Jag är en administrativt ombud som har sitt kontor i Songdo, Yeonsu-gu, Incheon. Jag vill dela med mig av en händelse jag stötte på under mitt arbete.
## En händelse jag stötte på
Undersökarens tredje fråga var: Hur länge behåller ni utcheckningsloggar?
Klienten kunde inte svara. Det berodde på att de inte hade fastställt något. Och frågan hade inget att göra med den rapporterade informationen.
## Anmälan började i en annan historia
Först kom ett telefonsamtal. Rösten var snabb, och den första meningen var: "Jag har fått en anmälan om personuppgifter."
Han bokade en tid och kom dagen efter på eftermiddagen. Han var en man i mitten av trettioårsåldern och drev två bemannade studiekaféer dygnet runt i Yeonsu-gu, Incheon. Han har ett annat jobb på dagen och han hanterar butikerna på distans. Han har drivit verksamheten i tre år och har fortfarande ett bolån som ska betalas av till nästa vår.
Innehållet i anmälan var enkelt. En användare hävdade att hans in- och utcheckningstider hade vidarebefordrats till någon annan.
Det fanns privata omständigheter bakom detta. En bekant som hade bråkat med användaren kom till butiken och frågade när en viss person hade varit där, och en deltidsanställd som arbetade nattetid vid den tidpunkten hade gett en ungefärlig tidsram genom att titta på skärmen.
Klienten insåg inte detta förrän han fick kontakt angående anmälan. Den deltidsanställde hade redan slutat.
Detta är händelsen som anmäldes. Men den här händelsen är bara hälften av det som handlar om i den här artikeln.
Bemannade kaféer verkar inte ha något att göra med personuppgifter på grund av att det inte finns någon personal, men i själva verket är det tvärtom. Eftersom det inte finns någon personal ersätts allt med register. Det finns en registrering av vem som öppnade dörren när, vilken plats som användes hur länge och när betalningen gjordes. Saker som skulle ha gått förlorade i människors minne i en butik med fast personal, ackumuleras i en databas i en bemannad butik.
Och dessa register är oftast inte utformade direkt av ägaren. Det är standardinställningar som följde med när butikshanteringsprogrammet introducerades. Det är inte ovanligt att tre år har gått utan att någon har tittat på hur informationen lagras.
Det var så det var med honom. När jag frågade honom vid den första konsultationen vilken information han hade, var svaret: "Bara namn och telefonnummer." I själva verket var det mycket mer än så.
## Efter att ha skickat två svar på egen hand
Han hade redan agerat två gånger.
Första gången var att ringa till anmälningsmyndigheten. Personalen förklarade att det var vad de hade gjort och att han inte hade gett några instruktioner. Handläggaren informerade om att det fanns en procedur för att verifiera fakta och att de behövde förbereda material. En korrekt information.
Andra gången var att kontakta användaren direkt. Det var ett försök att be om ursäkt och reda ut missförstånd. Samtalet slutade inte bra.
Detta andra tillfälle är det som man måste vara mest försiktig med i praktiken. Att kontakta en part direkt i ett pågående ärende, även i god tro, lämnar utrymme för att det senare kan tolkas annorlunda. Särskilt om det finns någon antydan till att man ber om att anmälan återkallas, blir det i sig ett nytt problem.
Efter det samtalet tillbringade han några dagar med att inte veta vad han skulle göra, och då kom han till kontoret.
Det han oftast sa under den första konsultationen var "Det var personalens fel". Jag förstår hans känslor. Men ansvaret för hantering av personuppgifter ligger hos den verksamhet som behandlar den informationen. Även om det var personalens agerande, är det verksamhetens ansvar att ha gett dem befogenheter, inte utbildat dem eller inte kontrollerat dem.
Det tog trettio minuter att förklara den här strukturen. Jag tror att dessa trettio minuter bestämde riktningen för de kommande två månaderna. Det finns en skillnad i resultat mellan fall där man håller fast vid sin orättfärdighet och fall där man erkänner strukturen och rättar till den.
