La Commission de protection des informations personnelles (PIPC) de Corée du Sud a publié une décision de sanction à l'encontre de la Fondation nationale de la recherche de Corée (comprenant le prononcé d'une amende de 707 800 000 wons sud-coréens, soit environ 471 866 €) pour des manquements en lien avec la sécurité des données et la notification d'une violation de données personnelles. Cette affaire débute par un signalement de violation de données personnelles par la fondation elle-même.

L’enquête menée par l’autorité a permis de constater :
* Obligation de garantir la sécurité du traitement : La fondation a manqué à son obligation d'assurer la sécurité des données en ne détectant ni ne corrigeant une vulnérabilité critique présente depuis 2013 dans la fonctionnalité de récupération de mot de passe de son Système de gestion des revues et des articles (JAMS). Les audits de sécurité ne couvraient que le portail principal, ignorant les 1 617 pages des sociétés savantes affiliées. Cette négligence a permis l'accès aux données de 120 000 personnes et a été aggravée par le fait que des alertes de sécurité ont été ignorées et qu'un incident secondaire d'usurpation d'identité a eu lieu.

* Obligation de notifier une violation de données personnelles : La notification de la violation effectuée le 12 juin a été jugée incomplète. La fondation a omis d'informer les personnes concernées de la compromission de données à caractère hautement personnel, notamment les numéros de téléphone mobile, les numéros de compte bancaire et les numéros d'enregistrement de chercheur.

En conséquence, l’autorité a imposé une amende de 707 800 000 wons sud-coréens (environ 471 866 €) à la Fondation nationale de la recherche de Corée.
En outre, l’autorité a ordonné à la fondation de réaliser un audit de vulnérabilité de son système, de notifier à nouveau et de manière complète les personnes concernées, et de publier la décision sur son site internet ainsi que sur celui de l'autorité.