📌 Resumo em 3 Linhas > - Os avisos de vazamento têm itens definidos por lei. O que, quando e quanto vazou, e o canal de contato para denúncias devem estar presentes, caso contrário, podem ser exigidos. > - "Denúncia" é dupla. A denúncia que o empresário faz ao Comitê de Proteção e a denúncia que a vítima faz ao Centro de Denúncias de Violação de Dados são procedimentos diferentes. > - Não termine apenas denunciando. É preciso incluir também pedidos de exclusão e suspensão de processamento para que a mensagem realmente pare.
Índice 1. Uma pergunta que começou com uma mensagem 2. Três coisas que faltavam no aviso 3. Distinguindo as duas 'Denúncias' 4. Como a lista de contatos foi transferida 5. Escolhendo o que escrever no formulário de denúncia 6. Por que incluir exclusão e suspensão de processamento 7. A resposta que chegou após quatro semanas 8. Se você recebeu um aviso de vazamento de informações pessoais
Sou um agente administrativo localizado em Songdo, Yeongus, Incheon. Compartilho um incidente que encontrei durante o trabalho.
Consultas relacionadas a informações pessoais costumavam vir principalmente dos responsáveis das empresas há alguns anos. Atualmente, é o oposto. Há muito mais casos em que as vítimas perguntam: "Onde e como devo denunciar isso?". Isso se deve em parte ao impacto das mudanças no sistema, mas principalmente porque as pessoas estão começando a sentir até onde seus dados estão sendo divulgados.
Este caso também começou assim. Era uma mensagem de publicidade.
## 1. Uma pergunta que começou com uma única mensagem
A cliente era uma mulher na casa dos trinta, com dois filhos no ensino fundamental. O primeiro contato foi por e-mail, acompanhado de quatro capturas de tela.
Três das quatro capturas eram mensagens publicitárias. Eram sobre material didático, acampamento de inglês e um evento de apresentação de uma escola que ela nunca tinha ouvido falar. Todas as três mensagens mencionavam o nome do filho com precisão. Não dizia "Mãe da ○○", mas sim "Mãe de ○○, curso do 3º ano". Até o ano escolar estava correto.
A outra captura era o documento problemático. Era uma foto de um aviso enviado por um cursinho local que fechou há quatro meses. Abaixo dos dois parágrafos anunciando o fechamento, havia uma linha anexada. Informava que havia evidências de vazamento de informações de membros para o exterior.
Apenas essa linha estava escrita.
Ela disse que ignorou o aviso na época. A notícia de que a escola estava fechando chamou mais a atenção, e a linha abaixo pareceu uma frase formal. Mas depois de cerca de dois meses, as mensagens começaram a chegar. No início, eram uma ou duas mensagens por mês, mas recentemente, vieram quatro por semana.
Ela também tentou diretamente. Ligou para o número no texto e perguntou como eles obtiveram seu número. A atendente respondeu apenas: "Lista recebida através de parceiros" e não informou qual era o parceiro. Ela bloqueou o número, mas continuou a receber mensagens de outros números. Enquanto isso, o número de mensagens com o nome do filho aumentou.
A frase que ela escreveu no final do e-mail foi: "Não me importo se meu número vazar, mas tenho medo que o nome e o ano escolar do meu filho continuem circulando."
## 2. Três itens ausentes no aviso
A consulta foi agendada para sexta à tarde daquela semana. Antes disso, revisei o aviso.
A 「Lei de Proteção de Dados Pessoais」 exige que o responsável pelo tratamento de dados pessoais informe o titular dos dados quando houve vazamento de informações pessoais. E a lei também especifica os itens que devem constar nesse aviso. Os itens vazados, o momento e as circunstâncias do vazamento, os métodos que o titular dos dados pode usar para minimizar os danos, as medidas de resposta do responsável e os procedimentos de reparação, e o departamento responsável e o contato para relatar e consultar os danos.
Três desses itens estavam ausentes no aviso que ele recebeu. Estava faltando o que vazou, quando e como vazou, e onde relatar.
Essa verificação é feita primeiro porque todos os documentos que serão escritos a seguir partem daqui. O conteúdo do relatório muda dependendo se os itens vazados são apenas nome e número de telefone ou se incluem endereço e escola. Sem saber o momento do vazamento, não é possível conectar com as mensagens recebidas depois.
