Faire face à une enquête et à une sanction de la Commission de protection des informations personnelles

À quelle étape en êtes-vous ?

Sélectionnez votre étape actuelle : son contenu s'affiche ci-dessous.

1. 1Déclaration de fuite / déclenchement de l'enquête
2. 2Examen préliminaire / ouverture de l'enquête
3. 3Demande de production de documents
4. 4Enquête sur place / déclarations en personne
5. 5Rapport sur les résultats de l'enquête
6. 6Avis préalable de sanction / présentation d'observations / consultation des preuves
7. 7Délibération et décision en séance plénière / sous-commission
8. 8Signification de la décision écrite / prise d'effet de la sanction
9. 9Réclamation / recours administratif / action administrative

• Étape de base
• Mesure supplémentaire / option
• Rejet / opposition
• Fin de la procédure

Durée

Dans les 6 mois (12 mois pour les affaires complexes) entre le début de l'enquête et le rapport sur ses résultats ; la présentation d'observations, la délibération et la décision qui suivent varient selon les affaires

Coût

Les honoraires d'avocat et le droit de timbre d'une action administrative sont à part ; renseignez-vous auprès de l'enquêteur en charge sur les éventuels frais de la procédure de la Commission

Déroulement de la procédure

À lire dans l'ordre, du début à la fin. Le texte en rouge signale les délais fixés par la loi.

1. 1

   Une fuite d'informations concernant 1,000 personnes ou plus, une fuite d'informations sensibles ou d'identifiants uniques, ou une fuite causée par un accès extérieur illicite doit être déclarée à la Commission ou à un organisme spécialisé (Korea Internet & Security Agency) dans les 72 heures suivant le moment où vous en avez eu connaissance (Loi sur la protection des informations personnelles, §34(4), décret d'application, §40(1)). Si vous n'avez pas pu confirmer tous les détails, déclarez d'abord ce qui est confirmé et déclarez les éléments complémentaires dès qu'ils sont confirmés (décret d'application, §40(2)). Informez les personnes concernées sans délai (Loi, §34(1)). Le moment où vous avez appris l'incident sert de base au délai : consignez-le dès l'heure du signalement interne.

2. 2

   Lorsque la Commission ouvre une enquête après un examen préliminaire (Règlement sur les enquêtes et les sanctions, §5, §6 ; pour les affaires signalées, la décision d'ouvrir ou non l'enquête est rapportée dans les 14 jours suivant l'attribution de l'affaire), conservez les logs et documents correspondants. Si vous faites l'objet d'une inspection préalable au lieu d'une enquête, vous devez indiquer si vous acceptez une recommandation de mise en conformité dans les 10 jours suivant sa notification (Loi, §63-2(3)). Si vous ne l'acceptez pas ou ne l'exécutez pas, l'affaire peut passer en inspection.

3. 3

   Vérifiez le délai de production indiqué dans la lettre d'enquête (Règlement, §9(2)), et si une prorogation est nécessaire, demandez-la avant l'expiration du délai (§12-2). Une lettre d'enquête sur place précise que vous pouvez refuser une enquête dépassant son périmètre (§10(2), point 6) : vérifiez donc d'abord le périmètre. Sur demande, l'avocat de la défense assiste à l'enquête (§13).

4. 4

   Les résultats de l'enquête sont rapportés dans les 6 mois (12 mois pour les affaires complexes) suivant le début de l'enquête (Règlement, §7(2)). Si l'affaire se termine par un classement de l'enquête ou par un avertissement ou un rappel à l'attention décidé par délégation, vous en êtes informé dans les 14 jours (§15-2 à §15-4). Si elle passe en procédure de sanction, un avis préalable vous parviendra : commencez donc à préparer vos observations écrites à l'avance.

5. 5

   L'avis préalable arrive dans les 14 jours suivant l'achèvement du rapport sur les résultats de l'enquête, et un délai de 14 jours ou plus pour présenter des observations est accordé (Règlement, §16(1)). Dans une affaire de sanction pécuniaire, vous devez produire les documents prouvant le chiffre d'affaires à cette date (§16-2(3)). Demandez à consulter et copier les pièces justificatives pour les vérifier (§17). Vous devez voir les fondements pour les contester avec précision.

6. 6

   La décision écrite est établie dans les 30 jours suivant la date de la décision, et les mesures correctives et les sanctions pécuniaires prennent effet à compter du jour de la signification de la décision écrite (Règlement, §25, §25-2). Une sanction pécuniaire est fixée dans la limite de 3 % du chiffre d'affaires total (hors chiffre d'affaires sans lien), ou de 10 % en cas de circonstances aggravantes comme une récidive intentionnelle ou par négligence grave (Loi, §64-2), et se paie dans les 30 jours suivant la réception de l'avis (décret d'application, §60-3(2)). En cas de soupçon d'infraction pénale, l'entreprise peut faire l'objet d'une plainte (§65).