Och det gäller även praktiskt. I utredningsförfarandet accepteras påståendet "Det var personalens fel" sällan. Däremot granskas skriftliga dokument som visar att "det fanns ett bristande system och att det nu har åtgärdats" faktiskt.
## Delade upp två frågor
Det jag gjorde under den första konsultationen var att dela upp frågorna i två.
Första frågan. Hur ska den anmälda handlingen i sig bedömas?
Andra frågan. Oavsett den handlingen, hur kommer hela sättet som denna verksamhet hanterar personuppgifter att se ut under utredningsprocessen?
De flesta klienter tänker bara på den första. Men utredningen börjar med den första och går vidare till den andra. Den anmälda händelsen är bara nyckeln som öppnar dörren, och när dörren öppnas syns allt som finns inuti.
"Personuppgiftslagen" ålägger de som behandlar personuppgifter flera skyldigheter. Bland annat minimering av insamling i linje med behandlingsändamålet, fastställande och efterlevnad av bevaringsperioder, säkerhetsåtgärder, offentliggörande av behandlingsrutiner och tillsyn vid uppdrag. Dessa skyldigheter gäller inte bara vid utsläcksincidenter, utan tillämpas kontinuerligt i normala fall.
Därför inledde vi en arbetsplatskontroll parallellt med hanteringen av anmälan. Detta var den viktigaste bedömningen i detta fall.
Denna bedömning medför kostnader. Kontroller avslöjar problem som man inte kände till, och dessa problem måste åtgärdas. Om man inte gör något kan man låtsas som att dessa problem inte existerar, åtminstone fram till idag.
Därför är detta ett val som klienten måste göra. Jag förklarade vilka händelser som är mest sannolika i de två vägarna. Att bara svara på den anmälda frågan och gå vidare är enkelt just nu. Men om andra punkter bekräftas under utredningen, befinner man sig då i ett tillstånd där man "visste om det och ignorerade det".
Han tänkte i cirka tio minuter och bestämde sig för att genomföra en kontroll. Det var inte ett lätt beslut att fatta med tanke på att det fanns utestående lån för två butiker.
## Tre punkter som framkom vid granskningen
Jag sammanställde personuppgiftsbehandlingsstatusen för två butiker under tre dagar. Tre punkter identifierades.
För det första, det fanns ingen fastställd behållningsperiod. Utcheckningsloggar och betalningsrelaterad information hade förvarats oförändrade i tre år från och med öppningsdagen. Det handlade inte om att de inte hade raderats, utan att konceptet radering inte ens fanns. Programvaran för obemannad butikshantering hade som standardinställning obegränsad förvaring, och personen var inte medveten om att man kunde ändra den inställningen.
För det andra, personuppgiftsbehandlingspolicyn var inte publicerad. Det fanns en kryssruta i registreringsformuläret, men det fanns inga dokument som förklarade vad som samlades in, för vilka ändamål och hur länge. Eftersom det var en individuell start, utan franchise, fanns det ingen som informerade honom.
För det tredje, uppdragsförhållandena var inte tydliga. Städbolaget och fastighetsförvaltaren delade ett konto för butikshanteringsprogrammet. Det gjordes för bekvämlighetens skull, men det innebar att användarinformation kunde hämtas via det kontot.
Den tredje punkten var den tyngsta. Den anmälda händelsen var en engångshandling av en anställd, men detta var ett strukturellt problem.
Klienten blev tyst vid denna punkt. Jag sa till honom: "Det är bra att vi hittade detta nu." Det är en helt annan sak om en utredare hittar det jämfört med att vi hittar det, åtgärdar det och förklarar det.
Jag dokumenterar också granskningsmetoden. Det användes inga storslagna verktyg. Jag loggade in på butikshanteringsprogrammet och öppnade varje meny för att se vad som lagrades, vem som kunde se det och hur länge det fanns kvar, och noterade det i en tabell. Det fanns nitton poster totalt för de två butikerna.
