Ủy ban Bảo vệ Thông tin Cá nhân Hàn Quốc (PIPC) đã xử phạt 8 doanh nghiệp MVNO sau khi phát hiện hàng loạt vi phạm Luật Bảo vệ thông tin cá nhân, trong đó có hành vi thu thập trái phép số định danh cá nhân, lưu dữ liệu nhạy cảm dưới dạng không mã hóa và không tuân thủ quy định về lưu trữ hồ sơ.

Ngày 12/11, PIPC cho biết tại phiên họp toàn thể lần thứ 22 diễn ra vào ngày 11/11, cơ quan này đã thông qua quyết định phạt tiền 60,9 triệu won và phạt hành chính 110,4 triệu won đối với 8 doanh nghiệp MVNO, đồng thời ban hành lệnh khắc phục và yêu cầu công bố thông tin vi phạm.

Các đơn vị bị xử phạt gồm KT M Mobile, MediaLog, S1, LG HelloVision, SK Telink, Unicoms, KB Kookmin Bank và KT SkyLife.

Theo PIPC, đợt kiểm tra được triển khai trong bối cảnh xuất hiện lo ngại rằng các doanh nghiệp MVNO chủ yếu tập trung cạnh tranh để mở rộng thuê bao nhưng chưa dành sự quan tâm tương xứng cho việc bảo vệ dữ liệu cá nhân. Cơ quan này đã rà soát toàn bộ quy trình xử lý dữ liệu, từ đăng ký, kích hoạt, sử dụng dịch vụ đến chấm dứt thuê bao.

Kết quả kiểm tra cho thấy một số doanh nghiệp đã thu thập số định danh cá nhân khi không có căn cứ pháp lý. Cụ thể, KT M Mobile và Unicoms thu thập thông tin này trong quá trình bán USIM trên website. MediaLog cũng bị xác định thu thập số định danh cá nhân trong quy trình đăng ký và kích hoạt trực tuyến khi xử lý yêu cầu chuyển người thanh toán cước sang bên thứ ba không phải chủ thuê bao.

Với các vi phạm trên, PIPC phạt tiền 13,7 triệu won đối với KT M Mobile và 47,2 triệu won đối với MediaLog. Riêng Unicoms không bị áp dụng khoản phạt tiền theo kết quả tính mức xử phạt, nhưng vẫn bị phạt hành chính 3,9 triệu won.

Cơ quan quản lý cũng ghi nhận nhiều trường hợp không mã hóa dữ liệu cá nhân quan trọng. SK Telink, LG HelloVision, KT M Mobile và MediaLog bị phát hiện lưu số định danh cá nhân, số thẻ tín dụng, số tài khoản và các dữ liệu tương tự dưới dạng văn bản thuần, không áp dụng mã hóa.

Ngoài ra, KT SkyLife và Unicoms không lưu hồ sơ quản lý quyền truy cập của người vận hành hệ thống xử lý dữ liệu cá nhân trong thời hạn bắt buộc 3 năm. LG HelloVision cũng bị xác định không thực hiện đầy đủ nghĩa vụ quản lý nhật ký truy cập vào hệ thống xử lý dữ liệu cá nhân.

PIPC cho biết đã áp dụng các biện pháp xử phạt hành chính đi kèm lệnh khắc phục và công bố vi phạm nhằm ngăn nguy cơ tái diễn.

Một nội dung khác được cơ quan này yêu cầu cải thiện là thời hạn lưu hồ sơ đăng ký chưa hoàn tất. Theo PIPC, các doanh nghiệp hiện lưu các hồ sơ đăng ký bị hủy, không thể xử lý hoặc tạm hoãn theo nhiều mốc thời gian khác nhau, từ tối thiểu 5 ngày đến tối đa một năm. Cơ quan quản lý yêu cầu xây dựng tiêu chí nội bộ để xác định thời gian lưu dữ liệu ở mức tối thiểu cần thiết.

PIPC cũng khuyến nghị rà soát quy trình đối với các doanh nghiệp cho phép đăng ký trực tuyến nhưng chỉ hỗ trợ hủy dịch vụ thông qua đại lý hoặc tổng đài có nhân viên tư vấn.

Theo số liệu của Bộ Khoa học và Công nghệ Thông tin và Truyền thông Hàn Quốc, tính đến tháng 8 năm nay, số thuê bao MVNO đã đạt khoảng 10,5 triệu, tương đương gần 18% tổng số thuê bao di động tại nước này. PIPC cảnh báo quy trình đăng ký và kích hoạt dịch vụ MVNO xử lý nhiều dữ liệu nhạy cảm như số định danh cá nhân và thông tin thanh toán, nên nếu bị rò rỉ có thể làm phát sinh các rủi ro như giả mạo danh tính.