韩国数据泄露罚款提至营收10%
Korea raises data breach fines to 10% of revenue
韩国修订《个人信息保护法》，将重大数据泄露的罚款上限从3%大幅提升至年营收的10%。新规针对故意或严重过失导致1000万人以上数据泄露的企业，若三年内重复违规或拒不整改，罚款将按营收比例计算。以Coupang为例，此前6246亿韩元的罚款在新规下可能跃升至万亿级别。同时，新规引入“潜在数据泄露通知系统”，要求企业在发现高风险时72小时内通知用户。此外，若企业提前投入数据保护或及时止损，罚款最高可减免40%。隐私监管机构PIPC强调，此举旨在推动企业将数据保护视为预防性投资，而非单纯的成本支出。
我们期望企业看待数据保护投资的方式发生转变，从将其视为成本转变为将其视为建立客户信任并扩大企业利润的主动投资。
HN 评论区
108- augment_me
你可以照着我大学的做法：雇一家只有三个员工的小空壳公司来托管所有数据，一旦它被黑，就让它破产，然后我们换一家形式和功能类似的空壳公司。
这样既最小化了资金占用，也无需投入任何安全成本。
- prologic
哇！:O 终于有一位有魄力的立法者，敢于提出一项可能（仅仅是可能）让企业真正重视安全和隐私的举措！我迫不及待想看到其他国家也开始采纳。该是时候了！
- SoftTalker
“出于故意或重大过失”
我不熟悉韩国法律，但这门槛似乎相当高。我觉得我们不太可能看到多少罚款真正被开出。
- hn_submit
这正是西方所需要的！我强烈怀疑这里根本没人真正关心安全，或者客户数据被泄露到大街上。
安全需要花钱，只要对疏忽没有处罚，管理层就会算账，优先考虑提高利润，而不是保护公司数据。
- _the_inflator
那像柏林这样的政府呢？发生了大规模数据泄露，猜猜结果如何？对责任人没有任何惩罚。
所以尽管这是韩国的事，但这依然是现代的虚伪：企业必须遵守越来越复杂的法规，而那些治理国家的人却安然无恙。
如果柏林的事件发生在任何一家私营公司身上——那简直是天翻地覆。
多年来，柏林大幅削减了 IT 预算，尤其是维护和安全方面。事实上，曝光出来的情况——以 CCC 的演讲为参考，还有其他来源——听起来如此尴尬，以至于所有公司被黑时都应该获得一笔奖金。
- markhahn
这很棒，尽管力度稍显不足。
按营收比例罚款是合理的，因为目的是让它真正痛。但这反而说明比例应该更高。不过最重要的是，它引入了激励，让企业更认真对待安全。
- roundup
假设全球采纳，这还会产生一个副作用：增加漏洞赏金。想想最近 OpenAI 的泄露事件：一个远程代码执行（RCE）漏洞，一个单点登录（SSO）配置缺陷，以及随后的员工账户接管，对于一家价值万亿美元的巨头，赏金却只有区区 6500 美元。
- xp84
我假设其初衷是保护客户。
将罚款与“故意”或“重大过失”挂钩对我行不通，因为客户不在乎原因，他们只在乎损害已经发生。对我来说，无论你是把每个人都培训得再好，还是有人只是忘记了一次培训，或者你根本不做培训，都没区别。
我在想：
（以下例子用“美国”标准，我假设其他一些国家也有类似社会安全号的概念）
- 姓名和地址，或姓名和电话号码泄露：每位受影响客户 100 美元。
- 邮箱：每位受影响客户 50 美元，若与其他数据关联则为 100 美元。
- 社会安全号（SSN）：每位受影响客户 2000 美元。
- 未加盐或明文密码：每位受影响客户 500 美元。
- 上限为年 EBITDA 的 200% 或营收的 20%，取两者中较大者。
罚款由政府直接（免税）分发给受影响的用户。
这可能会导致一些公司在特别严重的泄露中破产，尤其是在企业还在适应期时。很好！我希望如此，并且希望商业教科书能像记录安然（Enron）倒闭那样，重点记录这些灾难。
我设计这套系统的目标是让企业正确地将持有（甚至只是短暂接触）敏感数据的风险计入成本。例如，在一个理智的世界里，社会安全号对任何企业来说本就该是“放射性”的，甚至都不该考虑触碰。如果任何企业觉得有必要收集或保存它，老实说，我劝你再三考虑。信用报告机构是最恶劣的违规者（在我的规则下 [...]）