Contexte réglementaire
Le 10 septembre 2026, la Commission coréenne de protection des informations personnelles (PIPC) a publié un décret d’application du Personal Information Protection Act (PIPA) révisé. Ce texte porte le plafond des sanctions pour les fuites de données massives à 10 % du chiffre d’affaires annuel, contre 3 % auparavant. La mesure cible les entreprises qui, par intention ou négligence grave, exposent les données personnelles d’au moins 10 millions de personnes. Elle s’accompagne d’une obligation de notification dans les 72 heures dès qu’un risque élevé d’exposition est identifié, même en l’absence de confirmation de la fuite.
Mécanisme de calcul des amendes
Les amendes sont proportionnelles à plusieurs paramètres : la nature de la violation (intentionnelle ou négligente), la gravité (nombre de personnes affectées, sensibilité des données), les circonstances (répétition sur trois ans, non‑respect d’un ordre correctif) et l’ampleur du préjudice. Le calcul se base sur le chiffre d’affaires total de l’entreprise, ce qui signifie que pour un groupe comme Coupang, dont le chiffre d’affaires dépasse plusieurs dizaines de billions de won, la sanction pourrait atteindre plusieurs billions de won. En juin, Coupang a déjà été condamné à 624,6 milliards de won (466,3 M $) pour la fuite de 37,55 millions de dossiers ; sous le nouveau régime, la même infraction pourrait être multipliée par trois à quatre fois.
Incitations et mesures d’atténuation
Le texte introduit deux leviers de réduction de la pénalité, chacun plafonné à 40 % : (1) la prise d’initiatives préventives en matière de protection des données (budget, personnel, outils, désignation d’un chief privacy officer) et (2) la détection précoce d’une fuite, suivie d’une notification rapide et d’une limitation de la propagation du dommage. Ces réductions sont conditionnées à une évaluation documentée des investissements en cybersécurité et à la preuve d’une réponse opérationnelle efficace. Ainsi, une entreprise qui détecte une intrusion, informe les utilisateurs dans les 72 heures et empêche l’escalade du risque peut voir sa sanction divisée par deux, voire plus.
Implications pour les acteurs coréens
Les organisations dépassant 180 milliards de won de revenu annuel et traitant les données de plus d’un million de personnes – ou les informations sensibles de 50 000 individus – doivent obtenir l’accord du conseil d’administration pour nommer, révoquer ou modifier le poste de chief privacy officer, et communiquer cette décision à la PIPC. Cette exigence s’étend aux universités de plus de 20 000 étudiants, aux hôpitaux généraux et aux opérateurs de systèmes publics majeurs. Le dispositif crée un cadre de gouvernance où la responsabilité juridique du dirigeant s’aligne sur la capacité technique à prévenir les fuites. Les entreprises qui n’investissent pas dans ces structures risquent non seulement des amendes plus élevées, mais aussi une perte de confiance client qui, selon la PIPC, doit être traitée comme un facteur de rentabilité à long terme.