Det tog en halv dag att skapa den här tabellen. Det är inte svårt. Det är bara att ingen gör det. Det finns ingen anledning att skapa den här tabellen förrän ett problem uppstår.
Det fanns en sak till som kom fram. En lista över deltagare som samlades in under en kampanj i början av verksamheten fanns kvar i en separat fil. De hade skrivit ner det på papper och överfört det till Excel, men det hade gått mer än två år sedan kampanjen avslutades. Att fortsätta att behålla information vars syfte är uppfyllt är ett problem i sig. Sådana filer brukar ligga någonstans i skrivbordsmappen och personen har glömt bort dem.
## Ordningen är bestämd
Den kvarvarande tiden var denna vecka fram till inlämningsdatumet. Jag delade upp vad som kunde och inte kunde göras inom den tiden.
Under den första veckan gjordes omedelbara åtgärder. Delade konton stängdes och företagsrelaterade konton separerades. Åtkomsträttigheter begränsades till nödvändiga områden. Hållbarheten för administrationsprogrammet kontrollerades och en period fastställdes, och en rutin för att ta bort föråldrade poster skapades.
Här gjorde vi en sak tillsammans. Att lämna en registrering av det aktuella tillståndet innan raderingen utfördes. Jag skapade en tabell som visade vad som fanns och vilka kriterier som användes för att ta bort vad. Om material raderas under en utredning måste själva handlingen förklaras senare. Det är viktigare att lämna skäl för raderingen än att radera.
Under den andra veckan gjordes dokumentationsarbete. Jag skrev och publicerade en integritetspolicy som överensstämde med den faktiska behandlingen. Ett vanligt misstag här är att kopiera andras integritetspolicy från internet. En integritetspolicy som inte överensstämmer med verkligheten är värre än ingen alls, eftersom det innebär att det som är nedskrivet inte stämmer överens med det som görs.
Därför anpassade jag varje mening till den faktiska verksamheten. De insamlade objekten var bara de som faktiskt mottogs, hållbarheten var den period som just fastställdes, och utkontrakteringen var företagsnamnen som nyligen organiserades.
Placeringen för publiceringen är också fastställd. Behandlingsriktlinjerna måste finnas på en plats där användaren kan hitta dem. I en obemannad butik visas både anmälnings-/betalningsskärmen och butiksanvisningarna. Om de bara finns på ena sidan, är det som att de inte syns alls.
Här fanns det också saker som inte kunde göras på grund av tidsbrist. Det var att skapa ordentliga utbildningsmaterial för personalen. I en struktur där deltidsanställda ofta byts ut, slutar inte utbildningen med en gång. Denna del noterades bara i planen, och det faktiska materialet skapades först efter att ärendet var avslutat.
Det är viktigt att inte skriva som om saker som inte gjorts, hade gjorts. Det som är nedskrivet i skrift blir ett senare verifieringsobjekt. Om man skrev att allt var klart inom den här veckan, blir det mycket mer besvärligt om man får en begäran om verifiering.
## Vad skrevs i yttrandet?
De fyra delarna av yttrandet som lämnades tillsammans med inlämnade dokument var:
För det första, fakta om den anmälda handlingen. När, vem och vad som gjordes, uppdelat i bekräftade och icke-bekräftade områden. Det erkändes att det var ett faktum att en deltidsanställd nämnde tidszonen medan de tittade på skärmen. Det noterades dock också att det inte kunde bekräftas att poster hade skrivits ut eller överförts.
Det är viktigt att inte förneka. Att bestrida bekräftade fakta minskar trovärdigheten i alla andra uttalanden.
För det andra, erkännande av brister i administrationssystemet. Det noterades direkt att det saknades utbildning och åtkomstkontroll, och att detta var orsaken till att detta kunde hända.
