L'autorité sud-coréenne de protection des données a mené une enquête sectorielle proactive dans le domaine des technologies de l'éducation, révélant des défaillances courantes en matière de gestion des habilitations, de suppression des données et de mesures de sécurité technique, conduisant à l'émission de recommandations correctives plutôt que de sanctions financières.

Faits et contexte

L'autorité sud-coréenne de protection des données (Commission de protection des informations personnelles, PIPC) a publié le 12 novembre 2026 les résultats d'une enquête menée auprès de plusieurs entreprises du secteur des technologies de l'éducation, dont ㈜비상교육, ㈜천재교육, ㈜미리디, ㈜소프트앤 et ㈜리로소프트. Cette démarche visait à évaluer la conformité des services éducatifs numériques utilisés dans l'enseignement public.

Cette inspection préventive a été initiée en collaboration avec le ministère de l'Éducation suite à un incident de sécurité ayant touché une entreprise du même secteur, afin d'identifier et de prévenir les risques de violation des données personnelles des élèves et du personnel enseignant.

Motifs de la décision

L'autorité a identifié plusieurs manquements à la loi sur la protection des informations personnelles, notamment en matière de consentement, de durée de conservation et de mesures de sécurité.

• Obligation d'obtenir le consentement du représentant légal pour les mineurs : La société A n'avait pas mis en place une procédure adéquate pour recueillir le consentement des représentants légaux lors de la collecte de données personnelles d'enfants de moins de 14 ans. L'autorité a considéré que ce processus était insuffisant pour garantir un consentement valable, bien que l'entreprise ait corrigé ce point au cours de l'enquête.

• Obligation de supprimer les données après la fin du traitement : Il a été constaté que la société B conservait les données personnelles de membres ayant résilié leur compte dans sa base de données de production active. L'autorité a estimé que cette pratique était contraire au principe de limitation de la conservation, les données devant être détruites une fois l'objectif du traitement atteint.

• Obligation de transparence concernant les sous-traitants : La société B n'avait pas rendu publique l'identité d'un de ses sous-traitants, manquant ainsi à son obligation d'informer les personnes concernées sur les destinataires de leurs données. Cette lacune a été corrigée pendant l'inspection.

• Obligation de mettre en œuvre des mesures de sécurité appropriées (gestion des habilitations): Plusieurs entreprises inspectées présentaient des faiblesses dans la gestion des droits d'accès à leurs systèmes d'information. L'autorité a notamment relevé que certains employés disposaient tous de droits d'administrateur, sans que cela soit justifié par leurs fonctions, ce qui constitue une violation de l'obligation de sécuriser les données par un contrôle d'accès strict.

• Obligation de mettre en œuvre des mesures de sécurité appropriées (gestion des vulnérabilités) : La société B n'avait pas appliqué les correctifs pour certaines failles de sécurité identifiées lors d'une analyse de vulnérabilités datant de 2025. L'autorité a conclu que l'absence de remédiation à des failles connues constituait un manquement à l'obligation de garantir la sécurité des systèmes de traitement.

• Obligation de mettre en œuvre des mesures de sécurité appropriées (détection des intrusions et journalisation) : L'enquête a révélé que la société B disposait de mesures insuffisantes pour détecter et bloquer les tentatives d'accès non autorisé et exposait sur internet des pages de développement et de test. De plus, les sociétés A et B ne conservaient pas les journaux de connexion à leurs systèmes de traitement de données personnelles, rendant impossible toute analyse en cas d'incident.

Décision de l'autorité

En conséquence, l'autorité a adressé des recommandations correctives aux entreprises concernées pour les manquements non résolus durant l'enquête, soulignant que la plupart des défaillances ont été corrigées de manière volontaire par les sociétés pendant l'inspection.

Enseignements

Cette décision rappelle que :

• La gestion des droits d'accès doit être strictement encadrée selon le principe du moindre privilège, en évitant l'attribution de permissions étendues, comme des droits d'administrateur, à l'ensemble des employés.

• La suppression effective des données personnelles des utilisateurs ayant quitté un service doit être un processus technique maîtrisé et vérifiable, s'appliquant à l'ensemble des environnements, y compris les bases de données de production.

• Une politique de sécurité des systèmes d'information doit inclure des analyses de vulnérabilités régulières, le déploiement systématique des correctifs correspondants et la sécurisation de tous les environnements, y compris ceux de développement et de test, pour éviter leur exposition publique.