Dernières actualités : données personnelles

Sanctions contre deux universités n’ayant pas appliqué un patch de sécurité vieux de 6 ans

La Commission de protection des informations personnelles (Président Ko Hak-soo, ci-après dénommée « Commission des informations personnelles ») a annoncé avoir a voté l’imposition d’un total de 235,8 millions KRW d’amendes (environ 160 000 euros) et de 6,6 millions KRW (environ 4500 euros) de pénalités à l’Université Sunchunhyang et à l’Université Kyungsung pour avoir enfreint la Loi sur la protection des informations personnelles à propos de leurs obligations de sécurité.  Ces deux universités ont fait l’objet d’une enquête à la suite d’un rapport sur une fuite d’informations personnelles. Au cours de ces enquêtes, l’autorité a constaté :

* S’agissant de l’université Sunchunhyang : des informations personnelles ont été divulguées par des pirates informatiques qui ont exploité une vulnérabilité de logique web sur le site web principal de l’école. L’analyse des fichiers diffusés par le pirate sur les réseaux sociaux a confirmé que plus de 500 informations personnelles (nom, département, numéro de cours, adresse, coordonnées, affiliation, numéro de sécurité sociale, etc. Malgré cela, l’université Sunchonhyang n’a pas appliqué à ce jour le correctif de sécurité distribué par Oracle pour résoudre la vulnérabilité de la logique web en octobre 2017. En outre, l’université Sunchonhyang n’a pas mis en place les fonctions d’autres règles de sécurité essentielles, ni de  mesures de chiffrement lors de la conservation, dans un espace de stockage interne, de preuves relatives au recrutement de conférenciers contenant des numéros d’identification nationaux.
En conséquence, la PIPC a imposé une amende de 193 millions de KRW et une pénalité de 6,6 millions de KRW (environ 135 000 euros au total) à l’université Sunchonhyang, et a ordonné des mesures correctives afin de remédier aux carences mises en évidence.

* S’agissant de l’université Kyungsung : des informations personnelles ont été divulguées à la suite d’un piratage du système d’information global du campus (portail Kyungsung), de la même manière qu’à l’université Sunchonhyang, et les pirates ont diffusé les informations personnelles volées sur les services de réseaux sociaux. Après avoir analysé les fichiers publiés par les pirates, il a été confirmé que les informations personnelles (nom, département, numéro de cours, numéro de téléphone portable) de plus de 2 000 étudiants ont  été divulguées. À la suite de l’enquête, l’Université Kyungsung n’a pas non plus appliqué le correctif de sécurité distribué par Oracle en octobre 2017 pour résoudre la vulnérabilité de la logique web.
En réponse, la Commission de protection des informations personnelles a imposé une amende de 42,8 millions de wons (environ 29 000 euros) à l’université et lui a demandé d’améliorer l’ensemble de ses mesures de protection des informations personnelles.

L’autorité note qu’il est probable que les deux universités aient été attaquées par le même pirate informatique car elles ont laissé des vulnérabilités dans la logique web de leurs systèmes de traitement des informations personnelles non améliorées pendant plus de six ans.

Disponible (en coréen) sur: pipc.go.kr
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Le Comité de protection des données personnelles sanctionne Meta pour la collecte et l’utilisation d’informations sensibles sans base légale … mais pas que

Le 4 novembre, l’autorité de protection des données sud-coréenne (présidé par Ko Hak-soo, ci-après « PIPC ») a tenu sa 18e réunion plénière et a décidé d’imposer une amende administrative de 21,6 milliards de won (soit environ 15 millions d’euros) et une ordonnance corrective à Meta Platforms, Inc. (ci-après « Meta ») pour violation de la loi sur la protection des données personnelles. La PIPC a pris connaissance des faits selon lesquels Meta a collecté et utilisé des informations sensibles sans consentement, et a  décidé de lancer une enquête à ce sujet. Au cours de cette enquête, des plaintes ont été déposées au sujet du refus injustifié d’information concernant le traitement de données personnelles et des signalements de fuite de données due à des piratages, à la suite de quoi une seconde enquête a été lancée.