För det tredje, redan genomförda förbättringsåtgärder. Detta var kärnan i detta yttrande. Kontoåtgärder, behörighetsbegränsningar, inställning av behållningsperioder, utförande och registrering av radering, publicering av behandlingsriktlinjer. Varje punkt åtföljdes av datum för slutförande och verifieringsmetod.
För det fjärde, framtida planer. En kort beskrivning av kvartalsvisa behörighetskontroller och nya anställningsutbildningsförfaranden. Det skrevs inte långt. Att lista planer som inte kan uppfyllas är att så frön till framtida incidenter.
Även ordningen beaktades. Det skulle vara naturligt att placera fakta före förbättringsåtgärder, men i praktiken är det det tredje avsnittet som läsaren mest vill veta. Vilket skick är denna verksamhet i just nu? Därför lades en innehållsförteckning i början och innehållsförteckningen visade tydligt platsen för det tredje avsnittet.
Skriftliga dokument bör skapas i den ordning de läses. Skribentens logiska ordning och läsarens intresse är vanligtvis olika.
Yttrandet var åtta sidor långt, varav fem sidor var bevis för det tredje avsnittet.
När bevis skapades, beaktades tidpunkten. Skärmdumpar innehåller vanligtvis datum. Att placera åtgärder före och efter på samma skärm gör beskrivande meningar kortare. Man kan ersätta tre stycken text med två sidor.
Å andra sidan, undvek man också att lista punkter som inte hade påpekats i förväg för att förklara sig. Det kan verka noggrant, men i själva verket utökar man själv undersökningsomfånget. Svara på frågor, visa vad som har åtgärdats och stanna där är bättre.
## Ytterligare frågor inkom
Efter inlämningen av dokument kom ytterligare frågor efter ungefär tre veckor. Det var två stycken.
Den ena var om det fanns en klausul i avtalet med uppdragsgivaren som rörde hantering av personuppgifter. Det fanns det inte. Det berodde på att det var närmare ett muntligt avtal. Vi svarade att det inte fanns, och bifogade en kopia av det nyligen upprättade avtalet tillsammans med vårt svar.
Den andra var om omfattningen av de förstörda materialen. Att denna fråga kom fick mig att återigen bekräfta värdet av den tidigare upprättade förteckningen över förstörda dokument. Vad, när och enligt vilka kriterier som raderats fanns i ett enda dokument, så svaret blev att bifoga den listan och avsluta med en tvåraders förklaring.
Om det hade raderats utan registrering hade denna enda fråga krävt ytterligare flera veckor. Och även svarets trovärdighet hade varit annorlunda.
I administrativa förfaranden är det oftast de register som verkade onödiga vid den tidpunkten som visar sig vara till hjälp senare.
## Den här händelsen var inte en 'rapportering av dataintrång'
Under själva konsultationen var klienten orolig för en sak. Frågan var om händelsen var densamma som de storskaliga dataintrång som de hade sett i nyheterna.
Här behövde vi skilja på två saker.
Den ena är anmälan om kränkning av personuppgifter. Det är en väg för den registrerade att anmäla att deras personuppgifter har behandlats olämpligt. Den här händelsen faller under detta.
Den andra är skyldigheten att meddela och anmäla dataintrång. Det är en procedur där en verksamhet som fått reda på att personuppgifter har läckt ut måste informera den registrerade och anmäla till relevanta myndigheter om de uppfyller kraven. Denna skyldighet har en tidsfrist, och att inte uppfylla kraven i sig är ett separat problem.
De två procedurerna har olika utgångspunkter. I den första är den som rapporterar informationsinnehavaren, och i den andra är den som rapporterar företagsägaren.
Detta fall var problematiskt eftersom det gällde en muntlig hänvisning till en specifik användares tidsintervall, vilket skiljde sig från de fall där skyldigheten att meddela och rapportera en dataintrång omedelbart aktiveras. Vi dokumenterade dock kortfattat vår bedömning skriftligen. Det är skillnad på att notera anledningen till varför något inte omfattas och att inte nämna det alls. Det förbereder svaret om man senare blir frågad om detta.
