dati è di una certa dimensione o include informazioni sensibili o identificative univoche, l'operatore di dati personali è tenuto a segnalare alla Commissione per la Protezione o a un'istituzione specializzata. Questo è un obbligo dell'operatore, non una procedura che il danneggiato deve seguire.
- Segnalazione effettuata dal danneggiato: Se si ritiene che i propri diritti o interessi relativi alle informazioni personali siano stati violati, è possibile segnalare al Centro per la Segnalazione delle Violazioni della Privacy. I casi ricevuti portano a indagini, raccomandazioni di correzione e, se necessario, sanzioni.
- Mediazione: È una procedura per risolvere le controversie tra le parti, come il risarcimento dei danni. La controparte è una "persona" che è un operatore e le controversie finanziarie sono al centro, allora si passa in questo ambito.
Il nostro lavoro è redigere e presentare moduli di segnalazione e denunce agli enti amministrativi. In questo caso, l'obiettivo era fermare la comunicazione e cancellare l'elenco, quindi rientrava nella prima categoria.
Ho chiesto di nuovo qual era l'obiettivo di quella persona. La risposta era chiara. Non voleva soldi, ma voleva che l'elenco con il nome di suo figlio scomparisse.
Quando l'obiettivo è chiaro, anche i documenti lo sono.
## 4. Come è stata compromessa la lista?
La settimana successiva, martedì, ho ricevuto una risposta dall'azienda. È stato più veloce del previsto.
Si trattava di una breve email inviata dalla persona che si occupava della gestione della scuola al momento della chiusura. Il contenuto era questo: durante il processo di liquidazione, l'account utilizzato per il programma di gestione degli studenti è stato mantenuto così com'è, e ci sono indizi che un ex dipendente che aveva l'autorizzazione ad accedere a quell'account abbia scaricato la lista e l'abbia trasferita ad altri. Gli elementi trapelati erano il nome degli studenti, la classe, il nome del tutore, il numero di telefono del tutore. Si stima che l'evento sia avvenuto tra due settimane prima della chiusura.
C'era una cosa che mi ha colpito. A prescindere dalla chiusura, le informazioni personali devono essere eliminate senza indugio quando il periodo di conservazione termina o lo scopo del trattamento è raggiunto. In linea di principio, la ragione per conservare le informazioni degli studenti dovrebbe scomparire quando una scuola chiude. Eppure, la lista è rimasta nel programma.
In altre parole, c'erano due aspetti in questo incidente. Uno è la fuoriuscita causata da una persona non autorizzata che ha preso la lista, e l'altro è un problema di gestione che ha mantenuto informazioni che avrebbero dovuto essere eliminate. Abbiamo deciso di dividerli nel modulo di segnalazione. Se fossero stati scritti come un unico blocco, sarebbe stato letto solo come un "incidente in cui un dipendente ha preso segretamente la lista", e l'azienda avrebbe avuto la possibilità di minimizzare la sua responsabilità.
E l'email di risposta stessa è diventata un materiale importante. Conteneva la cronologia della fuoriuscita, gli elementi e il periodo, come affermato dall'azienda. Questo rivela il motivo per cui ho inviato prima una richiesta di integrazione della notifica.
## 5. Scegliere cosa scrivere nel modulo di denuncia
La parte in cui ho impiegato più tempo nella stesura del modulo di denuncia non è stata tanto la revisione delle frasi, quanto scegliere cosa omettere.
Lui aveva molto da dire. Quanto fossero fastidiose le comunicazioni, quanto fosse deluso dalla scuola, cosa avesse detto suo figlio vedendo le comunicazioni con il suo nome. Tutto vero, ma se fosse stato inserito tutto nel modulo di denuncia, i contorni della questione si sarebbero offuscati. Ciò che la parte che indaga deve vedere sono i fatti e i punti di violazione, non le emozioni.
Quindi l'ho organizzato in tre categorie.
Prima, cosa, quando e come è trapelato. Ho trascritto fedelmente gli elementi, i tempi e i dettagli indicati nella risposta dell'operatore commerciale, allegando l'e-mail come documento.
Seconda, quali obblighi non sono stati rispettati. Ho indicato separatamente che l'avviso di violazione non includeva gli elementi prescritti, che le informazioni non sono state eliminate dopo la cessazione dell'attività e che la gestione dei diritti di accesso non è stata implementata. Pochi versi per elemento erano sufficienti.
