Asie-Pacifique

Vente directe d’assurances automobiles : 12 sociétés d’assurance dommages sanctionnées pour violation de la loi sur la protection des données personnelles, pour un total de 9,277 milliards de wons

L’autorité coréenne a, ce 12 décembre 2024, annoncé que les résultats de son enquête menée depuis aout 2023 à la suite de plainte ont conduit à l’imposition d’une amende de 9,277 milliards de wons (environ 6,1 millions d’euros) à plusieurs  compagnies d’assurance, y compris Hyundai Marine & Fire Insurance, AXA General Insurance, Hana Insurance, MG Non-life Insurance, pour avoir collecté des données personnelles à des fins de marketing sans consentement légal. Dans ce cadre, un ordre d’amélioration a été donné pour renforcer le rôle de contrôle interne des responsables de la protection des données personnelles.

Les quatre compagnies d’assurance ont en effet :
* Exploité une fenêtre contextuelle (ci-après ‘fenêtre de réengagement’) pour inciter les utilisateurs ayant clairement exprimé leur refus de consentir à modifier leur position de consentement. Cependant, ce changement de consentement ne pouvait pas être considéré comme exprimé librement, car il contenait des formulations pouvant prêter à confusion et limitait le droit des utilisateurs de décider au sujet de leurs données personnelles. En particulier, alors qu’elles obtenaient le consentement à la collecte et à l’utilisation de données personnelles par ces fenêtres de réengagement, celles-ci n’incluaient pas d’indication sur le ‘traitement des données personnelles’ ou d’avis légaux nécessaires au consentement, ce qui empêchait les utilisateurs de réaliser qu’ils acceptaient le traitement de leurs données pour des raisons de marketing.

* Utilisé les données pour des campagnes de marketing non seulement pour l’assurance automobile, mais aussi pour des assurances conducteur, santé et dentaire appartenant à ces compagnies d’assurance. Il a également été confirmé qu’environ 30 millions d’activités marketing avaient été effectuées uniquement pour l’assurance automobile, comprenant des SMS et des appels. Par conséquent, le nombre de rapports de spam en rapport avec ces violations durant la période concernée n’était pas négligeable.

* Mal informé les personnes : l’absence de formulations sur la collecte, l’utilisation et la fourniture des données personnelles et l’absence d’avis légaux rendaient difficile pour les utilisateurs d’avoir une pleine compréhension du traitement de leurs données personnelles.

L’enquête et les sanctions imposées aux compagnies d’assurance concernant le traitement des données personnelles soulignent l’importance d’informer clairement les utilisateurs et de leur permettre d’exercer leur droit de décision libre pour obtenir un consentement légal. En outre, il a été clairement indiqué que la responsabilité du CPO comprend non seulement des mesures de sécurité pour prévenir les violations de données personnelles, mais aussi la mise en place d’un système de contrôle interne pour garantir le traitement légal des données personnelles. Il a également été précisé que, même s’il s’agit d’un traitement de données personnelles par des institutions financières, la loi sur la protection des données s’applique, même dans les cas où cela ne relève pas clairement de la loi sur les informations de crédit.

Disponible (en coréen) sur: pipc.go.kr
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

La Commission de Protection des Données Personnelles inflige une amende de 1,588,650,000 won (environ 1,67 millions d’euros) à Coupang pour violation des obligations de sécurité

La Commission de Protection des Données Personnelles (présidée par Koh Hak-soo, ci-après « la Commission ») a décidé le 27 novembre de sanctionner Coupang Co., Ltd. (ci-après « Coupang ») par une amende totale de 1,588,650,000 won pour violation de la loi sur la protection des données personnelles (ci-après « la loi ») lors de sa 20ème réunion plénière.

