Contentieux relatif aux données personnelles

Les données personnelles désignent des informations relatives à une personne physique vivante et relevant de l'une des catégories suivantes (article 2, point 1, de la « Loi sur la protection des données personnelles » de la République de Corée).

L'entreprise doit classer au préalable les données qu'elle détient et traite selon qu'elles relèvent ou non des catégories ci-dessus, et se doter d'un dispositif de contrôle interne tenant compte de la possibilité de combinaison et du risque de réidentification.

En vertu de la Loi sur la protection des données personnelles de la République de Corée, la personne concernée peut demander des dommages-intérêts lorsqu'elle a subi un préjudice du fait d'un manquement du responsable du traitement.

L'entreprise peut alors difficilement s'exonérer de sa responsabilité si elle ne parvient pas à démontrer l'absence de faute intentionnelle ou de négligence.

Autrement dit, la structure du contentieux fait peser sur l'entreprise une charge de la preuve effective.

En outre, lorsque des données personnelles ont été perdues, dérobées, divulguées, falsifiées, altérées ou endommagées, la personne concernée peut demander des dommages-intérêts légaux dans la limite de 3 millions de wons, et ceux-ci peuvent être reconnus indépendamment du montant réel du préjudice.

Plus encore, lorsqu'une faute intentionnelle ou une faute lourde est retenue, la responsabilité peut être étendue jusqu'à 5 fois le montant du préjudice.

Le tribunal tient notamment compte, de manière globale, du degré de conscience de la faute intentionnelle, de l'ampleur du préjudice, du profit économique retiré, de la durée et du nombre des manquements, ainsi que des efforts de réparation du préjudice et de prévention de la récidive ; l'entreprise doit donc pouvoir démontrer non seulement sa réponse postérieure à l'incident, mais aussi la rigueur de son fonctionnement en temps normal.

L'entreprise doit concevoir sa stratégie de défense autour des éléments suivants.

Il importe non pas de rassembler les documents après la survenance du litige, mais de mettre en place une structure permettant d'utiliser directement comme justificatifs le fonctionnement ordinaire de l'entreprise.

Lorsqu'une enquête factuelle de l'autorité de contrôle est menée à la suite d'un signalement d'atteinte ou d'une réclamation, des sanctions administratives telles qu'une injonction de mise en conformité, une amende administrative ou une sanction pécuniaire administrative peuvent être prononcées.

L'entreprise peut contester ces sanctions, lorsqu'elle les estime illégales ou injustifiées, par la voie du recours administratif ou du contentieux administratif.

Les documents et déclarations produits au cours de cette procédure pouvant également influer sur les volets civil et pénal, une réponse stratégique s'impose.

La réponse au stade administratif doit être abordée, au-delà de l'atténuation des sanctions, sous l'angle d'une « gestion des faits » tenant compte des risques ultérieurs de contentieux et d'enquête.

En outre, une sanction administrative pouvant s'étendre à des risques de gestion secondaires tels que la publicité, la couverture médiatique ou l'érosion de la confiance des investisseurs, une réponse rapide est nécessaire.

L'acquisition frauduleuse de données personnelles, leur communication à un tiers sans consentement ou la divulgation ou la fuite de données personnelles connues dans l'exercice de ses fonctions peuvent donner lieu à des sanctions pénales.

Dans la procédure pénale, l'existence d'une intention, d'un caractère organisé ou d'un but lucratif constitue les principaux points de litige, et l'orientation des premières déclarations et de la production de documents peut avoir une incidence déterminante sur l'issue ultérieure du procès.

Le contentieux relatif aux données personnelles est une question qui consiste à démontrer l'adéquation de la structure d'exploitation en temps normal.

Le Cabinet d'avocats Daeryun fournit une stratégie globale, allant de la réponse aux enquêtes au contentieux administratif, en passant par la défense dans les actions en dommages-intérêts et la gestion du risque pénal, grâce à un système « une seule équipe » réunissant des avocats spécialisés en droit des affaires, en droit pénal, en droit civil et en droit administratif.

Par ailleurs, grâce à une infrastructure d'investigation numérique légale et de preuve électronique, il concourt à garantir l'intégrité des journaux et des documents électroniques et à analyser les flux de données, aidant ainsi l'entreprise à réduire au minimum l'étendue de sa responsabilité sur la base d'un dispositif de conformité et de sécurité explicable.

Avec un avocat spécialisé en intelligence artificielle, nous vous invitons à vérifier si la structure de traitement des données de votre entreprise est conçue de manière à rester explicable en cas de litige.