Terza, se i risultati della violazione si sono effettivamente manifestati. Questa è stata la parte più incisiva in questo caso. Il fatto che le comunicazioni pubblicitarie con il nome e l'anno scolastico esatti di suo figlio siano arrivate da diverse aziende dimostra che l'elenco non si è diffuso in un solo luogo, ma in molti. Ho creato una tabella con le comunicazioni che mi ha fornito, in base al numero di telefono del mittente e alla data di ricezione. Erano ventisei messaggi in quattro mesi.
Creando una tabella, la natura cambia. "Le comunicazioni continuano ad arrivare" diventa "ventisei comunicazioni da otto aziende diverse in quattro mesi".
Qui, quella persona ha creato un piccolo contrattempo. Mentre organizzava i documenti, ha cancellato accidentalmente tre messaggi. Quando squillò il telefono, la sua voce era molto tesa. Fortunatamente, erano ancora presenti nella funzione di archiviazione dei messaggi del fornitore di servizi di telecomunicazioni, quindi siamo riusciti a recuperarli. Da allora, quella persona ha iniziato a fare screenshot di ogni nuovo messaggio e a salvarli separatamente.
## 6. Perché includere cancellazione e sospensione del trattamento insieme
Basterebbe presentare la denuncia perché i messaggi si fermino? No.
La denuncia porta a indagini e correzioni, ma ci vuole tempo. Nel frattempo, l'elenco rimane all'interno dei sistemi di invio delle aziende. Pertanto, oltre alla denuncia, abbiamo deciso di includere due azioni separate contro le aziende che hanno inviato i messaggi:
La "Legge sulla protezione delle informazioni personali" concede all'interessato il diritto di richiedere l'accesso, la correzione o la cancellazione e la sospensione del trattamento dei propri dati personali. Questo diritto può essere esercitato non solo nei confronti dell'entità che ha originariamente fornito le informazioni, ma anche nei confronti di quella che le possiede attualmente e le tratta.
- Richiesta di accesso: Verifichiamo quali informazioni l'azienda detiene su di me e da dove le ha ricevute.
- Richiesta di cancellazione: Richiediamo che cancellino i dati se non hanno una base legale per conservarli.
- Richiesta di sospensione del trattamento: Richiediamo che interrompano il trattamento, come l'invio di pubblicità, anche prima della cancellazione.
C'è una ragione per questo ordine. Se si richiede solo la cancellazione, l'azienda guadagna tempo dicendo "in fase di verifica" e i messaggi continuano ad arrivare. Includendo la sospensione del trattamento, si crea una base per interrompere l'invio anche durante quel periodo. Posizionando la richiesta di accesso per prima, l'azienda è costretta a rispondere da dove ha ricevuto l'elenco, e questa risposta diventa un indizio per tracciare il percorso di distribuzione.
Abbiamo inviato richieste identiche a sei delle otto aziende in cui è stato possibile verificare il numero di mittente. Il contenuto era lo stesso, solo i nomi delle aziende e la cronologia dei messaggi ricevuti variavano. Per le restanti due aziende, il numero di mittente era un numero di agenzia di invio online, rendendo difficile l'identificazione dell'operatore, e questo è stato indicato nella denuncia.
Abbiamo fornito un'ulteriore informazione: queste richieste hanno un termine di risposta e, in caso di mancata risposta o rifiuto, è necessario indicare le ragioni. Pertanto, abbiamo chiesto di non scartare le risposte, ma di conservarle. Se ci sono entità che non rispondono, esse stesse diventano materiale per ulteriori indagini.
## 7. La risposta dopo sei settimane
La prima comunicazione ricevuta dopo la presentazione della denuncia è stata una richiesta di chiarimenti sui fatti. Mi è stato chiesto di fornire nuovamente il periodo di ricezione dei messaggi, il numero di aziende e una copia originale dell'e-mail di risposta dell'azienda. Grazie all'organizzazione in tabella, sono stato in grado di rispondere nello stesso pomeriggio.
Le reazioni delle aziende sono state contrastanti. Quattro su sei hanno comunicato di aver completato la cancellazione. Due di queste hanno anche indicato da dove avevano ottenuto l'elenco, entrambi riferendosi allo stesso mediatore. Un'azienda ha risposto solo con "ricevuto legalmente da un partner". L'ultima azienda non ha risposto.