Portanto, o primeiro documento foi definido como uma Solicitação de Complementação do Aviso, um documento curto e burocrático que solicita o preenchimento dos itens que faltam, conforme previsto na lei. Incluí a base legal, enumerei os itens ausentes e especifiquei o prazo para resposta.
Havia também uma razão prática para enviar este documento primeiro. Se o empresário responder, a sequência de eventos do vazamento ficará registrada com as palavras dele. Se ele não responder, o próprio fato de a resposta não ter sido dada ficará registrado. Em ambos os casos, pode ser usado na próxima etapa.
## 3. Distinguir dois 'Relatórios' No aconselhamento de sexta-feira, a primeira coisa a ser organizada foi a palavra 'relatório'.
Aquel conteúdo que ele/ela encontrou na internet estava confuso. Alguns artigos diziam para denunciar à Comissão de Proteção de Dados, outros para ir ao Centro de Denúncias de Violação de Dados. E outros ainda diziam para solicitar mediação de conflitos. Ele/Ela estava confuso(a) se essas três coisas eram a mesma coisa ou diferentes.
São procedimentos diferentes. Se organizados em ordem, são assim:
- Denúncia do Operador: Quando o vazamento é de um tamanho considerável ou contém informações sensíveis ou de identificação únicas, o operador de dados tem a obrigação de denunciar à Comissão de Proteção de Dados ou a uma instituição especializada. Esta é uma obrigação do operador, não um procedimento que a vítima realiza.
- Denúncia da Vítima: Se você considerar que seus direitos ou interesses relacionados às suas informações pessoais foram violados, você pode denunciar ao Centro de Denúncias de Violação de Dados. Os casos recebidos levam a investigações, recomendações de correção e, se necessário, sanções.
- Mediação de Conflitos: É um procedimento para ajustar disputas entre as partes, como a indenização de danos. A outra parte é uma "pessoa" que é um operador e a disputa é centrada em questões financeiras, então isso se enquadra nessa área.
Nossa função é redigir e submeter formulários de denúncia e reclamações aos órgãos administrativos. Neste caso, o objetivo era interromper a comunicação e eliminar a lista, o que se enquadrava na primeira categoria.
Perguntei novamente o objetivo dele/dela. A resposta foi clara. Ele/Ela não queria dinheiro, mas sim que a lista com o nome de seu filho desaparecesse.
Quando o objetivo é claro, os documentos também se tornam claros.
## 4. Como a lista foi comprometida
Na semana seguinte, na terça-feira, recebi uma resposta da empresa. Foi mais rápido do que o esperado.
Era um e-mail curto enviado pela pessoa que estava encarregada da operação da academia no momento do encerramento. O conteúdo era este: durante o processo de encerramento, a conta usada para o programa de gerenciamento de alunos foi mantida como estava, e há indícios de que um ex-funcionário que tinha acesso a essa conta baixou a lista e a transferiu para outro lugar. Os itens vazados eram o nome do aluno, o ano escolar, o nome do responsável e o número de telefone celular do responsável. Estima-se que o período seja entre duas semanas antes do encerramento.
Um ponto chamou minha atenção. Independentemente do encerramento, as informações pessoais devem ser descartadas imediatamente após o término do período de retenção ou a conclusão do propósito do processamento. Em princípio, não há razão para que uma academia continue a manter as informações dos alunos depois de fechar as portas. No entanto, a lista permaneceu no programa.
Ou seja, este incidente tinha duas camadas. Uma é o vazamento causado por uma pessoa não autorizada que pegou a lista, e a outra é o problema de gerenciamento de manter informações que deveriam ter sido descartadas. Decidimos dividir isso em dois relatórios. Se escrevêssemos como um só, seria lido apenas como um "acidente em que um funcionário pegou secretamente a lista", e a empresa teria margem para minimizar sua responsabilidade de gerenciamento.
E o próprio e-mail de resposta se tornou um material importante. Ele continha a sequência de eventos, os itens e o período, conforme declarado pela empresa. A razão pela qual solicitei primeiro uma complementação do aviso ficou evidente aqui.
## 5. Escolhendo o que escrever no formulário de denúncia
A parte que mais tempo me consumiu na elaboração do formulário não foi refinar as frases, mas sim escolher o que excluir.
