CONTENTS
- 1. Clients ayant sollicité une assistance pour une infraction à la Loi sur la protection des données personnelles
- - Qu’est-ce qu’une infraction à la Loi sur la protection des données personnelles ?
- - Infraction à la Loi sur la protection des données personnelles : comment réagir seul ?
- 2. Élaboration d’une stratégie de défense concernant les soupçons d’infraction à la Loi sur la protection des données personnelles
- - Le vendeur non identifié de données personnelles avait-il la qualité de responsable du traitement ?
- - Les données ont-elles été reçues en connaissance de ces circonstances ?
- 3. Décision de non-transmission au parquet malgré les soupçons d’infraction à la Loi sur la protection des données personnelles
1. Clients ayant sollicité une assistance pour une infraction à la Loi sur la protection des données personnelles
Voici la situation des clients ayant sollicité une assistance pour une infraction à la Loi sur la protection des données personnelles de la République de Corée.
Les faits dont les clients étaient soupçonnés étaient les suivants.
Toute personne qui traite ou a traité des données personnelles ne doit ni divulguer les données personnelles dont elle a eu connaissance dans le cadre de ses activités, ni les fournir sans autorisation afin qu’un tiers les utilise. Nul ne doit non plus recevoir ces données à des fins lucratives ou illicites en ayant connaissance de ces circonstances.
Malgré cela, les clients avaient reçu d’un vendeur proposant des données personnelles sur Internet un fichier contenant notamment les noms et numéros de téléphone portable d’un nombre indéterminé de personnes.
Ils s’étaient concertés pour utiliser ces données dans des publicités illicites diffusées sur la communauté en ligne qu’ils exploitaient.
Des avocats de Daeryun spécialisés en droit pénal ont constitué une équipe dédiée afin d’examiner l’affaire et d’y répondre.
Qu’est-ce qu’une infraction à la Loi sur la protection des données personnelles ?
🔗L’infraction à la Loi sur la protection des données personnelles désigne le non-respect des règles légales applicables au traitement des données personnelles en République de Corée.
Selon cette loi, toute personne traitant des données personnelles, notamment une entreprise ou un organisme, ne doit ni divulguer sans autorisation les données dont elle a eu connaissance dans le cadre de ses activités, ni les fournir afin qu’un tiers puisse les utiliser sans habilitation légitime.
Il est également strictement interdit de recevoir de telles données personnelles à des fins lucratives ou illicites.
Toute personne relevant de l’un des cas suivants encourt une peine d’emprisonnement avec travail de 5 ans au plus ou une amende pénale de 50 millions de wons sud-coréens au plus.
Toute personne qui, en violation des dispositions ci-dessous, divulgue des données personnelles dont elle a eu connaissance dans le cadre de ses activités ou les fournit sans autorisation afin qu’un tiers les utilise, ainsi que toute personne qui reçoit ces données à des fins lucratives ou illicites en ayant connaissance de ces circonstances
1. Obtention de données personnelles ou du consentement à leur traitement par de fausses déclarations ou par tout autre moyen ou procédé illicite
2. Divulgation de données personnelles connues dans le cadre de ses activités ou fourniture de celles-ci sans autorisation afin qu’un tiers les utilise
3. Utilisation, détérioration, destruction, modification, falsification ou divulgation des données personnelles d’un tiers sans habilitation légitime ou au-delà des pouvoirs autorisés
Infraction à la Loi sur la protection des données personnelles : comment réagir seul ?
Lorsqu’une personne fait l’objet d’une enquête pour une infraction à la Loi sur la protection des données personnelles de la République de Corée, il est important qu’elle expose précisément les faits en réponse aux questions des enquêteurs et indique clairement qu’elle ignorait le caractère illicite des actes.
Consigner autant que possible l’origine des données personnelles et les circonstances dans lesquelles elles ont été fournies, puis présenter les pièces justificatives, peut contribuer à la défense.
Une analyse juridique étant toutefois nécessaire dès le début de l’enquête, une réponse sans assistance peut présenter certaines limites.
2. Élaboration d’une stratégie de défense concernant les soupçons d’infraction à la Loi sur la protection des données personnelles
Une stratégie de défense a été élaborée pour les clients soupçonnés d’une infraction à la Loi sur la protection des données personnelles de la République de Corée.