La Commission a enquêté sur l’incident de fuite d’informations concernant environ 135,000 livreurs de Coupang Eats en 2021 et sur l’incident de fuite d’informations de commande client du système des vendeurs de Coupang, touchant environ 22,000 personnes en 2023, suite à un signalement de fuite. Les violations spécifiques et les mesures prises sont les suivantes. L’enquête a montré que Coupang a modifié sa politique en novembre 2019 pour ne transmettre que des numéros de sécurité aux restaurants afin de protéger les données personnelles des livreurs de Coupang Eats, mais en réalité,  jusqu’en novembre 2021, elle a continué à transmettre le vrai nom et le numéro de téléphone mobile des livreurs, qui ne devaient pas être envoyés, avec le numéro de sécurité. Cet incident de fuite est survenu lorsque des données personnelles de livreurs ont été incluses dans l’interface de programme d’application (API) envoyée de l’infrastructure de Coupang Eats aux restaurants accompagnés du numéro de sécurité, et le vrai nom et le numéro de téléphone mobile des livreurs étaient exposés dans le système intégré de gestion des informations de commande d’Otter Korea utilisé par les restaurants.

En outre :
* Bien que Coupang ait eu connaissance de l’incident de fuite de données personnelles le 23 novembre 2021, elle a tardé à notifier la fuite pendant plus de 24 heures sans raison valable ;
* Otter Korea a continué de conserver les données personnelles d’environ 135,000 livreurs dans son système Otter, sans détruire le vrai nom et le numéro de téléphone mobile des livreurs après la livraison.
* En raison d’un problème de configuration du système d’authentification sur l’interface dédié aux vendeurs (Wing) géré par Coupang, les données personnelles de 22,440 clients, qui devaient être visibles uniquement par ces vendeurs, ont été divulguées à d’autres vendeurs

En conséquence, la Commission a infligé à Coupang une amende totale de 1,588,650,000 won (environ 1,67 millions d’euros) pour avoir violé l’obligation de sécurité et retardé la notification de la fuite d’informations, et a recommandé des mesures d’amélioration pour renforcer la connexion sécurisée et la traçabilité des données. En outre, elle a ordonné à Otter Korea, qui a conservé les données des livreurs, de respecter l’obligation de destruction des données, et a décidé de publier cette décision sur le site web de la Commission.

Disponible (en coréen) sur: pipc.go.kr
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

 La PIPC  organise un comité d’experts sur le transfert de données à l’étranger pour évaluer la reconnaissance de l’équivalence

La Commission de protection des données personnelles (Président Ko Hak-soo, ci-après dénommée « Commission des données personnelles ») poursuit ses travaux en la matière et a annoncé avoir tenu la troisième réunion du Comité d’experts (composé de 12 experts dans des domaines tels que l’université, le droit, la société civile et les organisations d’affaires) sur les transferts transfrontaliers de données personnelles le mardi 19 novembre, afin de procéder à une évaluation de la reconnaissance d’équivalence pour l’Union européenne (UE) par un comité d’experts. Le PIPC analyse le système juridique et le système de protection de l’Union européenne depuis février, date à laquelle il a préparé un plan visant à promouvoir la reconnaissance de l’équivalence de la protection des informations personnelles à l’UE, et l’évaluation du Comité d’experts marque le début du processus de collecte d’opinions publiques et privées.

Voilà un pas de plus vers la reconnaissance mutuelle d’adéquation !

Disponible (en coréen) sur: pipc.go.kr
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Créer un environnement sûr pour l’utilisation des caméras IP afin de réduire l’anxiété du public telle que l’atteinte à la vie privée 

Le ministère des sciences et des TIC (le ministre Yoo Sang-im, ci-après dénommé « MSIT »), la Commission de protection des informations personnelles (le président Ko Hak-soo, ci-après dénommé « Commission de protection des informations personnelles »), la Commission coréenne des communications (le président par intérim Kim Tae-kyu, ci-après dénommé « KCTC ») et l’Agence nationale de police (le commissaire Choi Ji-ho) ont aujourd’hui annoncé qu’ils allaient mettre en place et promouvoir le « Plan d’amélioration de la sécurité des caméras IP » afin de répondre à l’inquiétude du public causée par le piratage des caméras IP et les fuites de vidéos.