Les résultats des enquêtes menées par l’autorité coréenne montrent que :
1 – Meta a collecté des informations sensibles sans base légale, telles que les croyances religieuses et politiques, ainsi que la situation matrimoniale concernant les personnes de même sexe, d’environ 980,000 utilisateurs en Corée du Sud via leurs profils Facebook dans le passé. Ces informations ont été fournies à environ 4,000 annonceurs qui les ont utilisées. Plus précisément, des publicités liées à des thèmes sensibles (religions spécifiques, homosexualité, transgender, réfugiés nord-coréens, etc.) ont été créées en analysant les informations de comportement des utilisateurs, comme les pages « aimées » sur Facebook et les publicités cliquées.

En Corée du Sud, comme dans l’Union Européenne, la loi sur la protection des données considère les informations concernant les croyances, les opinions politiques, la vie sexuelle, etc., comme des informations sensibles qui doivent être strictement protégées et, en principe, leur traitement est limité. Il n’est possible de les traiter que dans des cas exceptionnels où un consentement distinct de la personne concernée a été obtenu ou en cas de base légale. Cependant, la PIPC a constaté que Meta a collecté ces informations sensibles et les a utilisées pour des services personnalisés sans obtenir de consentement distinct, et n’a pas mis en place de mesures supplémentaires de protection, même si ces pratiques étaient vaguement mentionnées dans sa politique de données.

La PIPC note cependant un bon point : Meta a cessé de collecter des informations sensibles à partir des profils (août 2021) et a détruit les thèmes publicitaires concernés (mars 2022), prenant ainsi des mesures correctives d’auto-initiation.

2- Meta a rejeté les demandes d’information des utilisateurs concernant le traitement de leurs données personnelles (durée de traitement des données personnelles, état de fourniture des données via la connexion Facebook, base de collecte d’informations sur les activités externes à Facebook et historique de consentement, etc.) en arguant, à tort, qu’elles ne faisaient pas partie des demandes d’accès selon la loi alors.

3- Meta aurait dû prendre des mesures de sécurité concernant des comptes et pages inactifs, telles que la suppression ou le blocage des pages / comptes.  Du fait de ce manquement, un hacker a pu soumettre une pièce d’identité falsifiée via la page de récupération de compte non utilisée pour demander la réinitialisation du mot de passe d’un autre compte. Meta a approuvé cette demande sans procéder à des vérifications adéquates de la pièce d’identité falsifiée, et les données personnelles de 10 utilisateurs coréens ont été fuitées.

Compte tenu de la nature et de la gravité de ces violations, la PIPC a décidé d’imposer à Meta une amende administrative et une sanction pour violation des réglementations de la loi concernant la limitation du traitement des informations sensibles, et a ordonné que Meta se mette en conformité. Enfin, la PIPC annonce qu’elle continuera de surveiller l’exécution des ordonnances de correction par Meta et s’efforcera d’assurer la protection des données personnelles de nos citoyens en appliquant la loi sans discrimination aux entreprises mondiales fournissant des services aux utilisateurs nationaux.

Disponible (en coréen) sur: pipc.go.kr
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

La PIPC va améliorer l’efficacité des AIPD menées par le secteur public

La Commission de protection des données personnelles (présidée par Ko Hak-soo, ci-après ‘la Commission’) a annoncé aujourd’hui l’entrée en vigueur de l’amendement au règlement relatif aux analyses d’impact sur la protection des données (AIPD). Ce nouveau règlement a été approuvé lors de la réunion plénière du 23.

