📌 > - Thông báo vi phạm phải có các mục được quy định trong luật. Nếu thiếu những gì, khi nào và số lượng rò rỉ, cùng với kênh tiếp nhận thông báo, có thể yêu cầu bổ sung ngay từ đầu. > - "Báo cáo" có hai loại. Báo cáo của chủ doanh nghiệp gửi cho Ủy ban Bảo vệ (hoặc cơ quan tương tự) và báo cáo của nạn nhân gửi cho Trung tâm Báo cáo Vi phạm Thông tin Cá nhân là hai quy trình khác nhau. > - Đừng chỉ báo cáo rồi thôi. Cần thêm yêu cầu xóa và yêu cầu tạm dừng xử lý để tin nhắn thực sự dừng lại.
Mục lục 1. Câu hỏi bắt đầu từ một tin nhắn 2. Ba điều thiếu trong thông báo 3. Phân biệt hai loại "báo cáo" 4. Danh sách đã đi đâu? 5. Chọn những gì cần ghi vào đơn báo cáo 6. Lý do kết hợp xóa và tạm dừng xử lý 7. Thư trả lời đến sau 4 tuần 8. Nếu nhận được thông báo vi phạm thông tin cá nhân
Tôi là đại lý hành chính (haengjeongsa) có văn phòng tại Songdo, Yeonsu-gu, Incheon. Tôi xin giới thiệu một trường hợp mà tôi đã gặp phải trong quá trình làm việc.
Trước đây vài năm, các yêu cầu liên quan đến thông tin cá nhân chủ yếu đến từ phía các doanh nghiệp. Bây giờ thì ngược lại. Ngày càng có nhiều người bị ảnh hưởng hỏi “Tôi phải báo cáo ở đâu và như thế nào”. Điều này chịu ảnh hưởng từ sự thay đổi của hệ thống, nhưng nguyên nhân chính là do mọi người bắt đầu nhận thức được thông tin cá nhân của họ đang lan truyền đến mức nào.
Vụ việc này cũng bắt đầu như vậy. Một tin nhắn quảng cáo.
1. Câu hỏi bắt đầu từ một tin nhắn Người ủy thác là một phụ nữ ở độ tuổi 30, có hai con đang đi học tiểu học. Lần liên hệ đầu tiên là qua email, kèm theo bốn ảnh chụp màn hình.
Trong số bốn ảnh chụp màn hình, ba là tin nhắn quảng cáo. Các tài liệu học tập, trại hè tiếng Anh và một học viện mà cô ấy chưa từng nghe đến, đều gửi thông báo về hội thảo. Tất cả ba tin nhắn đều viết chính xác tên của con cô ấy. Không phải "Mẹ của ○○" mà là "Mẹ của ○○i, chương trình lớp 3". Ngay cả năm học cũng khớp.
Ảnh chụp màn hình còn lại là vấn đề. Đó là ảnh thông báo gửi bởi một trung tâm dạy kèm ở khu phố đã đóng cửa được bốn tháng. Dưới hai đoạn văn thông báo ngừng hoạt động, có một dòng được thêm vào. Đó là nội dung thông báo rằng có dấu hiệu thông tin thành viên đã bị rò rỉ ra bên ngoài.
Chỉ có một dòng đó.
Cô ấy nói rằng khi đó cô ấy không quá quan tâm đến thông báo đó. Cô ấy chú ý đến việc trung tâm dạy kèm đóng cửa, và dòng dưới cùng có vẻ như một cụm từ mang tính hình thức. Nhưng sau khoảng hai tháng, tin nhắn bắt đầu đến. Ban đầu là một hoặc hai tin nhắn mỗi tháng, nhưng gần đây là khoảng bốn tin nhắn mỗi tuần.
Cô ấy cũng đã tự mình thử. Cô ấy gọi đến số điện thoại được in trên tin nhắn và hỏi số điện thoại đó từ đâu mà có. Nhân viên tư vấn chỉ trả lời rằng "nhận được danh sách từ đối tác liên kết" và không cho biết đối tác liên kết nào. Cô ấy đã tắt chặn số, nhưng tin nhắn lại đến từ một số khác. Trong lúc đó, số lượng tin nhắn có tên con gái cô ấy lại tăng lên.
