Infraction à la Loi sur la protection des données personnelles | Décision de non-transmission au parquet concernant des soupçons d’utilisation illicite de données personnelles

🔗L’infraction à la Loi sur la protection des données personnelles désigne le non-respect des règles légales applicables au traitement des données personnelles en République de Corée.

Selon cette loi, toute personne traitant des données personnelles, notamment une entreprise ou un organisme, ne doit ni divulguer sans autorisation les données dont elle a eu connaissance dans le cadre de ses activités, ni les fournir afin qu’un tiers puisse les utiliser sans habilitation légitime.

Il est également strictement interdit de recevoir de telles données personnelles à des fins lucratives ou illicites.

Lorsqu’une personne fait l’objet d’une enquête pour une infraction à la Loi sur la protection des données personnelles de la République de Corée, il est important qu’elle expose précisément les faits en réponse aux questions des enquêteurs et indique clairement qu’elle ignorait le caractère illicite des actes.

Consigner autant que possible l’origine des données personnelles et les circonstances dans lesquelles elles ont été fournies, puis présenter les pièces justificatives, peut contribuer à la défense.

Une analyse juridique étant toutefois nécessaire dès le début de l’enquête, une réponse sans assistance peut présenter certaines limites.

Pour que l’infraction prévue à l’article 71, point 9, de la Loi sur la protection des données personnelles de la République de Corée soit retenue à l’encontre des clients, les conditions suivantes doivent être remplies.

▲La personne ayant fourni les données personnelles doit être une personne qui traite ou a traité de telles données
▲Il doit être établi que les données personnelles ont été reçues « en connaissance » du fait que leur fournisseur les avait divulguées après en avoir pris connaissance dans le cadre de ses activités ou les avait fournies sans autorisation afin qu’un tiers les utilise

Les avocats spécialisés en droit pénal ont soutenu qu’il convenait d’établir de manière rigoureuse si le « vendeur non identifié de données personnelles » qui avait fourni celles-ci aux clients était, au-delà du simple détenteur d’un grand nombre de fichiers circulant illicitement, une personne traitant des données personnelles « dans le cadre de ses activités ».

Ils ont souligné qu’en l’absence de preuve claire à cet égard, le simple fait que le vendeur non identifié ait diffusé des fichiers contenant des données personnelles ne permettait pas de le considérer comme un « responsable du traitement des données personnelles ».

Pour relever de la catégorie des « personnes ayant reçu les données », sanctionnée par l’article 71, point 9, de la Loi sur la protection des données personnelles de la République de Corée, il faut avoir reçu les données tout en sachant que leur fournisseur les avait divulguées après en avoir pris connaissance dans le cadre de ses activités ou les avait fournies sans autorisation afin qu’un tiers les utilise.

Or, les clients savaient seulement que les données personnelles avaient été divulguées quelque part et ne disposaient d’aucune information sur l’origine du fichier ou son fournisseur.