Une autorité de contrôle a rappelé à l'ordre plusieurs entreprises technologiques étrangères pour avoir manqué à leurs obligations en matière de gestion des droits des personnes concernées, notamment en répondant dans une langue étrangère ou en ne répondant pas du tout par l'intermédiaire de leur représentant local.

Faits et contexte

L'autorité sud-coréenne de protection des données, la Commission de protection des informations personnelles (PIPC), a aujourd'hui publié des recommandations d'amélioration à l'encontre de Wrtn Technologies, Tesla Korea, Deepseek, OpenAI et Nike pour des manquements liés à la gestion des demandes de droits des personnes concernées et au rôle de leur représentant local.

Cette affaire trouve son origine dans un contrôle de suivi mené par la PIPC auprès d'entreprises dont la politique de confidentialité avait été jugée "inadéquate" lors d'une évaluation menée en 2025. Le contrôle visait à vérifier la mise en œuvre effective des mesures correctives, en particulier sur le fonctionnement des canaux d'exercice des droits et l'efficacité du représentant local.

Motifs de la décision

• Obligation de faciliter l'exercice des droits des personnes concernées : L'autorité a constaté que trois entreprises n'assuraient pas un traitement adéquat des demandes formulées par les utilisateurs coréens. En effet, Wrtn Technologies n'a pas répondu à une demande d'exercice de droits. De leur côté, Tesla Korea et Deepseek ont répondu à des utilisateurs locaux respectivement en anglais et en chinois. L'autorité a estimé que répondre dans une langue que la personne concernée ne maîtrise pas constitue une entrave à l'exercice de ses droits, rendant la communication inefficace et inaccessible.
• Obligation de garantir l'effectivité du représentant local : L'enquête a révélé que les représentants locaux d'OpenAI et de Nike n'assuraient pas un traitement effectif des sollicitations. Contactés par téléphone, leurs représentants se contentaient de renvoyer les utilisateurs vers une adresse électronique, mais les courriels envoyés à cette adresse restaient sans réponse. L'autorité a considéré que ce mode de fonctionnement vidait de sa substance le rôle du représentant, qui doit être un point de contact réel et efficace pour le traitement des plaintes et des demandes, et non une simple formalité administrative.

Décision de l'autorité

En conséquence, l'autorité a recommandé à Wrtn Technologies, Tesla Korea et Deepseek d'améliorer leur système de traitement des demandes de droits pour garantir une prise en charge effective et dans la langue locale.

En outre, l'autorité a recommandé à OpenAI et Nike de renforcer la gestion et la supervision de leur représentant local pour assurer un traitement effectif des demandes qui lui sont adressées.

Enseignements

Cette décision rappelle que :

• La réponse à une demande d'exercice de droits doit être formulée dans une langue comprise par la personne concernée ; répondre dans une langue étrangère est considéré comme une entrave à l'exercice des droits.
• La désignation d'un représentant local (ou dans l'Union) n'est pas une simple formalité ; l'entreprise doit s'assurer que ce dernier dispose des processus et des moyens pour traiter de manière effective les demandes et les plaintes des personnes concernées.
• Les autorités de contrôle ne se limitent pas à une analyse formelle des politiques de confidentialité, mais vérifient également l'effectivité opérationnelle des processus de protection des données, notamment la manière dont les droits sont concrètement gérés.