Câu cô ấy viết ở cuối email là: "Tôi không quan tâm việc số của tôi bị rò rỉ, nhưng tôi sợ tên và năm học của con tôi cứ tiếp tục lan truyền."
2. Ba điều thiếu trong thông báo Buổi hẹn tư vấn được đặt vào chiều thứ Sáu tuần đó. Trước đó, tôi đã xem xét thông báo.
「Luật Bảo vệ Thông tin Cá nhân」 quy định rằng người xử lý thông tin cá nhân phải thông báo cho chủ thể thông tin khi có vi phạm thông tin cá nhân. Và luật cũng quy định các mục cần có trong thông báo đó. Các mục bao gồm: thông tin đã bị rò rỉ, thời điểm và nguyên nhân rò rỉ, cách thức để chủ thể thông tin có thể thực hiện các biện pháp giảm thiểu thiệt hại, biện pháp ứng phó của người xử lý và thủ tục bồi thường thiệt hại, cũng như thông tin liên hệ của bộ phận và nhân viên có thể báo cáo hoặc tư vấn về thiệt hại.
Trong thông báo mà người đó nhận được, thiếu ba mục. Không rõ điều gì đã bị rò rỉ, rò rỉ khi nào và như thế nào, và cần báo cáo ở đâu.
Lý do kiểm tra điều này là vì nó là điểm khởi đầu cho tất cả các tài liệu sẽ được sử dụng trong tương lai. Nội dung báo cáo sẽ khác nhau tùy thuộc vào việc thông tin bị rò rỉ chỉ là tên và số điện thoại hay bao gồm cả địa chỉ và trường học. Nếu không biết thời điểm rò rỉ, không thể kết nối với các tin nhắn đã nhận sau đó.
Vì vậy, tài liệu đầu tiên không phải là đơn báo cáo mà là yêu cầu bổ sung thông báo. Đó là một tài liệu ngắn gọn và mang tính hành chính, yêu cầu điền đầy đủ các mục đã quy định trong luật. Nó bao gồm các điều khoản pháp lý, liệt kê các mục bị thiếu bằng số và chỉ định thời hạn phản hồi.
Có một lý do thực tế để gửi tài liệu này đầu tiên. Nếu doanh nghiệp phản hồi, nguyên nhân rò rỉ sẽ được ghi lại theo lời họ. Nếu không phản hồi, sự thật đó sẽ được ghi lại. Bất kỳ cách nào cũng có thể được sử dụng cho bước tiếp theo.
3. Phân biệt hai loại 'thông báo' Trong buổi tư vấn vào buổi sáng thứ Sáu, điều đầu tiên tôi làm rõ là từ "thông báo".
Những thông tin mà người đó tìm trên internet bị lẫn lộn. Một số bài viết nói phải báo cáo lên Ủy ban Bảo vệ Thông tin Cá nhân, một số bài viết lại nói phải đến Trung tâm Báo cáo Vi phạm Thông tin Cá nhân. Một số bài viết khác lại nói phải nộp đơn hòa giải tranh chấp. Người đó bối rối không biết ba thứ này có giống nhau hay khác nhau.
Đó là những thủ tục khác nhau. Nếu sắp xếp theo thứ tự, sẽ là như sau.
- Thông báo của doanh nghiệp: Trong trường hợp rò rỉ dữ liệu vượt quá một quy mô nhất định hoặc chứa thông tin cá nhân nhạy cảm, thông tin nhận dạng duy nhất, thì doanh nghiệp có nghĩa vụ báo cáo lên Ủy ban Bảo vệ Thông tin Cá nhân hoặc một tổ chức chuyên môn. Đây là nghĩa vụ của doanh nghiệp, không phải là thủ tục mà nạn nhân thực hiện.
- Thông báo của nạn nhân: Nếu nạn nhân cho rằng quyền lợi hoặc lợi ích liên quan đến thông tin cá nhân của mình bị xâm phạm, họ có thể báo cáo lên Trung tâm Báo cáo Vi phạm Thông tin Cá nhân. Các trường hợp được tiếp nhận sẽ được điều tra, đưa ra khuyến nghị khắc phục và, nếu cần thiết, xử lý.
