Sécurité · 12 novembre 2026
La Commission de protection des données personnelles renforce les sanctions et les responsabilités des dirigeants
La Commission de protection des données personnelles a annoncé une refonte de sa politique de régulation, visant à passer d'une approche centrée sur les sanctions après incident à un modèle axé sur la prévention et la responsabilité des dirigeants. Cette transition inclut l'introduction de pénalités pouvant atteindre dix pour cent du chiffre d'affaires pour les violations graves et répétées de la loi sur la protection des données personnelles, ainsi qu'un renforcement des obligations de gestion pour les directeurs généraux et les responsables de la protection des données.
Ces annonces ont été faites lors d'un forum politique sur la protection des données personnelles, organisé le 9 novembre à Séoul par la Commission et l'Association des responsables de la protection des données personnelles de la Corée. Environ 450 professionnels de la protection des données ont assisté à l'événement. Le forum a mis en lumière les nouvelles exigences réglementaires destinées à améliorer la sécurité des données au sein des entreprises.
Le nouveau régime de sanctions punitives, en vigueur depuis le 11 septembre, permet d'imposer des amendes calculées sur le chiffre d'affaires. Pour les violations graves et répétées, le montant peut atteindre dix pour cent du chiffre d'affaires. Le calcul de cette base a été modifié pour inclure le chiffre d'affaires de l'année précédente, en plus de la moyenne des trois dernières années, ce qui augmente potentiellement l'exposition financière des entreprises en forte croissance. La Commission prévoit également d'offrir des incitations aux entreprises qui investissent dans des mesures de prévention avant qu'un incident ne se produise.
Les responsabilités des dirigeants sont désormais clairement définies. Le directeur général doit assumer une responsabilité de gestion globale de la protection des données, plutôt que de déléguer cette tâche uniquement aux responsables techniques. Des manuels de procédure sont en cours de préparation pour guider les directeurs généraux en cas d'incident. Par ailleurs, l'indépendance du responsable de la protection des données est renforcée par l'obligation de soumettre des rapports au conseil d'administration et de suivre une procédure de désignation spécifique, incluant une notification à la Commission dans les six mois suivant la désignation.
Le système de certification de la gestion de la sécurité et de la protection des données personnelles est également réformé. Les audits seront désormais plus rigoureux pour vérifier l'application réelle des mesures de sécurité sur le terrain, plutôt que de se limiter à des vérifications formelles. L'obligation de notification en cas de fuite de données a été élargie pour inclure les situations où le risque de fuite est élevé, même si l'incident n'est pas encore confirmé. Cette mesure vise à permettre une réponse rapide pour minimiser les dommages aux utilisateurs.
La Commission met l'accent sur l'intégration de la protection des données dès la conception des systèmes informatiques. Elle encourage les entreprises à adopter des principes de protection par conception pour éviter les coûts élevés liés à l'ajout de fonctionnalités de sécurité après la mise en place des systèmes. Des aides au conseil sont prévues pour les petites et moyennes entreprises, avec un budget de 2,4 milliards de wons pour 2027, afin de soutenir leurs efforts de sécurisation. Ces initiatives visent à créer un environnement où la protection des données est considérée comme un élément essentiel de la gestion d'entreprise, favorisant ainsi l'acceptation sociale de l'utilisation des données dans les secteurs émergents.