La Corée du Sud instaure des sanctions plus sévères contre les fuites de données à répétition

La Corée du Sud a instauré un régime révisé de protection des données qui peut infliger aux entreprises des amendes atteignant 10 % de leur chiffre d’affaires total dans les cas graves. Ces mesures ciblent les fuites à répétition, le non-respect des mesures correctives et les incidents liés à une intention délibérée ou à une négligence grave, tout en accordant des réductions substantielles aux organisations qui ont investi dans la protection des informations personnelles.

La Commission de protection des informations personnelles a déclaré le 10 que la loi révisée sur la protection des informations personnelles et son décret d’application révisé entreraient en vigueur le lendemain. Selon un article publié par en.sedaily.com, ces changements visent à la fois à dissuader les fuites à grande échelle et à encourager les entreprises à renforcer leur sécurité avant qu’un incident ne survienne.

Sanctions plus lourdes en cas de manquements graves ou répétés

L’amende maximale s’applique lorsqu’une entreprise commet de nouveau une infraction similaire dans un délai de trois ans par intention délibérée ou négligence grave, lorsque plus de 10 millions de personnes sont touchées, ou lorsqu’une nouvelle fuite survient après que l’organisation a ignoré une mesure corrective. Le montant définitif de la sanction tiendra compte de la nature de la fuite et de l’ampleur des dommages.

Les règles relèvent également la majoration supplémentaire appliquée aux infractions répétées. Une première récidive peut entraîner une majoration de 20 %, qui passe à 40 % pour une deuxième récidive et à 80 % pour une troisième récidive ou les suivantes. Les taux précédents étaient de 15 % pour une première récidive et de 30 % pour deux récidives ou davantage.

Les entreprises qui ne signalent pas l’incident et n’en informent pas les personnes concernées dans le délai requis, tout en ne limitant pas la propagation des dommages, peuvent se voir infliger une pénalité supplémentaire pouvant atteindre 30 %. Cette disposition lie les conséquences non seulement à la défaillance de sécurité initiale, mais aussi à la manière dont une organisation gère l’incident une fois qu’elle en a connaissance.

La commission élargit également les circonstances dans lesquelles les utilisateurs doivent être informés d’une éventuelle fuite. Une notification est requise lorsqu’il est objectivement jugé hautement probable qu’une exposition ait eu lieu, même si les enquêteurs n’ont pas établi de manière concluante que des données ont été dérobées.

Cette obligation prend effet dans les 72 heures suivant le moment où une entreprise apprend l’existence d’un accès illégal présumé à un système contenant des informations personnelles. Elle s’applique également lorsque certaines informations personnelles ont fait l’objet d’un commerce illégal et qu’il est possible que des données appartenant à d’autres utilisateurs aient été exposées. Les règles révisées couvrent en outre la falsification, la modification ou la destruction d’informations personnelles.

La prévention peut réduire la facture

Le dispositif vise à distinguer les entreprises qui négligent la sécurité de celles qui peuvent démontrer qu’elles mènent durablement des actions de prévention. Les autorités de régulation peuvent réduire l’amende de base de 40 % au maximum après avoir pris en compte le montant et la proportion des dépenses d’une entreprise consacrées aux budgets de sécurité, au personnel, aux infrastructures et aux équipements.

L’évaluation peut également tenir compte de la continuité ou de l’augmentation de ces investissements, ainsi que de la mise en place par l’organisation d’une structure de protection associant son directeur général, son responsable de la protection de la vie privée et ses employés spécialisés. Une réduction distincte pouvant atteindre 40 % peut être accordée à une entreprise disposant d’un système de réponse aux incidents qui détecte rapidement une fuite, la signale et en informe sans délai les personnes concernées, et agit pour limiter les dommages supplémentaires.

Cette approche fait de la préparation un facteur pris en compte dans le calcul des sanctions, au lieu de traiter toutes les fuites de la même manière. Elle pousse également les entreprises à maintenir leurs programmes de sécurité au fil du temps, plutôt qu’à augmenter leurs dépenses uniquement après la survenue d’un incident.

Une responsabilité accrue pour les dirigeants

La loi révisée désigne expressément le directeur général comme responsable en dernier ressort de la protection des données et confère au responsable de la protection de la vie privée une autorité accrue sur le personnel spécialisé et les budgets concernés. Pour certaines grandes organisations, le conseil d’administration doit approuver la nomination, le remplacement ou la révocation du responsable de la protection de la vie privée, et l’organisation doit communiquer cette décision à la commission.

Cette obligation au niveau du conseil d’administration concerne les entreprises dont le chiffre d’affaires ou les revenus annuels dépassent 180 milliards de wons et qui traitent les informations personnelles d’au moins 1 million de personnes. Elle s’applique également aux organisations qui traitent des informations sensibles ou des informations d’identification uniques concernant 50 000 personnes ou plus. Les universités comptant au moins 20 000 étudiants inscrits, les hôpitaux généraux de niveau tertiaire et les opérateurs de grands systèmes publics sont également concernés.

La présidente de la commission, Song Kyoung-hee, a déclaré que les règles révisées devraient promouvoir une approche axée sur la prévention et un système plus solide de gestion de la sécurité. Elle a estimé que les dépenses consacrées à la protection de la vie privée devraient être considérées comme un investissement précoce dans la confiance des clients et la croissance de l’entreprise, plutôt que comme une simple charge.

Pour les entreprises, ces changements créent donc deux leviers incitatifs parallèles : les manquements concernant un grand nombre de personnes ou le mépris répété des mesures réglementaires peuvent devenir considérablement plus coûteux, tandis que les investissements documentés, une direction efficace et une réponse rapide aux incidents peuvent réduire la sanction finale.