- Hòa giải tranh chấp: Đây là thủ tục điều chỉnh tranh chấp giữa các bên, ví dụ như bồi thường thiệt hại. Đối phương là một "người" là doanh nghiệp và tranh chấp xoay quanh vấn đề tiền bạc thì sẽ rơi vào lĩnh vực này.
Việc soạn thảo và nộp các mẫu báo cáo, đơn khiếu nại lên cơ quan hành chính là công việc của chúng tôi. Vụ việc này nhằm mục đích dừng gửi văn bản và xóa danh sách, nên thuộc trường hợp đầu tiên.
Tôi hỏi lại mục đích của người đó. Câu trả lời rất rõ ràng. Người đó không muốn nhận tiền, mà chỉ muốn danh sách mang tên con mình bị xóa bỏ.
Mục đích rõ ràng thì giấy tờ cũng rõ ràng.
4. Danh sách đã chuyển đi như thế nào Vào sáng Thứ Ba tuần kế tiếp, doanh nghiệp đã phản hồi. Nhanh hơn dự kiến.
Đó là một email ngắn được gửi bởi người từng phụ trách điều hành học viện trong quá trình giải thể. Nội dung là: trong quá trình dọn dẹp giải thể, tài khoản được sử dụng để quản lý học viên đã được giữ nguyên, và có tình trạng nhân viên cũ có quyền truy cập vào tài khoản đó đã tải xuống danh sách và chuyển cho người khác. Các mục đã bị rò rỉ là tên học sinh, lớp, tên người giám hộ, số điện thoại của người giám hộ. Thời điểm ước tính là trong vòng hai tuần trước khi giải thể.
Một điều khiến tôi băn khoăn. Bất kể giải thể, thông tin cá nhân phải được hủy bỏ kịp thời sau khi hết thời gian lưu giữ hoặc khi mục đích xử lý đạt được. Nếu học viện đóng cửa, về nguyên tắc thì không nên giữ thông tin học viên nữa. Nhưng danh sách vẫn còn trong chương trình.
Nghĩa là vụ việc này có hai khía cạnh. Một là việc người không có thẩm quyền đã lấy danh sách, và hai là vấn đề quản lý thông tin mà lẽ ra phải hủy bỏ. Chúng tôi quyết định chia thành hai mục riêng biệt trong báo cáo. Nếu viết chung một chỗ, nó sẽ chỉ được đọc là "sự cố nhân viên bí mật lấy đi", và doanh nghiệp sẽ có cơ hội tranh cãi trách nhiệm quản lý một cách dễ dàng hơn.
Và chính email phản hồi này đã trở thành một tài liệu quan trọng. Nó ghi lại bằng lời của doanh nghiệp về quy trình rò rỉ, các mục và thời điểm. Đó là lý do tại sao tôi gửi yêu cầu bổ sung thông báo trước.
5. Chọn những gì để ghi vào báo cáo Phần tốn nhiều thời gian nhất trong việc soạn thảo báo cáo không phải là chỉnh sửa câu văn, mà là chọn những gì cần bỏ đi.
Người đó có rất nhiều điều muốn nói. Người đó cảm thấy những văn bản đó phiền toái đến mức nào, thất vọng về học viện như thế nào, và con mình đã nói gì khi nhìn thấy văn bản có tên mình. Tất cả đều là sự thật, nhưng nếu đưa tất cả vào báo cáo thì bức tranh tổng thể sẽ bị mờ. Những gì các bên điều tra cần quan tâm không phải là cảm xúc, mà là sự thật và các điểm vi phạm.
Vì vậy, tôi đã chia thành ba nhóm.
Thứ nhất, điều gì, khi nào và như thế nào mà dữ liệu bị rò rỉ. Tôi đã sao chép chính xác các mục, thời điểm và quy trình được đề cập trong email phản hồi của doanh nghiệp và đính kèm email đó làm tài liệu.
Thứ hai, những nghĩa vụ nào không được tuân thủ. Tôi đã ghi riêng việc thiếu thông báo rò rỉ các mục bắt buộc theo quy định, việc thông tin không được hủy bỏ sau khi giải thể và việc không thực hiện quản lý quyền truy cập. Mỗi mục chỉ cần hai hoặc ba dòng là đủ.
