Ce qui a été dérobé, c'est le « poids » ; ce qui est revenu, c'est un « coupon »… les enjeux de la fuite de données de Ttareungi

Le piratage du système de vélos publics de Séoul, Ttareungi, a entraîné la fuite des données d'environ 4,62 millions d'abonnés. Les rubriques réellement divulguées varient selon les abonnés, mais il a été confirmé qu'y figuraient non seulement l'identifiant et le numéro de téléphone portable, mais aussi la date de naissance, le sexe, l'adresse, et même le « poids ». Face à cela, l'établissement public de Séoul a proposé le 30 un abonnement (d'une valeur d'environ 5 000 wons) à titre de dédommagement. Alors que l'indignation des citoyens grandit, cette affaire, au-delà d'un débat émotionnel, devient un banc d'essai important pour apprécier la valeur des données personnelles et le régime juridique de la réparation.

Ce qui distingue cette affaire des précédentes affaires de fuite de données, c'est la divulgation du poids des clients. Le poids relève des « données sensibles » au sens de la loi sur la protection des données personnelles et est protégé plus strictement que les données personnelles ordinaires. Le cœur de cette affaire réside en particulier dans la « combinaison des données » : lorsque le poids est divulgué combiné au nom, à l'identifiant, au numéro de téléphone, à l'adresse, etc., il ne s'agit plus d'un simple chiffre, mais d'un profilage possible d'un individu précis, de sorte que la sensibilité des données croît de façon exponentielle.

Dès lors, la réparation du préjudice s'achève-t-elle avec le « bon d'utilisation d'une valeur d'environ 5 000 wons » proposé par l'établissement ? Le bon versé par l'établissement sur le fondement de règlements n'est qu'une « mesure de réparation » de son propre chef et ne saurait être assimilé aux dommages et intérêts civils prévus par la loi sur la protection des données personnelles. Autrement dit, le fait d'avoir accepté la réparation propre à l'établissement n'emporte pas immédiatement renonciation au droit à réparation juridique.

Par ailleurs, les victimes peuvent-elles être indemnisées même en l'absence de préjudice secondaire concret (usurpation d'identité, fraude financière, etc.) ? Le fait qu'aucun préjudice secondaire concret n'ait été confirmé peut constituer un élément important pour apprécier la survenance et l'étendue du préjudice, mais il est difficile d'en faire une condition absolue de la réparation. En effet, le préjudice moral résultant de la fuite de données personnelles elle-même et le « préjudice patrimonial et l'atteinte supplémentaire à la vie privée » résultant d'un préjudice secondaire doivent être clairement distingués.

À cette fin, l'article 39-2 de la loi sur la protection des données personnelles prévoit un dispositif de « dommages et intérêts légaux ». Il s'agit d'un dispositif allégeant la charge de la preuve du montant concret du préjudice, permettant de réclamer un montant substantiel dans la limite de 3 millions de wons. Toutefois, plutôt qu'une notion selon laquelle 3 millions de wons seraient automatiquement versés du seul fait de la fuite, le montant de la réparation est calculé en distinguant la simple existence de la fuite, la possibilité d'atteinte à la vie privée eu égard à la nature des données, et la gravité de la faute de gestion de l'entreprise.

Me Kim Hyung-jin, du cabinet Daeryun, a déclaré : « C'est ici qu'apparaît le point de contentieux juridique le plus important de cette affaire Ttareungi, à savoir la question de la "réponse après la prise de connaissance de l'incident". Le simple fait qu'il s'agisse d'un service exploité par un organisme public n'exonère pas de la responsabilité civile ; le fait, pour le responsable du traitement des données personnelles, d'avoir négligé sa responsabilité de réponse post-incident sera nécessairement apprécié comme une faute de gestion grave de l'exploitant dans un futur contentieux en réparation », ajoutant : « Toutefois, une action contre un organisme public étant plus complexe qu'une action contre une entreprise privée ordinaire et le périmètre de préjudice reconnu par les tribunaux pouvant être limité, il n'est pas trop tard pour décider après avoir suffisamment pris en compte ces éléments. »

[Lire l'article intégral]
Ce qui a été dérobé, c'est le « poids » ; ce qui est revenu, c'est un « coupon »… les enjeux de la fuite de données de Ttareungi (Accéder)