La PIPC explique dans l’article qu’en Corée du Sud, l’AIPD est un processus que les institutions publiques qui ont l’intention de créer, d’exploiter ou de modifier des fichiers d’informations personnelles dépassant une certaine taille doivent mettre en œuvre afin d’analyser à l’avance les facteurs de risque potentiels de violation des informations personnelles et en déduisent des mesures d’amélioration afin d’induire la conception d’un processus de traitement des informations personnelles sûr.  Ces AIPD sont menés par des organismes indépendants désignés par l’autorité et le résultat doit ensuite être soumis à la PIPC, qui émettra au besoin des recommandations. Plus d’informations sont disponibles ici (en anglais). Cette AIPD concerne les :

① Fichiers de données personnelles contenant des informations sensibles ou des données d’identification uniques concernant plus de 50 000 personnes concernées.
② Fichiers de données personnelles liés à d’autres fichiers de données personnelles établis ou exploités à l’intérieur ou à l’extérieur des organismes publics, contenant des informations concernant plus de 500 000 personnes concernées.
③ Fichiers de données personnelles concernant plus de 1 million de personnes concernées.

Le projet d’amendement a pour but d’accroître l’efficacité du processus en élargissant et en réorganisant le Comité d’évaluation de l’impact sur la protection des données personnelles, en révisant les critères de désignation des organismes d’évaluation, et en systématisant les procédures d’évaluation et de mise en œuvre des mesures d’amélioration. Par exemple, les améliorations qui peuvent être apportées à court terme après l’analyse d’impact favoriseront une action rapide en raccourcissant le délai de présentation des plans de mise en œuvre (1 an → 2 mois).

Disponible (en coréen) sur: pipc.go.kr
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Corée: l’autorité sanctionne deux entreprises pour manquement à leurs obligations en matière de sécurité

La Commission de protection des informations personnelles (président Ko Hak-soo, ci-après dénommée « Commission de protection des informations personnelles ») a tenu sa 17e réunion plénière le 23 octobre (mercredi) et a voté l’imposition d’un total de 123,17 millions KRW d’amendes (soit environ 83 000 euros) et de 10,8 millions KRW (soit environ 7000 euros) de pénalités à deux entreprises* qui ont violé la loi sur la protection des informations personnelles.

* La première est Neo Pharm, un  exploitant d’un site web de centre commercial en ligne vendant des produits cosmétiques, etc. L’enquête a révélé que le pirate informatique a accédé à la page de l’administrateur Web du centre commercial exploité par Neopharm grâce aux informations du compte de l’administrateur du centre commercial obtenues à l’avance et a volé les informations personnelles des 293 723 membres du centre commercial. En particulier, le pirate informatique a accédé à la page de l’administrateur Web du centre commercial plus de 750 fois sur une période d’environ deux semaines, du 23 août au 5 août, a consulté et téléchargé des informations sur les membres et a envoyé environ 440 000 messages illégaux.

* La seconde est Ilhak Ltd., il s’agit d’un centre commercial qui a a fait l’objet d’une attaque d’insertion SQL par un pirate informatique pendant deux jours à partir du 23 décembre 17, et des informations personnelles ont été divulguées. Le pirate informatique qui a divulgué des informations personnelles a également affiché les informations personnelles de 10 000 personnes sur le tableau d’affichage du centre commercial.

Dans les deux cas,  la PIPC a constaté des lacunes dans la gestion de la sécurité. Par exemple, Neopharm avait négligé la gestion des droits d’accès en n’accordant pas de comptes à chaque gestionnaire d’informations personnelles et en partageant les comptes entre les départements, et qu’elle avait tardé à notifier les utilisateurs dont les informations personnelles avaient fait l’objet d’une fuite

En conséquence, la PIPC a condamné les deux entreprises :
* Neopharm: une amende de 105,17 millions de KRW et une pénalité de 7,2 millions de KRW (soit environ 75 000 euros au total)
* Ilhak: une amende de 15,17 millions de KRW et une pénalité de 7,2 millions de KRW (soit environ 15 000 euros au total)

L’autorité a déclaré que les entreprises qui fournissent des services et traitent des informations personnelles par l’intermédiaire de sites web doivent régulièrement gérer les comptes des gestionnaires d’informations personnelles et vérifier les failles de sécurité lorsqu’elles exploitent des pages d’administrateur web liées aux bases de données des membres, et qu’elles doivent prêter une attention constante aux attaques de vulnérabilité web bien connues, telles que les attaques par injection SQL, et prendre les mesures de sécurité appropriées.

Disponible (en coréen) sur: pipc.go.kr
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.