Thứ ba, kết quả rò rỉ có biểu hiện ra không. Đây là phần có sức mạnh nhất trong vụ việc này. Việc quảng cáo có tên và lớp của con xuất hiện từ nhiều công ty khác nhau cho thấy danh sách không chỉ lan truyền đến một nơi mà còn lan truyền đến nhiều nơi. Tôi đã tạo một bảng với số điện thoại và ngày nhận văn bản để thể hiện những văn bản mà người đó đã nhận được. Có đến hai mươi sáu văn bản trong tám tháng.
Ngay khi tạo bảng, tính chất của nó đã thay đổi. "Văn bản liên tục đến" trở thành "hai mươi sáu văn bản từ tám công ty khác nhau trong tám tháng".
Lúc này, người đó đã gây ra một chút xáo trộn nhỏ. Trong quá trình sắp xếp tài liệu, người đó đã vô tình xóa ba văn bản. Khi điện thoại đến, giọng nói của người đó trở nên căng thẳng. May mắn thay, nó vẫn còn trong chức năng lưu trữ văn bản của nhà mạng, nên đã khôi phục lại được. Sau đó, người đó chụp ảnh màn hình mỗi khi nhận được văn bản mới và lưu trữ riêng.
6. Lý do kết hợp yêu cầu xóa và tạm dừng xử lý Chỉ gửi đơn thôi đã khiến tin nhắn dừng lại sao? Không phải vậy.
Đơn báo cáo dẫn đến điều tra và khắc phục nhưng cần thời gian. Trong lúc đó, danh sách vẫn còn trong hệ thống gửi của các công ty. Vì vậy, bên cạnh báo cáo, chúng tôi quyết định đồng thời gửi hai yêu cầu tới các công ty gửi tin nhắn.
“Luật Bảo vệ Thông tin cá nhân” trao cho chủ thể thông tin quyền yêu cầu xem xét, chỉnh sửa, xóa và tạm dừng xử lý thông tin cá nhân của họ. Quyền này có thể sử dụng không chỉ đối với nơi đã cung cấp thông tin ban đầu mà còn đối với nơi hiện đang có và xử lý thông tin đó.
- Yêu cầu xem xét: Xác định công ty nào đang có thông tin của bạn với mục đích gì và từ đâu nhận được.
- Yêu cầu xóa: Yêu cầu xóa nếu không có căn cứ lưu giữ.
- Yêu cầu tạm dừng xử lý: Yêu cầu tạm dừng các hành vi như gửi quảng cáo ngay cả trước khi xóa.
Lý do chúng tôi sắp xếp thứ tự như vậy là vì nếu chỉ yêu cầu xóa, công ty có thể kéo dài thời gian bằng cách nói “đang xác minh” trong khi tin nhắn vẫn tiếp tục đến. Việc thêm yêu cầu tạm dừng xử lý tạo ra cơ sở để dừng gửi trong thời gian đó. Đặt yêu cầu xem xét lên trước khiến công ty phải trả lời từ đâu nhận được danh sách, và câu trả lời đó trở thành manh mối để theo dõi đường dây phân phối.
Chúng tôi đã gửi thư yêu cầu có cùng mẫu đến sáu trong số tám công ty có số điện thoại phát báo hiệu được xác định. Nội dung giống nhau, chỉ khác tên công ty và lịch sử nhận tin nhắn. Đối với hai công ty còn lại, số điện thoại phát báo hiệu là số đại lý phát hành trên internet, nên khó xác định chủ doanh nghiệp, và sự thật này được ghi lại trong đơn báo cáo.
Chúng tôi cũng thông báo thêm một điều. Các yêu cầu này có thời hạn trả lời, và nếu không phản hồi hoặc từ chối thì phải nêu rõ lý do. Vì vậy, hãy giữ lại các phản hồi thay vì vứt bỏ chúng. Nếu có nơi không phản hồi, chính điều đó đã trở thành tài liệu cho lần sau.
7. Phản hồi đến sau tám tuần Liên hệ đầu tiên sau khi nhận đơn báo cáo là một câu hỏi để xác minh sự thật. Chúng tôi được yêu cầu cung cấp lại thời gian và số lượng tin nhắn nhận được, cũng như bản gốc email phản hồi của doanh nghiệp. Nhờ sắp xếp thành bảng, chúng tôi có thể phản hồi vào chiều hôm đó.
