[비즈한국] Terkait insiden kebocoran data pribadi berskala besar di Lotte Card, Komisi Perlindungan Informasi Pribadi (PIPC) telah menjatuhkan denda hampir 10 miliar won. Ada penilaian bahwa tingkat sanksi lebih rendah dari perkiraan karena denda hanya diterapkan pada sebagian pendapatan yang terkait dengan tindakan pelanggaran. Di tengah sanksi tambahan dari otoritas keuangan yang masih menanti, CEO baru Lotte Card, Jung Sang-ho, yang akan resmi menjabat pada tanggal 16, kini memikul tugas ganda untuk menangani sisa-sisa insiden tersebut sekaligus merespons sanksi yang ada.
Komisi Perlindungan Informasi Pribadi dalam rapat pleno ke-4 pada tanggal 11 memutuskan sanksi berupa denda sebesar 9,62 miliar won, denda administratif (penalti) sebesar 4,8 juta won, serta perintah tindakan perbaikan dan publikasi kepada Lotte Card. Keputusan ini diambil terkait insiden kebocoran data pribadi 2,97 juta pengguna di Lotte Card yang terjadi pada September 2025, menyusul penyelidikan komisi mengenai apakah Lotte Card melanggar kewajiban pemrosesan nomor registrasi penduduk (NIK).
Lotte Card diretas oleh pihak eksternal pada Agustus 2025 melalui sistem pembayaran daring. Peretas menanamkan kode berbahaya ke server pembayaran daring Lotte Card dan mencuri file log yang dihasilkan selama proses transaksi. Sekitar setengah dari file yang dicuri oleh peretas telah terenkripsi, namun sisanya bocor dalam bentuk teks biasa (plain text). Data pribadi yang bocor mencakup informasi terkait (CI, informasi identifikasi pribadi terenkripsi), kode pembayaran virtual, nomor kartu, tanggal kedaluwarsa, dan kode CVC.
Dikonfirmasi bahwa di antara data yang bocor tersebut, termasuk nomor registrasi penduduk milik 450.000 orang. Komisi Perlindungan Informasi Pribadi menilai bahwa Lotte Card telah melanggar Undang-Undang Perlindungan Informasi Pribadi karena tidak mengenkripsi informasi pribadi seperti nomor registrasi penduduk dalam log pembayaran daring, serta gagal melakukan enkripsi file log dengan benar. Undang-Undang Perlindungan Informasi Pribadi menetapkan bahwa nomor registrasi penduduk hanya boleh diproses jika diperlukan secara eksplisit untuk masalah hukum atau untuk melindungi kepentingan hidup, tubuh, atau properti subjek data.
Selain itu, komisi juga menunjukkan bahwa meskipun file log seharusnya hanya mencatat informasi pribadi seminimal mungkin, Lotte Card menyimpan banyak informasi pribadi termasuk nomor registrasi penduduk, yang akhirnya menyebabkan insiden peretasan skala besar. Bersamaan dengan denda dan penalti, komisi memerintahkan Lotte Card untuk memperkuat tanggung jawab dan kemandirian Pejabat Perlindungan Informasi Pribadi (CPO) serta memperbaiki sistem perlindungan informasi pribadi secara keseluruhan.
Komisi Perlindungan Informasi Pribadi juga akan melakukan pemeriksaan industri menyusul insiden ini. Komisi menyatakan rencana untuk melakukan pemeriksaan pendahuluan selama bulan Maret terhadap pelaku bisnis di sektor keuangan terkait praktik pemrosesan nomor registrasi penduduk secara tidak perlu tanpa dasar hukum.
Menanggapi pengumuman Komisi Perlindungan Informasi Pribadi, industri bereaksi bahwa tingkat sanksi lebih rendah dari yang diharapkan. Perusahaan sejenis, Woori Card, pernah didenda 13,4 miliar won karena melanggar Undang-Undang Perlindungan Informasi Pribadi pada Maret 2025. Fakta bahwa denda Lotte Card tidak mencapai 10 miliar won tampaknya disebabkan oleh kecilnya skala pendapatan yang terkait dengan tindakan pelanggaran yang menjadi dasar perhitungan denda.
Komisi Perlindungan Informasi Pribadi menjelaskan, "Kami hanya menyelidiki bagian yang melanggar kewajiban pemrosesan nomor registrasi penduduk dan kewajiban tindakan enkripsi. Denda dihitung secara terbatas pada pendapatan yang terkait dengan layanan pembayaran daring," dan menambahkan bahwa "rasio perhitungan terhadap pendapatan bervariasi tergantung pada tingkat keparahan tindakan pelanggaran, dan dihitung melalui penyesuaian pertama serta pembobotan atau pengurangan tahap kedua."
Lotte Card tampaknya akan mengajukan keberatan terhadap sanksi tersebut. Lotte Card menyatakan, "Kami secara sukarela melaporkan insiden ini dan bersikap kooperatif selama penyelidikan oleh Komisi Perlindungan Informasi Pribadi. Ada bagian di mana argumen kami mengenai klausul dasar hukum belum sepenuhnya tercermin. Setelah menerima surat keputusan, kami akan meninjau isinya secara saksama dan terus melakukan pembelaan melalui prosedur keberatan yang dimungkinkan."
Sementara itu, pada tanggal 12 saat komisi mengumumkan sanksi, Lotte Card mengadakan rapat umum pemegang saham luar biasa dan rapat dewan direksi untuk menetapkan Jung Sang-ho sebagai CEO baru. Masa jabatan CEO Jung yang baru adalah dari 16 Maret 2026 hingga 29 Maret 2028. Dengan demikian, CEO baru tersebut langsung memikul tugas untuk menanggapi sanksi tersebut segera setelah menjabat.
Hasil keputusan dari otoritas keuangan yang belum keluar juga menjadi sorotan. Komisi Jasa Keuangan (FSC) dan Layanan Pengawas Keuangan (FSS) sedang menyelidiki apakah Lotte Card mematuhi kewajiban langkah keselamatan sesuai dengan Undang-Undang Informasi Kredit terkait kebocoran informasi pribadi. Berdasarkan Undang-Undang Informasi Kredit, batas atas denda untuk insiden kebocoran informasi pribadi akibat peretasan dibatasi hingga 5 miliar won. Namun, jika pelanggaran terhadap Undang-Undang Bisnis Keuangan Spesialis Kredit dikonfirmasi, sanksi penangguhan bisnis selama 6 bulan dimungkinkan, dan sanksi terhadap jajaran eksekutif masih menanti.
Lotte Card menyatakan, "Kami memohon maaf sedalam-dalamnya karena telah menyebabkan ketidaknyamanan dan kekhawatiran akibat insiden intrusi siber ini," dan menambahkan, "Kami akan melakukan upaya terbaik untuk mencegah terulangnya kembali dan memperkuat perlindungan data pribadi di masa depan."