Ele tinha muito a dizer. Quão incômodos eram os SMS, quão desapontado estava com a escola, o que o filho disse ao ver o SMS com seu nome. Tudo era verdade, mas se tudo fosse incluído no formulário, o contorno do caso ficaria turvo. O que a parte que investiga deve ver são os fatos e os pontos de violação, não as emoções.
Portanto, organizei em três categorias.
Primeiro, o que, quando e como vazou. Transcrevi os itens, a data e o processo indicados na resposta do empresário, anexando o e-mail como material de apoio.
Segundo, quais obrigações não foram cumpridas. Separei o fato de que o aviso de vazamento omitiu os itens obrigatórios por lei, o fato de que as informações não foram descartadas após o encerramento das atividades e o fato de que o gerenciamento de acesso não foi realizado. Uma ou duas linhas por item eram suficientes.
Terceiro, os resultados do vazamento realmente apareceram? Esta foi a parte mais impactante neste caso. O fato de que os SMS com o nome e o ano escolar do filho vieram de várias empresas demonstra que a lista se espalhou para vários lugares, não apenas para um. Criei uma tabela com os SMS que ele me forneceu, com base no número de origem e na data de recebimento. Foram vinte e seis mensagens em quatro meses.
No momento em que se transforma em uma tabela, a natureza muda. "Os SMS continuam chegando" se torna "vinte e seis mensagens de oito empresas diferentes nos últimos quatro meses".
Aqui, ele causou um pequeno tumulto. Ao organizar os documentos, apagou acidentalmente três mensagens. Quando o telefone tocou, sua voz estava muito tensa. Felizmente, as mensagens foram recuperadas graças à função de armazenamento da operadora de telefonia. A partir daí, ele começou a capturar a tela de cada nova mensagem e a salvar separadamente.
## 6. Razão para incluir exclusão e suspensão de processamento simultaneamente
Apenas submeter o formulário de denúncia fará com que as mensagens parem? Não.
A denúncia leva a investigação e correção, mas leva tempo. Enquanto isso, a lista permanece no sistema de envio das empresas. Portanto, além da denúncia, decidimos incluir duas coisas contra as empresas que enviaram as mensagens.
A "Lei de Proteção de Dados Pessoais" concede ao titular dos dados o direito de solicitar a visualização, correção, exclusão e suspensão do processamento de seus dados pessoais. Este direito pode ser exercido não apenas no local onde as informações foram originalmente fornecidas, mas também no local que atualmente as possui e as processa.
- Solicitação de visualização: Verifica quais itens de informação a empresa possui e de onde os recebeu.
- Solicitação de exclusão: Solicita que apaguem se não houver base para retenção.
- Solicitação de suspensão de processamento: Solicita que interrompam o processamento, como o envio de publicidade, mesmo antes de apagarem.
Existe uma razão para esta ordem. Se você solicitar apenas a exclusão, a empresa vai ganhar tempo dizendo "em análise" enquanto as mensagens continuam a chegar. Ao incluir a suspensão de processamento, cria-se uma base para interromper o envio durante esse período. Colocar a solicitação de visualização na frente faz com que a empresa responda de onde recebeu a lista, e essa resposta se torna uma pista para seguir o caminho da distribuição.
Enviamos o mesmo tipo de solicitação para seis dos oito provedores com números de telefone de origem confirmados. O conteúdo era o mesmo, apenas os nomes das empresas e o histórico de mensagens recebidas eram diferentes. Os dois restantes tinham números de envio de agências de envio na internet, tornando difícil identificar o operador, e esse fato foi registrado no formulário de denúncia.
Fornecemos mais uma orientação. Essas solicitações têm um prazo de resposta, e se não responderem ou recusarem, devem fornecer uma razão. Portanto, pedimos que não descartem as respostas, mas as guardem. Se houver algum que não respondeu, isso em si se torna o próximo material.
## 7. A Resposta Após Seis Semanas
A primeira comunicação após o envio da denúncia foi uma pergunta para confirmar os fatos. Fui solicitado a reenviar o período em que recebi a mensagem, o número de empresas e o original do e-mail de resposta da empresa. Graças à tabela que organizei, consegui responder no final da tarde daquele dia.
As reações das empresas foram mistas. Quatro das seis informaram que a exclusão foi concluída. Dois deles também enviaram de onde receberam a lista, e ambos apontaram para a mesma empresa de corretagem. Uma empresa respondeu apenas que "foi fornecida legalmente por uma empresa afiliada". A última empresa não respondeu.