Les avocats de Daeryun spécialisés en droit pénal ont reconnu les faits essentiels, tout en portant leur attention sur les questions suivantes.
-Le seul fait que les clients aient reçu un fichier contenant des données personnelles suffit-il à constituer une infraction à la Loi sur la protection des données personnelles ?
Le vendeur non identifié de données personnelles avait-il la qualité de responsable du traitement ?
Pour que l’infraction prévue à l’article 71, point 9, de la Loi sur la protection des données personnelles de la République de Corée soit retenue à l’encontre des clients, les conditions suivantes doivent être remplies.
▲La personne ayant fourni les données personnelles doit être une personne qui traite ou a traité de telles données
▲Il doit être établi que les données personnelles ont été reçues « en connaissance » du fait que leur fournisseur les avait divulguées après en avoir pris connaissance dans le cadre de ses activités ou les avait fournies sans autorisation afin qu’un tiers les utilise
Les avocats spécialisés en droit pénal ont soutenu qu’il convenait d’établir de manière rigoureuse si le « vendeur non identifié de données personnelles » qui avait fourni celles-ci aux clients était, au-delà du simple détenteur d’un grand nombre de fichiers circulant illicitement, une personne traitant des données personnelles « dans le cadre de ses activités ».
Ils ont souligné qu’en l’absence de preuve claire à cet égard, le simple fait que le vendeur non identifié ait diffusé des fichiers contenant des données personnelles ne permettait pas de le considérer comme un « responsable du traitement des données personnelles ».
Les données ont-elles été reçues en connaissance de ces circonstances ?
Pour relever de la catégorie des « personnes ayant reçu les données », sanctionnée par l’article 71, point 9, de la Loi sur la protection des données personnelles de la République de Corée, il faut avoir reçu les données tout en sachant que leur fournisseur les avait divulguées après en avoir pris connaissance dans le cadre de ses activités ou les avait fournies sans autorisation afin qu’un tiers les utilise.
Or, les clients savaient seulement que les données personnelles avaient été divulguées quelque part et ne disposaient d’aucune information sur l’origine du fichier ou son fournisseur.
① Les données personnelles avaient-elles été acquises, à l’étape antérieure, par un responsable du traitement au moyen de déclarations fausses ou de procédés illicites ?
② Le processus d’obtention du consentement au traitement de ces données était-il entaché d’illégalité ?
La Cour a jugé que, si ces circonstances n’étaient pas connues de manière concrète, le seul défaut de consentement de la personne concernée ne permettait pas de sanctionner le destinataire des données.
Elle a considéré que, même si les intéressés savaient que les données personnelles avaient été achetées sans le consentement des personnes concernées, l’absence d’informations sur leur origine ou sur les circonstances de leur diffusion ne permettait guère de conclure qu’ils avaient une connaissance concrète des circonstances précitées.
3. Décision de non-transmission au parquet malgré les soupçons d’infraction à la Loi sur la protection des données personnelles
L’affaire concernant les clients ayant sollicité une assistance pour une infraction à la Loi sur la protection des données personnelles de la République de Corée s’est achevée par une décision de la police de ne pas transmettre le dossier au parquet.
Retenant les observations de l’avocat de Daeryun, la police a estimé qu’aucun élément ne permettait d’établir que les clients avaient reçu les données personnelles en ayant une connaissance suffisante des circonstances de leur diffusion illicite ou de leur acquisition irrégulière. Elle a donc décidé de ne pas transmettre le dossier au parquet.
Une affaire relative à une infraction à la Loi sur la protection des données personnelles ne se limite pas à la diffusion de messages publicitaires indésirables ou non autorisés. L’achat et l’utilisation de données personnelles à des fins lucratives peuvent constituer une infraction grave susceptible d’entraîner une sanction pénale.
Une analyse juridique menée par un avocat connaissant la procédure pénale peut donc être utile dès le début de l’enquête.
Dans cette affaire, une équipe dédiée du Cabinet d’avocats Daeryun est intervenue pour examiner les faits et les questions juridiques en cause.
Ce contenu est basé sur des études de cas réelles de Cabinet d’avocats Daeryun avec quelques adaptations, et les droits d'auteur appartiennent à notre cabinet.
Toute reproduction, duplication ou distribution non autorisée et toute autre violation des droits d'auteur peuvent entraîner des poursuites judiciaires en vertu des lois applicables.
