Corea eleva las multas por filtraciones de datos al 10% de los ingresos

Artículo original ↗ Discusión en Hacker News ↗

Corea del Sur planea multar a las empresas con hasta el 10% de sus ingresos por filtraciones de datos causadas por intención o negligencia grave, un nivel que muchos consideran potencialmente existencial para las grandes compañías. Los comentaristas debaten si unas sanciones tan severas, basadas en los ingresos, harán por fin que las organizaciones tomen en serio la seguridad y la minimización de datos, o si simplemente fomentarán el arbitraje legal, la infra-notificación y la aplicación selectiva, especialmente para los poderosos conglomerados nacionales. Las comparaciones con el GDPR y otros regímenes ponen de relieve cuestiones más amplias sobre cómo alinear los incentivos corporativos, definir la “negligencia grave” y garantizar que los gobiernos afronten una responsabilidad similar por las filtraciones.

Ámbito de la ley y objetivo disuasorio

  • Las multas de hasta el 10% de los ingresos se consideran potencialmente “amenazantes para el negocio” y, por tanto, más que un coste de hacer negocios.
  • Varios comentaristas creen que este es precisamente el tipo de choque necesario para que las empresas prioricen la seguridad y la privacidad.
  • Otros señalan que solo se aplica en casos de “intención o negligencia grave”, lo que puede limitar su uso en el mundo real y supone un umbral legal muy alto.

Aplicación, chaebols y objetivos extranjeros

  • Escepticismo sobre si esas multas llegarán a aplicarse plenamente a los grandes conglomerados nacionales; algunos esperan exenciones de facto.
  • Algunos sospechan que la ley está dirigida principalmente a empresas extranjeras que manejan datos coreanos.
  • No está claro con qué agresividad los reguladores aplicarán las sanciones máximas o tratarán las infracciones repetidas.

Viabilidad de sistemas seguros

  • Debate sobre si los sistemas verdaderamente seguros y utilizables son posibles: algunos dicen que “ningún sistema es totalmente seguro”, mientras que otros sostienen que se puede lograr una alta seguridad con diligencia, cifrado y procesos.
  • Se señala que la mayoría de las filtraciones provienen de la ingeniería social, donde incluso unos fuertes controles técnicos pueden fallar.
  • Hay consenso en que no se requiere “perfección”; la línea legal es la negligencia grave y la falta de diligencia debida.

Economía, incentivos y cuidado frente a beneficio

  • Tema dominante: las empresas optimizan el beneficio; sin multas grandes, recortar en seguridad es racional.
  • Otros argumentan que el profesionalismo, la reputación y la valoración futura también incentivan una seguridad sólida, especialmente en B2B y en sectores sensibles como la sanidad.
  • Algunos ven la cultura empresarial moderna como cada vez menos confiable y dispuesta a tratar las multas como una partida más.

Juegos de responsabilidad y empresas pantalla

  • Ejemplo de universidades o empresas que trasladan datos a entidades con poco capital, capaces de quebrar tras una filtración y así esquivar consecuencias.
  • Réplicas: las leyes de datos (como la PIPA de Corea, comparada con GDPR) y los regímenes de certificación exigen diligencia debida a lo largo de la cadena de suministro, lo que dificulta esos trucos.
  • Debate sobre “levantar el velo societario” y posibles cambios legales para impedir explícitamente la evasión de responsabilidad; la eficacia práctica sigue sin estar clara.

Minimización de datos y límites prácticos

  • Fuerte apoyo a “recoger menos, almacenar menos” como la única forma infalible de evitar filtraciones.
  • Reconocimiento de que cierta retención de datos es obligatoria por ley (por ejemplo, registros de transacciones, registros universitarios), por lo que eliminar todo no siempre es viable.
  • Sugerencia de tratar los datos personales como efectivo: mantener cantidades mínimas in situ y recurrir a custodios especializados y sometidos a auditorías intensas.

Comparaciones y diseños alternativos de sanciones

  • Se citan como precedentes el 4% de los ingresos globales del GDPR y las normas del Reino Unido; los comentaristas señalan filtraciones frecuentes pese a esos límites, lo que sugiere una aplicación insuficiente.
  • Se menciona la Ley de IA de la UE y sus sanciones más altas basadas en la facturación como prueba de que estos marcos son políticamente posibles.
  • Algunos proponen tarifas de daños por persona (por ejemplo, cantidades fijas por cada correo filtrado, SSN, contraseña), posiblemente con valores muy altos para identificadores especialmente sensibles, y compensación directa automática a las personas afectadas.
  • Preocupa que vincular las multas a la “intención o negligencia grave” ignore la perspectiva de la víctima: el daño es daño, independientemente de la causa interna.

Consecuencias no deseadas y preguntas abiertas

  • Temor a que multas muy altas incentiven la no notificación de filtraciones o estructuras de responsabilidad complejas.
  • Preguntas sobre cómo se tratarían las filtraciones del sector público (por ejemplo, gobiernos municipales), dado que a menudo escapan a un castigo significativo.
  • Algunos plantean riesgo geopolítico: actores estatales hostiles podrían provocar deliberadamente multas ruinosas como sabotaje económico.
  • Sentimiento general: la ley es un paso positivo si, y solo si, se aplica con seriedad y se acompaña de estándares claros sobre negligencia y responsabilidad.