O fato de a mesma empresa de corretagem ter aparecido duas vezes foi incluído como material suplementar. Era uma evidência que mostrava a possibilidade de que várias empresas não tivessem obtido a lista individualmente, mas sim que ela se espalhou por meio de uma única fonte.
As mensagens diminuíram significativamente após cerca de seis semanas da denúncia. Não pararam completamente. As mensagens das empresas que atenderam ao pedido de suspensão do processamento foram as primeiras a parar, e a empresa que não respondeu permaneceu inalterada. Um pedido separado foi enviado àquela empresa.
Lembro-me do que ele disse na última conversa. Ele disse que as mensagens não desapareceram completamente, mas que agora é menos assustador saber o que fazer quando uma chega. Basta capturar a tela, anotar a data e enviar o pedido.
Os resultados dos procedimentos administrativos nem sempre são limpos. No entanto, a diferença entre saber o que aconteceu e saber o que se pode fazer a seguir e não saber é grande.
## 8. Recebeu um Aviso de Vazamento de Dados Pessoais
① Verifique primeiro se todos os itens obrigatórios estão presentes no aviso. Deve incluir os itens vazados, o momento e as circunstâncias, as medidas tomadas pelo responsável, o procedimento de reparação de danos e os canais de denúncia e consulta. Se algo estiver faltando, você pode solicitar que seja preenchido, e essa resposta será um material útil para o futuro.
② Distinga qual é o 'relatório' em questão. O relatório que o operador faz ao Comitê de Proteção, e o relatório que a vítima faz ao Centro de Denúncias de Violação de Dados Pessoais são procedimentos diferentes. Disputas financeiras, como indenizações, são da área de mediação de conflitos ou litígio.
③ Organize os fatos de dano em uma tabela, não em termos emocionais. Criar uma lista de números de telefone de origem, datas de recebimento e itens de informações pessoais contidos na mensagem transformará "é incômodo" em "vinte e seis mensagens de oito empresas diferentes durante quatro meses".
④ Inclua pedidos de visualização, exclusão e suspensão de processamento junto com o relatório. Apenas com o relatório, a lista já divulgada não para imediatamente. Escrever os três juntos cria uma base para interromper o envio durante o período de investigação.
⑤ Guarde as respostas, não as descarte. O fato de não ter respondido e o fato de não conseguir apresentar evidências também são documentos.
⑥ Mesmo que o estabelecimento tenha encerrado as atividades, a responsabilidade não desaparece. O princípio de que deve ser descartado sem demora após o cumprimento do propósito de processamento se aplica mesmo após o encerramento das atividades.
A aplicação dos procedimentos e os destinatários dos relatórios podem variar dependendo da escala ou dos itens do vazamento, e o julgamento da agência também pode variar de caso a caso. É necessário confirmar com a agência relevante antes de se candidatar.
Este artigo é baseado em casos de aconselhamento reais e foi reconstruído, e os personagens, nomes comerciais, nomes de lugares e números que aparecem não estão relacionados a indivíduos ou eventos específicos.
- --
Escritório de agente administrativo localizado em Songdo, Incheon (Posco Tower Songdo). Lida com processos administrativos, licenças/declarações, imigração/vistos para estrangeiros e gerenciamento administrativo regular. Para aqueles que receberam um aviso de vazamento de informações pessoais ou estão com dificuldades porque as mensagens de publicidade não param, preparamos juntos desde a verificação do conteúdo do aviso até a redação do formulário de relatório e a apresentação de pedidos de visualização, exclusão e suspensão do processamento. Sinta-se à vontade para perguntar se você estiver em uma situação semelhante.
📍 인천 연수구 컨벤시아대로 165, 포스코타워송도 2697호 📞 010-3374-2687 🌐 www.hwangadmin.com
#CasoVirtual #VazamentoDeInformaçõesPessoais #RelatórioDeVazamentoDeInformaçõesPessoais #CentroDeDenúnciasDeViolaçãoDePrivacidade #AvisoDeVazamento #PedidoDeSuspensãoDoProcessamento #PedidoDeExclusão #MensagensPublicitárias #LeiDeProteçãoDeInformaçõesPessoais #AgenteAdministrativoEmIncheon #AgenteAdministrativoEmSongdo