CONTENTS
- 1. Présentation de l’affaire relative à l’infraction à la Loi sur la protection des données personnelles
- - Infraction à la Loi sur la protection des données personnelles : appréciation de la juridiction précédente
- 2. Infraction à la Loi sur la protection des données personnelles : appréciation de la Cour suprême
- 3. Infraction à la Loi sur la protection des données personnelles : stratégie de Daeryun
1. Présentation de l’affaire relative à l’infraction à la Loi sur la protection des données personnelles
Les personnes poursuivies avaient décidé de recevoir des données personnelles concernant des clients dont l’abonnement à un service Internet arrivait bientôt à échéance, de les contacter par téléphone afin de leur recommander de souscrire à un autre service Internet et de leur en faire la promotion, ou encore de transmettre ces données personnelles à d’autres opérateurs.
La personne poursuivie n° 1 a reçu des données personnelles de la personne extérieure aux poursuites n° 3 et d’une personne non identifiée, la personne poursuivie n° 2 en a reçu de la personne extérieure aux poursuites n° 1 et la personne poursuivie n° 3 de la personne extérieure aux poursuites n° 2, dans chaque cas sans le consentement des clients.
En conséquence, elles ont été poursuivies pour infraction à l’ancienne Loi sur la protection des données personnelles (pour certains faits, sous la qualification subsidiaire d’infraction à la Loi sur la promotion de l’utilisation des réseaux d’information et de communication et la protection des informations, etc.).
Infraction à la Loi sur la protection des données personnelles : appréciation de la juridiction précédente
Aux termes de l’article 59, point 1, de l’ancienne Loi sur la protection des données personnelles (dans sa version antérieure à la révision du 4 février 2020), il est interdit à toute personne qui traite ou a traité des données personnelles de les acquérir par des mensonges ou par tout autre moyen ou procédé déloyal, ou d’obtenir par de tels moyens un consentement à leur traitement.
En cas d’infraction à l’ancienne Loi sur la protection des données personnelles, la personne qui acquiert des données personnelles ou obtient un consentement à leur traitement par des mensonges ou par tout autre moyen ou procédé déloyal, ainsi que celle qui reçoit ces données à des fins lucratives ou illicites tout en ayant connaissance de ces circonstances, encourent une peine d’emprisonnement de 5 ans au plus ou une amende pénale de 50 millions de wons sud-coréens au plus.
Le tribunal du district central de Séoul de la République de Corée, qui avait rendu la décision précédente, a considéré que les faits poursuivis n’étaient pas établis pour les motifs exposés ci-dessous. Il a donc déclaré les personnes poursuivies non coupables des « faits poursuivis à titre principal et à titre subsidiaire de premier rang concernant la réception de données personnelles par la personne poursuivie n° 1, par la personne poursuivie n° 2 auprès de la personne extérieure aux poursuites n° 1 et par la personne poursuivie n° 3 auprès de la personne extérieure aux poursuites n° 2 ».
- Dans l’ancienne Loi sur la protection des données personnelles, les « mensonges ou autres moyens ou procédés déloyaux » désignent tout acte de tromperie ou toute autre méthode reconnue comme déloyale au regard des conceptions sociales courantes, employé afin d’acquérir des données personnelles ou d’obtenir un consentement à leur traitement.(Voir Cour suprême de la République de Corée, arrêt 2016도13263 rendu le 7 avril 2017)
- Sont compris les actes, actifs ou passifs, susceptibles d’influencer la prise de décision de la personne concernée ou du détenteur des données personnelles, ainsi que les actes qui, à l’instar du piratage informatique, sont en eux-mêmes reconnus comme déloyaux au regard des conceptions sociales courantes, indépendamment de la prise de décision de la personne concernée.
- L’ancienne Loi sur la protection des données personnelles distingue, dans ses première et seconde branches, la « personne ayant acquis les données » de la « personne ayant reçu les données ». Le seul fait de recevoir des données personnelles en sachant qu’elles circulent sans le consentement de la personne concernée ou sans autre fondement ne permet donc pas de considérer qu’elles ont été acquises par des « mensonges ou autres moyens ou procédés déloyaux ».
- Toutefois, la seconde branche s’applique lorsque la personne qui reçoit les données personnelles le fait en sachant que la personne qui les traite ou les a traitées les a acquises, ou a obtenu un consentement à leur traitement, par des mensonges ou par tout autre moyen ou procédé déloyal.
2. Infraction à la Loi sur la protection des données personnelles : appréciation de la Cour suprême
Le procureur a immédiatement formé un pourvoi contre la partie de la décision déclarant les personnes poursuivies non coupables, mais la Cour suprême de la République de Corée a partagé l’appréciation de la juridiction précédente.
La Cour suprême a intégralement rejeté le pourvoi relatif à l’infraction à la Loi sur la protection des données personnelles pour les motifs suivants.
- Il ressort des motifs de la décision précédente et du dossier que, pour leurs activités de télémarketing, les personnes poursuivies ont acheté contre rémunération, à plusieurs reprises et sans en vérifier la provenance, de grandes quantités de données personnelles auprès de personnes extérieures aux poursuites qui les vendaient. Toutefois, il ne peut être considéré que ces actes ont influencé la prise de décision de ces personnes ou d’autres intéressés au moyen d’une méthode déloyale au regard des conceptions sociales courantes.
- Il est également difficile de considérer qu’il s’agissait d’une méthode constituant en elle-même, à l’instar du piratage informatique, une tromperie ou un autre procédé déloyal au regard des conceptions sociales courantes.
- Les personnes poursuivies savaient que les données personnelles achetées avaient été obtenues sans le consentement des personnes concernées, mais il est difficile de considérer qu’elles savaient que ces données avaient été obtenues par des moyens déloyaux.
3. Infraction à la Loi sur la protection des données personnelles : stratégie de Daeryun
Dans cette affaire, il a été jugé que l’erreur précitée de la juridiction précédente n’avait pas eu d’incidence sur le jugement, dès lors que les faits ne relevaient ni de la première ni de la seconde branche du point 2 de l’article 72 (dispositions pénales) de l’ancienne Loi sur la protection des données personnelles.
S’appuyant sur son expérience de différents dossiers relatifs aux infractions à la Loi sur la protection des données personnelles, Daeryun fournit des conseils juridiques portant notamment sur la gestion des inspections sur site en matière de protection des données personnelles, les risques de fuite de données, le règlement des litiges liés au piratage informatique et les sanctions pénales encourues en cas d’infraction à cette loi.
Pour toute question concernant une infraction à la Loi sur la protection des données personnelles, vous pouvez contacter les membres compétents aux numéros de téléphone indiqués.