Ce plan tourne autour de plusieurs axes:
– Préparer des politiques dans le domaine de la protection de la vie privée numérique par le biais de l' »équipe de promotion du soutien civil au service numérique »
– Équiper les produits d’une fonction de réglage du mot de passe à haut niveau de sécurité lors de la fabrication des produits
– Obligation d’utiliser des caméras IP certifiées pour la sécurité dans les installations à usage multiple étroitement liées à la vie publique
– Renforcement des enquêtes de sécurité sur les caméras IP et répression des dispositifs illégaux

Le ministre du MSIT, Yoo Sang-im, a déclaré : « Les caméras IP sont largement utilisées dans notre vie quotidienne à l’ère de l’intensification numérique, il est donc important de créer un environnement dans lequel elles peuvent être utilisées en toute sécurité » « Nous travaillerons avec les ministères concernés et l’industrie pour promouvoir sans heurts les questions politiques visant à renforcer la sécurité des caméras IP », a-t-il ajouté.

« Avec le développement de la technologie, divers produits informatiques ayant des fonctions de collecte d’informations personnelles, tels que les caméras IP et les tablettes murales, sont largement utilisés dans la vie quotidienne, et les préoccupations concernant la violation des informations personnelles augmentent », a déclaré Ko Hak-soo, président de la Commission des informations personnelles. » Grâce à ces mesures, nous améliorerons activement la sécurité des caméras IP afin que les consommateurs puissent les utiliser en toute confiance. »

Disponible (en coréen) sur: pipc.go.kr
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Sanctions contre deux universités n’ayant pas appliqué un patch de sécurité vieux de 6 ans

La Commission de protection des informations personnelles (Président Ko Hak-soo, ci-après dénommée « Commission des informations personnelles ») a annoncé avoir a voté l’imposition d’un total de 235,8 millions KRW d’amendes (environ 160 000 euros) et de 6,6 millions KRW (environ 4500 euros) de pénalités à l’Université Sunchunhyang et à l’Université Kyungsung pour avoir enfreint la Loi sur la protection des informations personnelles à propos de leurs obligations de sécurité.  Ces deux universités ont fait l’objet d’une enquête à la suite d’un rapport sur une fuite d’informations personnelles. Au cours de ces enquêtes, l’autorité a constaté :

* S’agissant de l’université Sunchunhyang : des informations personnelles ont été divulguées par des pirates informatiques qui ont exploité une vulnérabilité de logique web sur le site web principal de l’école. L’analyse des fichiers diffusés par le pirate sur les réseaux sociaux a confirmé que plus de 500 informations personnelles (nom, département, numéro de cours, adresse, coordonnées, affiliation, numéro de sécurité sociale, etc. Malgré cela, l’université Sunchonhyang n’a pas appliqué à ce jour le correctif de sécurité distribué par Oracle pour résoudre la vulnérabilité de la logique web en octobre 2017. En outre, l’université Sunchonhyang n’a pas mis en place les fonctions d’autres règles de sécurité essentielles, ni de  mesures de chiffrement lors de la conservation, dans un espace de stockage interne, de preuves relatives au recrutement de conférenciers contenant des numéros d’identification nationaux.
En conséquence, la PIPC a imposé une amende de 193 millions de KRW et une pénalité de 6,6 millions de KRW (environ 135 000 euros au total) à l’université Sunchonhyang, et a ordonné des mesures correctives afin de remédier aux carences mises en évidence.