   Étape actuelle
7. 7

   Formez une réclamation dans les 30 jours suivant la réception de la décision (Loi-cadre sur l'administration, §36), ou un recours administratif ou une action administrative dans les 90 jours suivant le jour où vous avez eu connaissance de la décision (Loi sur les recours administratifs, §27, Loi sur le contentieux administratif, §20). Pour une amende administrative, si vous déposez une opposition écrite dans les 60 jours suivant la réception de l'avis d'imposition, l'affaire passe en procès devant le tribunal en matière d'amende administrative (Loi sur la réglementation des infractions à l'ordre public, §20).

Questions fréquentes

Les questions pratiques qui se posent d'emblée dans cette procédure.

QL'ampleur de la fuite n'est pas encore confirmée. Devons-nous quand même déclarer dans les 72 heures ?

Oui. Si la fuite peut être soumise à déclaration, il est plus sûr de déclarer d'abord dans la limite de ce qui a été confirmé jusque-là. Le décret d'application le prévoit aussi. Si vous n'avez pas pu confirmer les éléments précis ayant fuité ou les circonstances, déclarez d'abord ce qui est confirmé à ce moment-là.Déclarez les éléments complémentaires dès qu'ils sont confirmés. Le délai court à partir du moment où vous avez eu connaissance de la fuite : si vous ne déclarez qu'après avoir confirmé toute son ampleur, vous risquez de dépasser le délai.Indiquez que vous déclarerez plus tard les points non confirmés, et complétez la déclaration avec ce que révélera l'enquête ultérieure. Ce que vous écrivez dans la déclaration sert de base à l'enquête ultérieure : n'écrivez donc que des faits.

QQue faire si nous ne pouvons pas tout produire dans le délai de production des documents ?

Demandez une prorogation avant l'expiration du délai de production. Selon le règlement, une demande de prorogation doit être présentée avant l'expiration du délai ou avant le début de l'enquête. Si vous produisez d'abord les documents prêts et indiquez un calendrier pour le reste, vous pouvez réduire le malentendu selon lequel vous ne coopérez pas.

QLors d'une enquête sur place, devons-nous montrer tout ce que demande l'enquêteur ?

Vous devez coopérer en produisant les documents relevant du périmètre indiqué dans la lettre d'enquête, mais la lettre précise que vous pouvez refuser une enquête dépassant ce périmètre.Vérifiez donc d'abord l'objet et le périmètre de la lettre, et pour les demandes que vous estimez hors périmètre, indiquez vos motifs et gardez-en une trace. Sur demande, l'avocat de la défense peut assister à l'enquête : s'il est difficile de juger sur place, consultez-le.

QNous avons reçu un avis préalable. Quel est le délai pour présenter des observations ?

Respectez le délai indiqué dans l'avis préalable ; selon le règlement, il est fixé à 14 jours ou plus. Pendant ce délai, présentez des observations écrites contestant les faits, le droit et le niveau de la sanction.Dans une affaire de sanction pécuniaire (sanction en argent infligée pour une infraction), vous devez aussi produire les documents prouvant votre chiffre d'affaires à la même date. Il est plus juste de répondre après avoir demandé à consulter et copier les pièces justificatives.

QQuel peut être le montant de la sanction pécuniaire ?

En principe, elle est fixée dans la limite de 3 % du chiffre d'affaires total. Le chiffre d'affaires sans lien avec l'infraction est exclu de la base de calcul.Selon la réforme du 2026. 3. 10., il existe des cas où jusqu'à 10 % peuvent être infligés : une récidive dans les 3 ans due à une faute intentionnelle ou une négligence grave, ou une infraction intentionnelle ou par négligence grave touchant 10 millions de personnes ou plus.Les cas où une fuite s'est produite faute d'avoir exécuté un ordre de mise en conformité sont aussi concernés. Produire, au stade des observations, des documents permettant d'exclure le chiffre d'affaires sans lien influe donc directement sur le montant.Une sanction pécuniaire doit être payée à l'établissement financier désigné par la Commission dans les 30 jours suivant la réception de l'avis d'imposition. En cas de retard, une majoration de 6 % par an s'ajoute.

QPour contester la sanction, devons-nous d'abord former une réclamation ?

Non. Vous pouvez former une réclamation auprès de la Commission dans les 30 jours suivant la réception de la décision. Vous pouvez aussi former directement un recours administratif ou une action administrative, sans réclamation, dans les 90 jours suivant le jour où vous avez eu connaissance de la décision.Si vous avez formé une réclamation, formez un recours administratif ou une action dans les 90 jours suivant la notification de son résultat. Une amende administrative se conteste séparément par une opposition écrite dans les 60 jours.