Infraction à la législation sur les données personnelles | Sanctions d’un montant total de 8,3 milliards de wons sud-coréens infligées aux sociétés K et A pour un transfert de données vers la Chine

Il s’agit des sociétés K et A, qui ont fait l’objet de sanctions pécuniaires administratives de type gwajinggeum d’environ 8,3 milliards de wons sud-coréens ainsi que d’injonctions de mise en conformité pour infraction à la législation sur les données personnelles.

Le 22 janvier dernier, la Commission de protection des données personnelles de la République de Corée (ci-après la « Commission ») a respectivement imposé, au titre de la Loi sur la protection des données personnelles de la République de Corée, une sanction pécuniaire administrative de type gwajinggeum de 5 milliards 968 millions de wons sud-coréens au prestataire sud-coréen de services fintech K pour violation des règles relatives au transfert à l’étranger, et une sanction pécuniaire administrative de type gwajinggeum de 2 milliards 405 millions de wons sud-coréens à l’entreprise technologique mondiale A, ainsi qu’une amende administrative de 2,2 millions de wons sud-coréens.

La Commission a ouvert une enquête à la suite d’articles de presse selon lesquels les sociétés K et A avaient transmis des données personnelles de clients à l’entreprise chinoise A sans le consentement de ces derniers. Elle a ensuite publié les violations constatées et les mesures adoptées, présentées ci-dessous.

Pour ces infractions à la législation sur les données personnelles, la Commission a imposé aux sociétés K et A des sanctions pécuniaires administratives de type gwajinggeum et des injonctions de mise en conformité.

La Commission a considéré que la communication, sans consentement, des données personnelles de l’ensemble des utilisateurs aux fins de la mise au point du modèle NSF et du calcul des scores constituait un transfert à l’étranger dépourvu de fondement licite pour le traitement.

Elle a par conséquent imposé à la société K une sanction pécuniaire administrative de type gwajinggeum de 5 milliards 968 millions de wons sud-coréens et lui a enjoint de satisfaire aux conditions de licéité applicables au transfert à l’étranger.

En outre, elle a imposé à la société A une sanction pécuniaire administrative de type gwajinggeum de 2 milliards 405 millions de wons sud-coréens pour ne pas avoir communiqué ou notifié aux personnes concernées, notamment au moyen de sa politique de traitement des données personnelles, l’identité du prestataire étranger auquel le traitement avait été confié. Une amende administrative de 2,2 millions de wons sud-coréens lui a également été infligée pour ne pas avoir divulgué l’existence de cette sous-traitance.

Cette affaire d’infraction à la législation sur les données personnelles, dans laquelle des sanctions pécuniaires administratives de type gwajinggeum d’un montant total de 8,3 milliards de wons sud-coréens ont été prononcées, revêt une importance particulière dans un contexte où les transferts de données personnelles à l’étranger augmentent avec l’expansion des services de plateformes mondiales. Elle rappelle la nécessité de définir clairement le périmètre des transferts à l’étranger et, pour les opérateurs, de respecter impérativement les conditions légales applicables à ces transferts.

Lorsqu’un opérateur fournit un service impliquant le transfert de données personnelles à l’étranger, il doit obtenir le consentement distinct de la personne concernée. S’il confie le traitement des données personnelles à un prestataire étranger, il doit clairement informer les personnes concernées, notamment dans sa politique de traitement des données personnelles, du fait que ces données sont transférées au-delà des frontières.

Lorsqu’il confie le traitement de données personnelles à un prestataire externe, le donneur d’ordre demeure responsable à l’égard des personnes concernées. Si les données personnelles quittent son domaine de responsabilité pour être transférées dans celui d’un tiers, l’opération constitue une « communication à un tiers » et doit donc impérativement reposer sur un fondement juridique, tel que le consentement de la personne concernée.

La Loi sur la protection des données personnelles comporte de nombreuses dispositions, tandis que les notions et conditions relatives au transfert à l’étranger, à la communication à un tiers et à la sous-traitance du traitement sont étroitement imbriquées et complexes. L’assistance d’un avocat spécialisé peut contribuer à la prévention des risques.

Au sein du Cabinet d’avocats Daeryun, des avocats spécialisés interviennent en équipe dans les domaines suivants : ▲conseil relatif aux infractions à la législation sur les données personnelles ▲conseil concernant les transferts à l’étranger et la communication à des tiers ▲vérification préalable des risques juridiques ▲assistance lors des enquêtes et dans les démarches administratives ▲gestion des incidents de fuite de données personnelles.