* S’agissant de l’université Kyungsung : des informations personnelles ont été divulguées à la suite d’un piratage du système d’information global du campus (portail Kyungsung), de la même manière qu’à l’université Sunchonhyang, et les pirates ont diffusé les informations personnelles volées sur les services de réseaux sociaux. Après avoir analysé les fichiers publiés par les pirates, il a été confirmé que les informations personnelles (nom, département, numéro de cours, numéro de téléphone portable) de plus de 2 000 étudiants ont  été divulguées. À la suite de l’enquête, l’Université Kyungsung n’a pas non plus appliqué le correctif de sécurité distribué par Oracle en octobre 2017 pour résoudre la vulnérabilité de la logique web.
En réponse, la Commission de protection des informations personnelles a imposé une amende de 42,8 millions de wons (environ 29 000 euros) à l’université et lui a demandé d’améliorer l’ensemble de ses mesures de protection des informations personnelles.

L’autorité note qu’il est probable que les deux universités aient été attaquées par le même pirate informatique car elles ont laissé des vulnérabilités dans la logique web de leurs systèmes de traitement des informations personnelles non améliorées pendant plus de six ans.

Disponible (en coréen) sur: pipc.go.kr
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Le Comité de protection des données personnelles sanctionne Meta pour la collecte et l’utilisation d’informations sensibles sans base légale … mais pas que

Le 4 novembre, l’autorité de protection des données sud-coréenne (présidé par Ko Hak-soo, ci-après « PIPC ») a tenu sa 18e réunion plénière et a décidé d’imposer une amende administrative de 21,6 milliards de won (soit environ 15 millions d’euros) et une ordonnance corrective à Meta Platforms, Inc. (ci-après « Meta ») pour violation de la loi sur la protection des données personnelles. La PIPC a pris connaissance des faits selon lesquels Meta a collecté et utilisé des informations sensibles sans consentement, et a  décidé de lancer une enquête à ce sujet. Au cours de cette enquête, des plaintes ont été déposées au sujet du refus injustifié d’information concernant le traitement de données personnelles et des signalements de fuite de données due à des piratages, à la suite de quoi une seconde enquête a été lancée.

Les résultats des enquêtes menées par l’autorité coréenne montrent que :
1 – Meta a collecté des informations sensibles sans base légale, telles que les croyances religieuses et politiques, ainsi que la situation matrimoniale concernant les personnes de même sexe, d’environ 980,000 utilisateurs en Corée du Sud via leurs profils Facebook dans le passé. Ces informations ont été fournies à environ 4,000 annonceurs qui les ont utilisées. Plus précisément, des publicités liées à des thèmes sensibles (religions spécifiques, homosexualité, transgender, réfugiés nord-coréens, etc.) ont été créées en analysant les informations de comportement des utilisateurs, comme les pages « aimées » sur Facebook et les publicités cliquées.

En Corée du Sud, comme dans l’Union Européenne, la loi sur la protection des données considère les informations concernant les croyances, les opinions politiques, la vie sexuelle, etc., comme des informations sensibles qui doivent être strictement protégées et, en principe, leur traitement est limité. Il n’est possible de les traiter que dans des cas exceptionnels où un consentement distinct de la personne concernée a été obtenu ou en cas de base légale. Cependant, la PIPC a constaté que Meta a collecté ces informations sensibles et les a utilisées pour des services personnalisés sans obtenir de consentement distinct, et n’a pas mis en place de mesures supplémentaires de protection, même si ces pratiques étaient vaguement mentionnées dans sa politique de données.

La PIPC note cependant un bon point : Meta a cessé de collecter des informations sensibles à partir des profils (août 2021) et a détruit les thèmes publicitaires concernés (mars 2022), prenant ainsi des mesures correctives d’auto-initiation.

2- Meta a rejeté les demandes d’information des utilisateurs concernant le traitement de leurs données personnelles (durée de traitement des données personnelles, état de fourniture des données via la connexion Facebook, base de collecte d’informations sur les activités externes à Facebook et historique de consentement, etc.) en arguant, à tort, qu’elles ne faisaient pas partie des demandes d’accès selon la loi alors.

