[Contribution] La certification nationale est devenue une impunité pour les entreprises ; une loi est nécessaire pour une « vraie responsabilité »

Suite à SK Telecom, des soupçons de fuite d'informations personnelles ont également été soulevés lors de YES24. YES24 a déclaré qu'« il n'y a eu aucune fuite d'informations personnelles » immédiatement après avoir pris connaissance de l'attaque du ransomware le 9, mais la gravité de l'affaire a été révélée lorsque le Comité de protection des informations personnelles a détecté des circonstances anormales d'enquête sur les informations des membres et a ouvert une enquête.

Cet incident était un simple piratage. Cela ne s'arrête pas aux accidents. Les fuites répétées d’informations personnelles soulèvent des questions fondamentales sur la responsabilité réelle des grandes entreprises nationales en matière de protection des informations personnelles et sur le bon fonctionnement du système de réponse institutionnel. En particulier, SK Telecom et YES24 ont reçu la certification gouvernementale ISMS (Information Security Management System) ou ISMS-P (Integrated Certification for Personal Information Protection).

ISMS-P exige que les entreprises mettent en place certaines mesures de protection managériales et techniques. C'est un système qui examine et certifie qu'il existe. Cependant, ce système n'évalue pas si un incident de piratage s'est produit ou si l'entreprise a effectivement assumé ses responsabilités après l'incident. Le système de réparation des dommages et les mesures pratiques visant à prévenir leur répétition ne sont pas liés à la validité de la certification. En conséquence, tant que les exigences sont remplies, la certification reste la même.

Le problème est que cette certification est facilement abusée par la logique d'immunité de l'entreprise après l'accident, en disant : « Nous exploitions un système qui a reçu une certification gouvernementale ». La certification pour la prévention et le renforcement de la responsabilité est en réalité utilisée comme un outil pour « assumer formellement la responsabilité » en cas d’accident. Le système de certification fonctionne différemment de son intention initiale.

Si nous nous appuyons sur un système qui ne prévient pas les accidents ni ne renforce la responsabilité, les citoyens finiront inévitablement par penser que « la certification nationale ne me protège pas ». Le système existe, mais son efficacité est faible, et le problème est d'autant plus grave qu'il s'agit d'une structure qui permet aux entreprises d'éviter toute responsabilité même après un accident.

À l'étranger, c'est différent. Un tribunal fédéral américain a ordonné au groupe israélien NSO de payer environ 167 millions de dollars de dommages et intérêts punitifs dans une affaire impliquant une violation non autorisée des appareils des utilisateurs de WhatsApp. La société de télécommunications américaine T-Mobile a également payé un recours collectif de plusieurs millions de dollars après une fuite d'informations personnelles à grande échelle. La loi et le système sont structurés de manière à tenir les entreprises responsables.

D'un autre côté, la Corée se limite toujours à des sanctions légères. En effet, seules des amendes administratives, des ordonnances correctives et une surveillance formelle sont impliquées. Dans les poursuites civiles, la charge de la preuve incombe excessivement à la victime et le niveau d'indemnisation est loin de la réalité. Un problème plus grave est que certains médias et grands cabinets d’avocats propagent la logique selon laquelle « réclamer une compensation pour les fuites d’informations personnelles ne sert à rien », créant une atmosphère qui pousse les citoyens à renoncer à exercer leurs droits. Cabinet d'avocats Daeryun poursuit un recours collectif contre de grandes entreprises pour fuite d'informations personnelles. Cette décision n’est en aucun cas un choix favorable si l’on la considère uniquement sous l’angle de la logique de profit du marché légal. Cependant, depuis sa création, Daeryun a placé la raison de l'existence des services juridiques non pas sur le « profit » mais sur la « réalisation pratique des droits des citoyens ». Ce recours collectif en est également une extension. zone métropolitaine à l'échelle régionale et a établi des succursales dans tout le pays afin que tous les citoyens puissent bénéficier de services juridiques de qualité. Nous avons collaboré avec de grands cabinets d'avocats aux États-Unis et au Japon pour intégrer des systèmes juridiques avancés en Corée et avons introduit un système de service client (système AS) qui permet des enquêtes de satisfaction client, le remplacement des avocats et même des remboursements. Ce recours collectif contre SK Telecom est également un exercice visant à prouver qu'une telle expérience structurelle est réalisable dans la réalité.

Il n'y a absolument aucune raison pour que les informations personnelles des citoyens coréens soient moins importantes que celles des citoyens américains ou européens. Ce qu’il faut maintenant, c’est l’introduction d’un système de dommages-intérêts punitifs, le renforcement de l’efficacité du système de recours collectifs et l’établissement d’un fondement juridique pouvant conduire à une véritable responsabilité des entreprises. Le tribunal doit également désormais présenter des normes claires et un message fort afin que les entreprises acceptent la protection des informations personnelles comme « l'essence de la gestion » plutôt que comme « facultative ». Cela devrait être le point de départ pour que les lois et les systèmes déclarent officiellement que les informations personnelles sont un droit fondamental en vertu de la Constitution, non soumis à une gestion technique. Les informations personnelles sont un atout précieux. Les droits du peuple ne devraient jamais être cédés à bas prix.

[Voir l'article complet]
Lawleader - [Contribution] La certification nationale est devenue l'impunité des entreprises, une loi est nécessaire pour une « vraie responsabilité » (lien)
Korea Law Daily - [Contribution] Certification nationale devenue immunité des entreprises, une loi est nécessaire pour la « vraie responsabilité » (Raccourci)