Il fatto che lo stesso mediatore sia apparso due volte è stato presentato come prova a sostegno della documentazione. Dimostrava la possibilità che più aziende non avessero ottenuto l'elenco direttamente, ma attraverso un'unica fonte.
I messaggi sono diminuiti notevolmente dopo circa sei settimane dalla denuncia. Non si sono interrotti completamente. Innanzitutto, i messaggi delle aziende che hanno acconsentito alla sospensione del trattamento si sono fermati, mentre quelli che non hanno risposto sono rimasti invariati. A quest'ultima azienda è stato inviato un ulteriore avviso.
Ricordo le parole che ha detto durante l'ultima telefonata. Ha detto che i messaggi non sono scomparsi del tutto, ma che ora, anche quando ne ricevono uno, sanno cosa fare e sono meno spaventati. Consiste nel fare uno screenshot, annotare la data e inviare l'avviso.
I risultati delle procedure amministrative non sono sempre puliti. Tuttavia, la differenza tra sapere cosa è successo e sapere cosa si può fare successivamente è significativa.
## 8. Hai ricevuto una notifica di violazione dei dati personali
① Verifica innanzitutto che la notifica contenga tutti gli elementi previsti dalla legge. Deve includere gli elementi violati, il momento e le circostanze, le azioni del responsabile, le procedure di risarcimento e i canali di segnalazione e consulenza. Se manca qualcosa, puoi richiedere che venga integrato e tale risposta diventerà un documento di riferimento per ciò che scriverai in seguito.
② Distinguere 'la segnalazione' a quale segnalazione si riferisce. La segnalazione che l'operatore deve presentare alla Commissione per la protezione o ad altri enti, e la segnalazione che la vittima deve presentare al Centro per le violazioni dei dati personali, sono procedure diverse. Le controversie relative al risarcimento danni rientrano nell'ambito della mediazione o del contenzioso.
③ Organizza i fatti dannosi in una tabella, non in termini emotivi. Creare un elenco con il numero di mittente, la data di ricezione e gli elementi di informazioni personali contenuti nel messaggio, trasforma "è fastidioso" in "ventisei comunicazioni da otto aziende in quattro mesi".
④ Includi una richiesta di accesso, cancellazione e sospensione del trattamento insieme alla segnalazione. La sola segnalazione non ferma immediatamente l'elenco già diffuso. Scrivere le tre cose insieme fornisce una base per interrompere l'invio durante il periodo di indagine.
⑤ Non buttate via le comunicazioni, conservatele. Anche il fatto di non aver risposto e l'impossibilità di fornire una motivazione sono documenti utili.
⑥ Anche se un'attività è cessata, la responsabilità non scompare. Il principio di distruzione immediata una volta raggiunto lo scopo della gestione si applica anche dopo la cessazione dell'attività.
La procedura applicabile e i soggetti obbligati alla segnalazione possono variare a seconda dell'entità e degli elementi della violazione, e il giudizio dell'ente può variare a seconda del caso. È necessario verificare con l'ente competente prima di presentare la domanda.
Questo articolo è stato ricostruito sulla base di casi di consulenza reali e i personaggi, i nomi commerciali, i nomi di luoghi e le cifre che vi compaiono non sono collegati a persone o eventi specifici.
- --
Uffici di un agente amministrativo situati a Incheon Songdo (Posco Tower Songdo). Ci occupiamo di ricorsi amministrativi, autorizzazioni/segnalazioni delegate, immigrazione e soggiorno per stranieri, gestione amministrativa periodica. Per coloro che hanno ricevuto una notifica di violazione dei dati personali o che sono in difficoltà a causa di messaggi pubblicitari che non si fermano, ci prepariamo insieme dalla verifica del contenuto della notifica alla stesura del modulo di segnalazione e alla presentazione di richieste di visualizzazione, cancellazione e sospensione del trattamento. Sentitevi liberi di chiedere informazioni se siete in una situazione simile.
📍 Incheon Yeonsu-gu, Convensea-daero 165, Posco Tower Songdo 2697 📞 010-3374-2687 🌐 www.hwangadmin.com
#casovirtuali #violazionedeidati #segnalazioneviolazionedeidati #centrodelafidelizzazione #notificaviolazioni #richiestadisospensione #richiestadicancellazione #messaggipubblicitari #leggeprotezionedeidati #agenteamministrativoIncheon #agenteamministrativoSongdo