Các công ty vẫn tuân thủ mức bảo hiểm vi phạm dữ liệu tối thiểu mặc dù có những vụ rò rỉ dữ liệu lớn

Việc thực thi lỏng lẻo khiến tỷ lệ tham gia chính sách bắt buộc giảm xuống còn 8%

Một loạt vụ tấn công mạng gần đây nhằm vào các công ty lớn như Coupang và SK Telecom đã khiến Hàn Quốc phải xem xét lại mức bảo hiểm trách nhiệm vi phạm dữ liệu tối thiểu theo luật định, vốn không đủ để trang trải cho mức độ thiệt hại thực tế, các quan chức trong ngành cho biết hôm thứ Hai.

Khoảng cách này đã làm gia tăng các lời kêu gọi sửa đổi Đạo luật Bảo vệ Thông tin Cá nhân và nâng cao mức độ bảo vệ bắt buộc.

Coupang được bảo hiểm theo chính sách trách nhiệm vi phạm dữ liệu của Meritz Fire & Marine Insurance, nhưng giới hạn bảo hiểm chỉ là 1 tỷ won (680.000 đô la). Trên thực tế, ngay cả khi công ty bị yêu cầu bồi thường cho các nạn nhân, bảo hiểm cũng sẽ không chi trả quá 1 tỷ won, một số tiền quá nhỏ so với quy mô của vụ vi phạm.

Gã khổng lồ thương mại điện tử niêm yết tại Hoa Kỳ đã tiết lộ vào cuối tháng trước rằng khoảng 33,7 triệu tài khoản khách hàng đã bị một nhân viên nội bộ cố tình làm rò rỉ, làm lộ thông tin cá nhân của gần ba trong số bốn người trưởng thành ở Hàn Quốc.

Nếu tòa án tuyên bố công ty phải chịu trách nhiệm, gánh nặng bồi thường của công ty có thể lên tới ít nhất 3,37 nghìn tỷ won, dựa trên tiền lệ bồi thường khoảng 100.000 won cho mỗi người trong các vụ rò rỉ dữ liệu quy mô lớn.

SK Telecom, công ty đã trải qua một cuộc tấn công mạng vào tháng 4 khiến dữ liệu của 23 triệu người dùng bị xâm phạm, có chính sách bảo hiểm trách nhiệm vi phạm dữ liệu giống với Hyundai Marine & Fire, nhưng với cùng mức bảo hiểm là 1 tỷ won.

Để bổ sung cho phạm vi bảo hiểm hạn chế của mình, nhà mạng di động hàng đầu Hàn Quốc đã mua một hợp đồng bảo hiểm an ninh mạng riêng biệt, cung cấp mức bảo vệ lên đến 100 tỷ won vào cuối tháng 10. Tuy nhiên, theo các quan chức trong ngành, vì hợp đồng này được mua sau vụ tấn công tháng 4, nên không thể áp dụng cho sự cố đó.

Đạo luật Bảo vệ Thông tin Cá nhân yêu cầu các công ty phải bồi thường cho nạn nhân khi dữ liệu cá nhân bị rò rỉ và bắt buộc các công ty đủ điều kiện phải có bảo hiểm trách nhiệm vi phạm dữ liệu.

Quy định này áp dụng cho các doanh nghiệp có doanh thu hàng năm ít nhất là 1 tỷ won và hơn 10.000 đối tượng dữ liệu, với mức độ bảo vệ tối thiểu được thiết lập theo quy mô công ty.

Coupang nằm trong nhóm cao nhất - các công ty có doanh thu hàng năm trên 80 tỷ won và hơn 1 triệu đối tượng dữ liệu - với mức bảo hiểm tối thiểu bắt buộc chỉ ở mức 1 tỷ won.

Mặc dù mức bảo hiểm này đã không đủ đối với các công ty lớn, nhưng mức bảo hiểm tối thiểu thậm chí còn giảm xuống thấp hơn nữa đối với mức bảo hiểm nhỏ nhất, khi mức bảo hiểm bắt buộc chỉ là 50 triệu won.

Những người trong ngành cho rằng ngưỡng hiện tại quá thấp để các công ty có thể bồi thường thực tế cho nạn nhân.

"Xét đến mức độ nghiêm trọng của các vụ rò rỉ dữ liệu, mức giới hạn 1 tỷ won là hoàn toàn không đủ để bù đắp tổn thất cho nạn nhân", một quan chức tại một công ty bảo hiểm phi nhân thọ cho biết. "Mức giới hạn thấp như vậy thậm chí có thể khiến các công ty trì hoãn hoặc tránh bồi thường khi xảy ra vi phạm."

Để ứng phó, Hiệp hội Bảo hiểm Chung Hàn Quốc có kế hoạch thúc giục Ủy ban Bảo vệ Thông tin Cá nhân (PIPC) nâng cao yêu cầu tối thiểu đối với các công ty lưu trữ dữ liệu lớn.

Một đề xuất sẽ đặt mức bảo hiểm tối thiểu ở mức khoảng 100 tỷ won cho các công ty có hơn 10 triệu đối tượng dữ liệu hoặc doanh thu hàng năm vượt quá 10 nghìn tỷ won.

Hiệp hội cũng nhấn mạnh nhu cầu thực thi mạnh mẽ hơn, bao gồm cả việc phạt tiền các doanh nghiệp không tham gia bảo hiểm bắt buộc.

Mặc dù luật yêu cầu các cơ quan chức năng phải ban hành lệnh khắc phục đối với các công ty không tuân thủ và cho phép phạt tới 30 triệu won nếu phớt lờ lệnh, PIPC chưa bao giờ áp dụng các hình phạt như vậy.

Tính đến tháng 6, chỉ có khoảng 7.000 hợp đồng bảo hiểm được bán bởi 15 công ty bảo hiểm cung cấp bảo hiểm trách nhiệm vi phạm dữ liệu. PIPC ước tính có tới 380.000 công ty thuộc diện bắt buộc này, cho thấy tính đến cuối tháng 5, tỷ lệ đăng ký chỉ ở mức 8%.