Phản hồi từ phía công ty khác nhau. Bốn trong số sáu công ty thông báo đã hoàn thành việc xóa. Trong số đó, hai công ty cũng cung cấp nơi nhận được danh sách, cả hai đều chỉ đến một trung gian cùng tên. Một công ty chỉ trả lời “đã nhận hợp pháp từ đối tác liên kết”. Công ty cuối cùng không phản hồi.
Việc cùng một trung gian xuất hiện hai lần đã được đưa vào tài liệu bổ sung. Điều này cho thấy khả năng danh sách đã lan truyền qua một nguồn duy nhất, thay vì mỗi nơi tự tìm kiếm.
Tin nhắn giảm đáng kể sau sáu tuần kể từ khi báo cáo. Không phải là đã ngừng hoàn toàn. Tin nhắn từ các công ty đã phản hồi yêu cầu tạm dừng xử lý đã dừng lại, còn nơi không phản hồi thì vẫn tiếp tục. Một thư yêu cầu khác đã được gửi riêng đến nơi đó.
Câu nói của người đó trong cuộc gọi cuối cùng khiến tôi nhớ ra. Họ nói rằng tin nhắn chưa biến mất hoàn toàn, nhưng giờ họ bớt sợ hãi hơn vì biết phải làm gì khi nhận được một tin nhắn. Họ nói rằng chỉ cần chụp ảnh màn hình, ghi lại ngày tháng và gửi thư yêu cầu.
Quy trình hành chính không phải lúc nào cũng hoàn chỉnh. Tuy nhiên, sự khác biệt giữa việc biết điều gì đã xảy ra và biết phải làm gì tiếp theo là rất lớn.
8. Nếu bạn nhận được thông báo rò rỉ thông tin cá nhân ① Đầu tiên, hãy kiểm tra xem thông báo có đầy đủ các mục bắt buộc theo luật không. Nó phải bao gồm các mục thông tin bị rò rỉ, thời điểm và hoàn cảnh, biện pháp khắc phục của người xử lý, thủ tục bồi thường thiệt hại, và các kênh báo cáo và tư vấn. Nếu thiếu, bạn có thể yêu cầu bổ sung, và phản hồi đó sẽ trở thành tài liệu cho lần sau.
② Phân biệt “báo cáo” là báo cáo nào. Báo cáo của doanh nghiệp lên Ủy ban Bảo vệ hoặc báo cáo của nạn nhân lên Trung tâm báo cáo vi phạm thông tin cá nhân là hai quy trình khác nhau. Các tranh chấp về bồi thường thiệt hại thuộc về lĩnh vực hòa giải hoặc kiện tụng.
③ Sắp xếp các sự thật về thiệt hại thành bảng, không phải là cảm xúc. Tạo một danh sách các số điện thoại phát báo hiệu, ngày nhận tin nhắn và các mục thông tin cá nhân có trong tin nhắn sẽ biến “khó chịu” thành “nhận được 26 tin nhắn từ tám công ty trong bốn tháng”.
④ Cùng với báo cáo, hãy gửi yêu cầu xem xét, xóa và tạm dừng xử lý. Chỉ báo cáo thôi chưa đủ để ngăn chặn danh sách đã lan truyền. Ba yêu cầu này cùng nhau tạo ra cơ sở để dừng gửi trong thời gian điều tra.
⑤ Đừng vứt bỏ phản hồi. Hãy thu thập chúng. Sự thật là không phản hồi, sự thật là không thể nêu rõ lý do cũng là tài liệu.
⑥ Ngay cả khi doanh nghiệp đã ngừng hoạt động, trách nhiệm vẫn không biến mất. Nguyên tắc phải tiêu hủy kịp thời khi mục đích xử lý kết thúc vẫn được áp dụng ngay cả sau khi ngừng hoạt động.
Các thủ tục và đối tượng báo cáo có thể khác nhau tùy thuộc vào quy mô và mục thông tin bị rò rỉ, và đánh giá của các cơ quan cũng có thể khác nhau tùy theo từng trường hợp. Cần xác minh với cơ quan liên quan trước khi nộp đơn.
Bài viết này được tái cấu trúc dựa trên các trường hợp tư vấn thực tế, và các nhân vật, tên công ty, địa điểm và số liệu xuất hiện không liên quan đến bất kỳ cá nhân hoặc sự kiện cụ thể nào.