Det är också den punkt där företag oftast förväxlar saker i praktiken. Villkoren och tidsfristerna tillämpas olika beroende på omständigheterna, så om du misstänker en dataintrång bör du kontrollera snarare än att skjuta upp bedömningen.
## Gränsen som inte överskreds
Vi dokumenterar tydligt även vad vi inte gjorde i det här fallet.
Vi hade ingen kontakt med den anmälande personen. Det fanns en begäran om att förmedla en ursäkt, men jag rådde dem att om det behövdes, göra det skriftligen och inom ramen för utredningsprocessen, vilket är säkrare. I slutändan avslutades det utan ytterligare kontakt.
Det vi gjorde var att skapa material och skriftliga dokument för inlämning till förvaltningsmyndigheten och att sammanfatta verksamhetens förhållanden i enlighet med kraven.
## En Komedi med Två Koppar Kaffe
Det var en liten incident i den här affären.
När vi hade slutfört förbättringsåtgärderna kom klienten till kontoret med två koppar kaffe. De var i sådana där återanvändbara muggar som används på kaféer, och de såg exakt likadana ut. Den ena hade socker i, och den andra inte, och klienten själv var osäker på vilken var vilken.
Till slut smakade de båda en klunk av varje och bytte muggar. Det var det beslut som tog längst tid på kontoret den dagen.
Han berättade att han hade ställt in en kvartalsvis inspektionspåminnelse i butikshanteringsskärmen. Han sa att det tog fem minuter att titta på behörighetslistan och gå vidare när påminnelsen dök upp.
Han ger den nya deltidsanställda på den andra butiken ett A4-ark första dagen. Det innehåller bara två punkter: att ingen ska få veta användarinformation, och att de ska kontakta ägaren direkt om de får en sådan förfrågan. Han förklarade att ingen skulle läsa det om det var för långt.
Praktiska regler som håller länge i verkligheten ser oftast ut så här. De är inte perfekta, men de är korta, och de är korta för att de följs.
## Resultat
Den totala tidsperioden var ungefär två månader. Från konsultation till inlämning av material tog det en vecka, följt av två veckor för verifiering och ytterligare frågor och svar, och ytterligare tre veckor för avslutningen.
Resultatet var en rekommendation om åtgärder. Brister på arbetsplatsen påpekades, och det bekräftades också att vissa åtgärder redan hade vidtagits. De specifika åtgärderna varierar från fall till fall och beror på individuella omständigheter, så de anges inte här.
Men en sak är värd att notera. De punkter som bekräftades i det sista steget överlappade i stort sett med de punkter som vi hade identifierat och åtgärdat i förväg. Med andra ord fanns det nästan inga nya upptäckter i utredningen. Det är därför vi hade bifogat ett andra frågeformulär.
Om vi inte hade genomfört den granskningen, skulle samma punkter ha dykt upp som en påpekning från den andra parten, istället för i vårt skriftliga dokument. Samma fakta behandlas olika beroende på vem som tog upp dem först.
Det som faktiskt återstår för klienten är två saker. Den ena är att ärendet är avslutat, och den andra är att personuppgifter som hade samlats under tre år utan några riktlinjer nu har fått riktlinjer.
Den andra är viktigare. Det ursprungliga anmälningsärendet var en engångshändelse utförd av en enda anställd och hade sannolikt inte upprepats i sig. Däremot kommer strukturella problem att oundvikligen dyka upp igen om de lämnas obehandlade. Då kommer de att vara tyngre.
Att ta emot en anmälan ledde i slutändan till att arbetsplatsen organiserades. Jag skulle inte rekommendera den här ordningen. Men om man redan har hamnat i den här ordningen, är det bästa man kan göra väl definierat.
Jag noterar också kostnaderna. Det var det som han frågade om sist. De faktiska kostnaderna i detta ärende var de ökade avgifterna för administrationsprogrammet när vi separerade konton och den tid det tog att skriva om ett avtal med ett uppdragstagande företag. Beloppet är inte stort.