3- Meta aurait dû prendre des mesures de sécurité concernant des comptes et pages inactifs, telles que la suppression ou le blocage des pages / comptes.  Du fait de ce manquement, un hacker a pu soumettre une pièce d’identité falsifiée via la page de récupération de compte non utilisée pour demander la réinitialisation du mot de passe d’un autre compte. Meta a approuvé cette demande sans procéder à des vérifications adéquates de la pièce d’identité falsifiée, et les données personnelles de 10 utilisateurs coréens ont été fuitées.

Compte tenu de la nature et de la gravité de ces violations, la PIPC a décidé d’imposer à Meta une amende administrative et une sanction pour violation des réglementations de la loi concernant la limitation du traitement des informations sensibles, et a ordonné que Meta se mette en conformité. Enfin, la PIPC annonce qu’elle continuera de surveiller l’exécution des ordonnances de correction par Meta et s’efforcera d’assurer la protection des données personnelles de nos citoyens en appliquant la loi sans discrimination aux entreprises mondiales fournissant des services aux utilisateurs nationaux.

Disponible (en coréen) sur: pipc.go.kr
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

La Corée du Sud veut reconnaître l’UE « adéquate » afin de supprimer les obstacles à l’échange de données

En décembre 2021, l’Union européenne a publié une décision d’adéquation pour la Corée, reconnaissant le niveau de protection des données à caractère personnel en Corée comme équivalent à celui de l’Union européenne et autorisant le transfert de données à caractère personnel des États membres de l’UE vers la Corée (transferts offshore). Toutefois, comme il n’existait pas de système équivalent en Corée à l’époque, une décision mutuelle d’adéquation n’a pas pu être mise en œuvre et une décision unilatérale d’adéquation a été prise, qui n’a autorisé que le transfert de données à caractère personnel de l’UE vers la Corée.

La Corée du Sud a, depuis, modifié sa loi : ainsi, a l’occasion de la 46e Assemblée mondiale de la protection de la vie privée (GPA), le commissaire Ko a expliqué au ministre Reinders le fonctionnement du système de reconnaissance d’équivalence en Corée du Sud (équivalent du système d’adéquation), qui a été introduit par l’amendement de la loi sur la protection des informations personnelles l’année dernière, et les deux organisations ont convenu de continuer à renforcer leur coopération. La PIPC a choisi l’Union européenne comme premier pays à être considéré pour le système de reconnaissance d’équivalence afin de renforcer la coopération avec l’Union européenne, avec laquelle il a un partenariat stratégique de longue date et de confiance, et de soutenir la forte demande de transferts d’informations transfrontaliers sécurisés.

Pour rappel, l’Assemblée mondiale de la protection de la vie privée est la plus grande consultation internationale sur la protection de la vie privée, avec 140 organisations de 92 pays, dont la Corée, les États-Unis, l’Union européenne, le Royaume-Uni et le Japon, et se tient chaque année, la réunion de 2025 étant prévue à Séoul.

Disponible (en coréen) sur: pipc.go.kr
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

La PIPC va améliorer l’efficacité des AIPD menées par le secteur public

La Commission de protection des données personnelles (présidée par Ko Hak-soo, ci-après ‘la Commission’) a annoncé aujourd’hui l’entrée en vigueur de l’amendement au règlement relatif aux analyses d’impact sur la protection des données (AIPD). Ce nouveau règlement a été approuvé lors de la réunion plénière du 23.

La PIPC explique dans l’article qu’en Corée du Sud, l’AIPD est un processus que les institutions publiques qui ont l’intention de créer, d’exploiter ou de modifier des fichiers d’informations personnelles dépassant une certaine taille doivent mettre en œuvre afin d’analyser à l’avance les facteurs de risque potentiels de violation des informations personnelles et en déduisent des mesures d’amélioration afin d’induire la conception d’un processus de traitement des informations personnelles sûr.  Ces AIPD sont menés par des organismes indépendants désignés par l’autorité et le résultat doit ensuite être soumis à la PIPC, qui émettra au besoin des recommandations. Plus d’informations sont disponibles ici (en anglais). Cette AIPD concerne les :

① Fichiers de données personnelles contenant des informations sensibles ou des données d’identification uniques concernant plus de 50 000 personnes concernées.
② Fichiers de données personnelles liés à d’autres fichiers de données personnelles établis ou exploités à l’intérieur ou à l’extérieur des organismes publics, contenant des informations concernant plus de 500 000 personnes concernées.
③ Fichiers de données personnelles concernant plus de 1 million de personnes concernées.

