Resumen

  • El deber de seguridad de un operador de telecomunicaciones coreano no nace del artículo 51 de la Ley de Negocios de Telecomunicaciones, que regula la investigación de hechos y la obtención de pruebas, sino de los artículos 45 y 48-4 de la Ley de Red.
  • Cuando el Ministerio de Ciencia y TIC ordena una corrección, el techo de la multa administrativa por desobedecerla es de 30 millones de wones bajo el régimen de la Ley de Red y de 10 millones bajo el de la Ley de Negocios de Telecomunicaciones, cifras que conviene tener a la vista antes de aceptar cualquier relato de reparación.

Un hallazgo de negligencia es un diagnóstico. Una orden es una receta. Entre ambos hay un acto administrativo que alguien tiene que firmar, fechar y notificar, y es exactamente ese acto el que permite a un tercero comprobar si la reparación ocurrió. Sin él, lo que queda es una empresa contando su propia versión de los hechos.

La confusión coreana es textual y muy fácil de cometer, porque un número de artículo célebre quedó pegado al deber equivocado. El artículo 51 de la Ley de Negocios de Telecomunicaciones (전기통신사업법) se titula, en la versión oficial coreana, «investigación de hechos, etc.»: trata de la investigación, la inspección sobre el terreno y la producción o conservación obligatoria de materiales (Ministerio de Legislación del Gobierno, texto coreano del artículo 51). No impone ninguna obligación general de ciberseguridad. La consolidación inglesa del Korea Legislation Research Institute llega a la misma conclusión por otra vía, al describir el artículo 51 como una facultad de averiguación previa y situar las órdenes de mejora en el artículo 52(1)9 (Korea Legislation Research Institute, consolidación inglesa de la Ley de Negocios de Telecomunicaciones). Quien cite el 51 como la norma que obliga a un operador a protegerse está citando el instrumento con el que se investiga, no el que se incumple.

El deber real vive en otro texto. La Ley de Red incluye expresamente a los operadores de telecomunicaciones en la definición de prestadores de servicios de información y comunicaciones, y su artículo 45(1) les exige medidas de protección para garantizar la fiabilidad de la información; el artículo 45(3) enumera entre esas medidas la prevención de intrusiones, los controles antiexfiltrración, la continuidad y la gobernanza de seguridad. El artículo 48-4(1) añade el ciclo completo del incidente: análisis, respuesta, recuperación y prevención de reincidencias (Korea Legislation Research Institute, consolidación inglesa de la Ley de Red).

Ahí está la arquitectura que importa. El artículo 48-4(2) faculta al Ministerio de Ciencia y TIC para ordenar las medidas de implementación que considere necesarias, con la exclusión de las instituciones públicas. El artículo 48-4(3) permite inspeccionar y faculta al Ministerio para «ordenar al prestador de servicios de información y comunicaciones que efectúe una corrección». El artículo 64(4) habilita medidas correctivas ante infracciones legales y exigencias de publicación. En paralelo, la Ley de Negocios de Telecomunicaciones otorga al Ministerio de Ciencia y TIC o a la Comisión de Comunicaciones de Corea, según su ámbito competencial, la potestad de dictar órdenes de corrección por infracciones tasadas, prácticas empresariales gravemente dañinas o accidentes que interrumpen el servicio sin remedio (Korea Legislation Research Institute, consolidación inglesa de la Ley de Negocios de Telecomunicaciones).

Toda esa potestad tiene un precio, y el precio es la parte incómoda. Ignorar una orden del artículo 48-4(3) o del artículo 64(4) de la Ley de Red se castiga con multas administrativas cuyo techo es de 30 millones de wones (Ley de Red, artículo 76(1)). En el régimen de la Ley de Negocios de Telecomunicaciones, no cumplir una orden de corrección del artículo 92(1) tiene un techo general de 10 millones de wones, elevado a 50 millones para la obstrucción de investigaciones y para determinados incumplimientos de grandes empresas; las multas administrativas con arreglo al artículo 104 no deben confundirse con los recargos por sanción del artículo 53, que son un instrumento distinto (Ley de Negocios de Telecomunicaciones, artículos 104 y 53).

El legislador endureció ese marco hace dos años. Según el comentario del despacho Kim & Chang, las enmiendas que entraron en vigor el 14 de agosto de 2024 sustituyeron las recomendaciones por la facultad de ordenar las medidas preventivas necesarias, y el anexo 9 fija una escala para el incumplimiento de órdenes correctivas de 7,5 millones de wones la primera vez, 15 millones la segunda y 30 millones a partir de la tercera. Es un explicador de bufete, no texto legal, y el anexo 9 no se pudo recuperar, de modo que la escala se cita como lo que es: la lectura de un despacho (Kim & Chang, comentario sobre las enmiendas de 2024).

Conviene despejar además un error de numeración que circula. El artículo 51-2 del Reglamento de Aplicación de la Ley de Negocios de Telecomunicaciones exige medidas de seguridad del equipamiento en relación con la comunicación y la aprobación de instalación de equipos importantes, conforme al artículo 62(1) de la ley matriz. Es legislación subordinada sobre aparatos, no el deber general de ciberseguridad de la ley matriz (Korea Legislation Research Institute, Reglamento de Aplicación).

Con la ley sobre la mesa, la pregunta se vuelve mecánica y por eso mismo verificable. Un tercero no necesita confiar en nadie: necesita el número del acto, la fecha, el destinatario, la disposición invocada, el plazo y la consecuencia del incumplimiento. Si esos cinco campos existen en un documento publicado, la reparación es auditable; si no existen, la reparación es un anuncio. Y un anuncio de compensación o de inversión en seguridad, por grande que sea la cifra, es una promesa de la empresa a sus clientes y a sus accionistas, no un mandato que el Ministerio pueda ejecutar.

Aquí está el límite de lo que este trabajo pudo leer. Entre las 16:31 del 12 de noviembre de 2026 y las 02:35 del 13 de noviembre, dieciséis intentos de búsqueda no devolvieron ningún instrumento fechado del Ministerio de Ciencia y TIC —orden, directiva o resolución sancionadora— relativo al incidente de las USIM de abril de 2025. Eso acota el material efectivamente consultado; no demuestra que el instrumento no exista, y desde luego no autoriza a decir que el Ministerio no hizo nada.

La prueba, entonces, no es retórica. Es documental: basta con que el acto aparezca. Mientras no aparezca, la reparación del operador se sostiene sobre su propia palabra, y una reparación que se verifica a sí misma no se verifica. Para el Ministerio de Ciencia y TIC la cuestión tampoco es cómoda: un techo sancionador de 30 millones de wones convierte la desobediencia en un gasto menor, y un gasto menor convierte la orden en una sugerencia con membrete.