[비즈한국] Belakangan ini, seiring dengan terus terjadinya insiden keamanan siber, minat terhadap perlindungan data pribadi perusahaan semakin meningkat. Oleh karena itu, Korea Internet & Security Agency (KISA) menyediakan portal pengungkapan perlindungan informasi untuk memublikasikan status tenaga kerja dan investasi perlindungan informasi perusahaan.
Namun, standar bagi perusahaan yang diwajibkan untuk melakukan pengungkapan perlindungan informasi dinilai terlalu tinggi, sehingga muncul desakan untuk memperbaiki sistem tersebut. Menanggapi hal ini, pemerintah telah mulai mendiskusikan perbaikan sistem pengungkapan perlindungan informasi.
Standar Kewajiban pada Portal Pengungkapan Perlindungan Informasi Terlalu Tinggi
Pada April 2025 terjadi insiden kebocoran informasi USIM di SKT, dan pada bulan Juni, terjadi serangan ransomware di Yes24053280. Selain itu, hanya dalam paruh pertama tahun ini, berbagai insiden seperti kebocoran data pribadi terjadi di merek mewah seperti Dior, Tiffany, dan Cartier, platform barang mewah MustIt, platform pencarian kerja Albamon, serta merek piza Korea Papa Johns.
Hal ini memicu kritik terhadap pengelolaan data pribadi pelanggan oleh perusahaan. Selain itu, perhatian terhadap langkah-langkah perlindungan data pribadi pelanggan, besaran investasi, tenaga kerja, hingga status manajemen tiap perusahaan juga meningkat.
Status tersebut biasanya dapat dicari di portal pengungkapan perlindungan informasi milik KISA, namun ada kritikan bahwa karena standar ambang batas untuk perusahaan yang wajib melapor terlalu tinggi, jumlah perusahaan yang diwajibkan untuk terbuka sangat sedikit.
Berdasarkan regulasi seperti Undang-Undang tentang Promosi Industri Perlindungan Informasi (selanjutnya disebut UU Industri Perlindungan Informasi), KISA mewajibkan perusahaan untuk mengungkapkan informasi terkait perlindungan informasi. Informasi yang dimaksud mencakup status investasi perlindungan informasi, status tenaga kerja, sertifikasi terkait perlindungan informasi, serta kegiatan penilaian dan pemeriksaan, yang harus diserahkan oleh perusahaan paling lambat tanggal 30 Juni setiap tahun.
Sesuai aturan, SKT melaporkan investasi di sektor perlindungan informasi sebesar 65,2 miliar won dengan 219,2 staf khusus pada tahun 2025. Sementara Yes24 melaporkan investasi perlindungan informasi sebesar 1,6 miliar won dengan 10,1 staf khusus pada tahun 2025.
Namun, perusahaan yang mengalami kebocoran data seperti Dior Korea, Tiffany Korea, Richmont Korea (pemegang lisensi Cartier di Korea), Korea Papa Johns, Albamon, dan MustIt tidak dapat ditemukan informasinya di portal tersebut. Alasannya adalah perusahaan-perusahaan ini tidak termasuk dalam kategori yang wajib mengungkapkan informasi perlindungan data.
Perusahaan Asing dan UKM Tidak Memiliki Kewajiban
Hal ini dapat dipahami dengan meninjau undang-undang dan regulasi terkait. Berdasarkan peraturan perundang-undangan saat ini, sistem pengungkapan perlindungan informasi menyerahkan keputusan pengungkapan kepada kebijakan masing-masing perusahaan, kecuali mereka termasuk dalam kategori perusahaan wajib lapor yang ditetapkan dalam keputusan presiden.
Pasal 13 UU Industri Perlindungan Informasi menyatakan bahwa perusahaan dapat mengungkapkan status perlindungan informasinya. Untuk keamanan pengguna, undang-undang tersebut memaksa perusahaan yang diatur dalam peraturan pemerintah untuk wajib mengungkapkan statusnya, dengan mempertimbangkan bidang bisnis, pendapatan, dan jumlah pengguna layanan.
