Règles de protection des données personnelles | Réexamen global de l’externalisation des centres de relation client… besoin accru de conseil en protection des données personnelles

Ce contrôle vise principalement à vérifier l’exécution de l’obligation de prendre des mesures de sécurité et de l’obligation de gestion et de surveillance incombant au donneur d’ordre en vertu de la Loi sur la protection des données personnelles de la République de Corée.

En particulier, lorsque le traitement de données personnelles est externalisé, la responsabilité des actes illicites commis par les employés du prestataire est en principe imputée à l’entreprise donneuse d’ordre.

L’entreprise ne peut donc pas s’exonérer de sa responsabilité par la seule conclusion d’un contrat d’externalisation et doit pouvoir prouver qu’elle s’est effectivement acquittée de ses obligations de gestion et de surveillance.

Cette structure juridique signifie que les règles de protection des données personnelles de l’entreprise ne doivent pas rester de simples règles internes, mais fonctionner comme un véritable dispositif opérationnel et de contrôle.

La gestion des droits d’accès, le contrôle des comptes, la gestion des journaux de connexion ainsi que la formation et le contrôle des prestataires constituent notamment des éléments essentiels directement liés à la responsabilité juridique.

Ce contrôle portera particulièrement sur les principaux éléments des règles de protection des données personnelles, notamment la gestion des droits d’accès des conseillers, le retrait des droits lors d’un changement de fonctions, l’interdiction du partage de comptes, la gestion des journaux de connexion ainsi que les dispositifs de formation et de surveillance des prestataires.

En pratique, la difficulté ne réside pas dans « l’existence formelle des règles », mais dans « leur application effective ».

Par exemple, même s’il existe une politique de limitation des droits au strict nécessaire, l’octroi effectif de droits de consultation excessifs peut être considéré comme une violation. De même, l’absence de retrait immédiat du compte d’un salarié ayant quitté l’entreprise constitue un risque majeur.

Au-delà de la simple conservation des journaux de connexion, l’existence d’un dispositif de détection des accès anormaux devrait également constituer un point de contrôle important.

Principaux axes de contrôle des règles de protection des données personnelles

Bien que ce contrôle porte principalement sur 5 secteurs déterminés, le traitement de données personnelles par l’intermédiaire de centres de relation client existe dans de nombreux secteurs.

En particulier, malgré le niveau déjà élevé de réglementation applicable aux secteurs de la finance, des plateformes, des télécommunications et de la santé, ceux-ci présentent des risques similaires liés aux modalités d’exploitation des centres de relation client et pourraient donc être ultérieurement inclus dans le périmètre des contrôles.

Dans le secteur financier, par exemple, la Loi sur la protection des données personnelles et la réglementation financière s’appliquent cumulativement. Les entreprises exploitant des plateformes peuvent elles aussi être soumises, en pratique, à la même réglementation, car l’exploitation de leurs centres de relation client est étroitement liée à leur structure de traitement des données.

Il est donc opportun de procéder dès maintenant à un examen préventif de l’ensemble des règles de protection des données personnelles, même pour les entreprises qui ne sont pas directement visées par le contrôle actuel.

Les règles de protection des données personnelles doivent être conçues de manière à permettre la maîtrise des risques dans l’environnement opérationnel réel.

En particulier, lorsque de nombreuses parties prenantes interviennent, comme dans une structure d’externalisation d’un centre de service client, il est essentiel d’examiner l’ensemble du système de gestion dans le cadre d’un conseil en protection des données personnelles.

Le Cabinet d'avocats Daeryun analyse de manière globale la Loi sur la protection des données personnelles de la République de Corée, la Loi sur les réseaux d’information et de communication et la réglementation relative aux transactions financières électroniques afin d’évaluer le dispositif de protection des données personnelles des entreprises.

Il fournit notamment des conseils pratiques en matière de protection des données personnelles, depuis l’examen de la structure des contrats d’externalisation, la conception du système de gestion et de surveillance des prestataires et l’élaboration de politiques de gestion des droits d’accès et des journaux jusqu’à la mise en place d’un dispositif d’audit interne et de réponse.

S’appuyant également sur son expérience en matière de réponse aux fuites de données personnelles et aux enquêtes, il aide les entreprises à réduire leurs risques juridiques en proposant une stratégie coordonnée couvrant l’examen préalable et la réponse aux enquêtes.

Dans un environnement réglementaire de plus en plus strict, les règles de protection des données personnelles constituent un facteur essentiel directement lié à la confiance accordée aux entreprises.

Daeryun, classé 9e cabinet d’avocats en République de Corée sur la base des déclarations de TVA de l’année 25 auprès du Service national des impôts de la République de Corée, proposera des conseils juridiques concrets et des stratégies de réponse afin d’aider les entreprises à exercer leurs activités de manière stable face à l’évolution de l’environnement réglementaire.

Si vous avez besoin d’assistance, vous pouvez prendre un rendez-vous pour une 🔗consultation juridique avec un avocat en droit des affaires.