Det som faktiskt var dyrt var de tre åren innan dess. Samma data, samlade utan någon form av struktur, ser ut att inte kosta något i sig, men när problem uppstår debiteras de på en gång. Och då har man färre alternativ.
Den mest kostnadseffektiva tidpunkten för administrativa ärenden är oftast när ingenting har hänt.
Efter två månader kom ett ytligt kommentar. Han sa att han först trodde att detta skulle leda till att butiken stängdes. Det blev inte så, men de dagarnas oro var av ett slag som inte kan försvinna.
Administrativa processer sliter på människor mer på grund av tiden däremellan än på grund av resultatet. Jag tror att att minska den tiden är lika praktiskt som att förändra resultatet.
## Några saker att tänka på
Om du befinner dig i en sådan situation, följ denna ordning.
① Kontakta inte den anmälde direkt. Även välmenande kontakter kan tolkas annorlunda i pågående förfaranden. Om du har något att förmedla är det säkrare att göra det skriftligen inom förfarandet.
② Titta inte bara på den anmälda händelsen. Utredningen börjar med den anmälda händelsen men utvidgas till en översikt över hela hanteringen. Det gör skillnad om du kontrollerar själv innan du blir påmind.
③ Kontrollera först behållningsperioden och åtkomsträtten. Dessa är de två vanligaste sakerna i obemannade butiker eller småföretag. Standardinställningen i administrationsprogram är ofta obegränsad lagring.
④ Dokumentera statusen innan du raderar data. Själva raderingen är mindre viktig än grunden och tidpunkten för raderingen. Detta gäller särskilt om det pågår en utredning.
⑤ Kopiera inte andras rutiner. Rutiner som avviker från verkligheten kan vara ogynnsamma, snarare än att vara bättre än ingenting. Samla in information, behållningsperiod, utkontrakterat företag – jämför varje rad med vad du faktiskt gör just nu.
⑥ Dela inte konton med utkontrakterade företag. Det är vanligt att använda ett enda konto för bekvämlighetens skull, men det blir svårt att avgöra vem som tittat på vad. Dela konton per företag och begränsa åtkomsträtten till det nödvändiga.
⑦ Skriv bara ner det du faktiskt har gjort i skrift. Om du skiljer mellan planerat och slutfört, undviker du problem om du senare får en begäran om verifiering.
Krav och procedurer för rapportering och utredning av personuppgifter varierar från fall till fall, och tillämpligheten av skyldigheten att meddela och rapportera läckor beror också på situationen. Enskild verifiering är nödvändig.
Detta exempel är en fiktiv berättelse som har rekonstruerats för att underlätta förståelsen, och de personer, namn, platser och siffror som nämns har ingenting att göra med specifika individer eller händelser.
- --
Ett administrativt ombudskontor beläget i Incheon Songdo (POSCO Tower Songdo). Hanterar förvaltningsbeslut, tillstånd/anmälningar, utländsk in- och utvandring (visum/uppehållstillstånd) och regelbunden förvaltningsövervakning. När det gäller rapportering av personuppgifter är det ofta verksamhetens normala hantering som avgör resultatet, snarare än den rapporterade händelsen. Om du har en liknande situation, tveka inte att kontakta oss.
📍 Incheon Yeonsu-gu, Convensea-ro 165, POSCO Tower Songdo 2697 📞 010-3374-2687 🌐 www.hwangadmin.com
Tveka inte att kontakta oss om du har en liknande situation.
※ För att underlätta förståelsen är detta ett omstrukturerat, hypotetiskt exempel.
#Anmälan om Brott mot Integriteten #Integritetsskyddslagen #Integritetspolicy #Behållningsperiod #Åtkomstbehörighet #Bemanninglös Butik #Administrativt Ombud #Incheon Administrativt Ombud #Songdo Administrativt Ombud