Le projet d’amendement a pour but d’accroître l’efficacité du processus en élargissant et en réorganisant le Comité d’évaluation de l’impact sur la protection des données personnelles, en révisant les critères de désignation des organismes d’évaluation, et en systématisant les procédures d’évaluation et de mise en œuvre des mesures d’amélioration. Par exemple, les améliorations qui peuvent être apportées à court terme après l’analyse d’impact favoriseront une action rapide en raccourcissant le délai de présentation des plans de mise en œuvre (1 an → 2 mois).

Disponible (en coréen) sur: pipc.go.kr
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Corée: l’autorité sanctionne deux entreprises pour manquement à leurs obligations en matière de sécurité

La Commission de protection des informations personnelles (président Ko Hak-soo, ci-après dénommée « Commission de protection des informations personnelles ») a tenu sa 17e réunion plénière le 23 octobre (mercredi) et a voté l’imposition d’un total de 123,17 millions KRW d’amendes (soit environ 83 000 euros) et de 10,8 millions KRW (soit environ 7000 euros) de pénalités à deux entreprises* qui ont violé la loi sur la protection des informations personnelles.

* La première est Neo Pharm, un  exploitant d’un site web de centre commercial en ligne vendant des produits cosmétiques, etc. L’enquête a révélé que le pirate informatique a accédé à la page de l’administrateur Web du centre commercial exploité par Neopharm grâce aux informations du compte de l’administrateur du centre commercial obtenues à l’avance et a volé les informations personnelles des 293 723 membres du centre commercial. En particulier, le pirate informatique a accédé à la page de l’administrateur Web du centre commercial plus de 750 fois sur une période d’environ deux semaines, du 23 août au 5 août, a consulté et téléchargé des informations sur les membres et a envoyé environ 440 000 messages illégaux.

* La seconde est Ilhak Ltd., il s’agit d’un centre commercial qui a a fait l’objet d’une attaque d’insertion SQL par un pirate informatique pendant deux jours à partir du 23 décembre 17, et des informations personnelles ont été divulguées. Le pirate informatique qui a divulgué des informations personnelles a également affiché les informations personnelles de 10 000 personnes sur le tableau d’affichage du centre commercial.

Dans les deux cas,  la PIPC a constaté des lacunes dans la gestion de la sécurité. Par exemple, Neopharm avait négligé la gestion des droits d’accès en n’accordant pas de comptes à chaque gestionnaire d’informations personnelles et en partageant les comptes entre les départements, et qu’elle avait tardé à notifier les utilisateurs dont les informations personnelles avaient fait l’objet d’une fuite

En conséquence, la PIPC a condamné les deux entreprises :
* Neopharm: une amende de 105,17 millions de KRW et une pénalité de 7,2 millions de KRW (soit environ 75 000 euros au total)
* Ilhak: une amende de 15,17 millions de KRW et une pénalité de 7,2 millions de KRW (soit environ 15 000 euros au total)

L’autorité a déclaré que les entreprises qui fournissent des services et traitent des informations personnelles par l’intermédiaire de sites web doivent régulièrement gérer les comptes des gestionnaires d’informations personnelles et vérifier les failles de sécurité lorsqu’elles exploitent des pages d’administrateur web liées aux bases de données des membres, et qu’elles doivent prêter une attention constante aux attaques de vulnérabilité web bien connues, telles que les attaques par injection SQL, et prendre les mesures de sécurité appropriées.

Disponible (en coréen) sur: pipc.go.kr
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.