Pasal 8 Ayat 1 Peraturan Pemerintah dari undang-undang ini merinci perusahaan yang wajib mengungkapkan informasi tersebut. Ini mencakup perusahaan telekomunikasi besar, perusahaan data berskala besar yang mengoperasikan portal seperti Naver atau Kakao035720, rumah sakit umum tingkat lanjut, dan penyedia layanan komputasi awan.
Selain itu, perusahaan yang terdaftar di bursa (KOSPI dan KOSDAQ) dengan pendapatan lebih dari 300 miliar won diwajibkan untuk melapor, begitu pula perusahaan yang memiliki lebih dari 1 juta pengguna layanan.
Dengan kata lain, jika bukan perusahaan telekomunikasi yang memproses data berskala besar, perusahaan terbuka dengan pendapatan di atas 300 miliar won, atau perusahaan dengan pengguna lebih dari 1 juta, maka mereka tidak memiliki kewajiban untuk mengungkapkan informasi perlindungan data.
Faktanya, perusahaan yang terlibat dalam insiden kebocoran data pribadi di atas tidak dapat ditemukan dalam daftar 671 perusahaan yang wajib mengungkapkan informasi perlindungan data yang dirilis KISA pada tahun 2025.
Sebagai contoh, Korea Papa Johns mencatatkan pendapatan 71,7 miliar won pada tahun 2024, namun karena bukan perusahaan terbuka dan pendapatannya di bawah 300 miliar won, mereka tidak wajib lapor. Christian Dior Couture Korea, yang mengoperasikan Dior di Korea, mencatatkan pendapatan 945,3 miliar won pada tahun 2024, tetapi karena bukan entitas yang terdaftar di bursa Korea, mereka tidak masuk dalam daftar kewajiban pengungkapan.
Banyak Insiden Kebocoran Data Pribadi Terjadi di UKM
Dengan sistem saat ini, informasi perlindungan data dari perusahaan asing yang tidak terdaftar di bursa domestik, UKM, serta platform daring dengan pengguna di bawah 1 juta orang sulit untuk diverifikasi. Mengingat banyak insiden kebocoran data pribadi terkonsentrasi pada perusahaan swasta, terutama UKM, kebutuhan untuk perbaikan sistem ini pun mengemuka.
Statistik nyata mendukung hal ini. Menurut hasil analisis tren laporan kebocoran data pribadi tahun 2024 yang dirilis oleh Komisi Perlindungan Informasi Pribadi pada Maret 2025, lebih dari separuh insiden kebocoran data yang dilaporkan pada tahun 2024 terjadi di UKM.
Berdasarkan analisis tersebut, dari 307 kasus yang dilaporkan, 66% berasal dari perusahaan swasta, dan 60% di antaranya terjadi di UKM. Secara sektor, industri informasi dan komunikasi, perangkat lunak, dan perdagangan elektronik mencakup 34%. Penyebab utama kebocoran, yaitu peretasan yang memerlukan investasi dan manajemen perlindungan data, menyumbang 67% dari total kasus.
Pemerintah kini sedang mendorong perbaikan sistem. Saat mencalonkan diri sebagai presiden, Presiden Lee Jae-myung berjanji dalam kampanye pemilihannya untuk "memperkuat sistem pengungkapan perlindungan informasi dengan mengungkapkan skala investasi perlindungan informasi dan tenaga kerja khusus secara transparan" guna menghadapi ancaman siber.
Selain itu, setelah pemerintahan baru dilantik, Kementerian Sains dan ICT dikabarkan telah melaporkan agenda perbaikan sistem perlindungan informasi kepada Komite Perencanaan Negara (transisi pemerintahan). Rencana perbaikan tersebut mencakup perluasan kewajiban pengungkapan perlindungan informasi dari yang saat ini hanya mencakup perusahaan terbuka dengan pendapatan 300 miliar won ke atas, menjadi seluruh perusahaan yang terdaftar di bursa.
Namun, terkait kewajiban pengungkapan bagi UKM non-terdaftar, perusahaan asing, atau platform daring skala kecil dengan pengguna di bawah 1 juta orang—di mana kebocoran data sering terjadi—masih perlu menunggu diskusi lebih lanjut karena Komite Perencanaan Negara saat ini masih dalam tahap penyusunan dan perincian draf tugas negara.