L’autorité coréenne de protection des données a publié une décision invitant la société Coupang à améliorer ses conditions d’utilisation, ses procédures de suppression de compte, ainsi que ses mesures de notification et de prévention des préjudices secondaires à la suite d’une fuite de données.

Cette affaire débute par un contrôle de la Commission de protection des données personnelles (CPDP) portant sur la gestion des données personnelles par Coupang, notamment après un incident de fuite de données.

L’enquête menée par l’autorité a permis de constater :

* Obligation de sécurité des données (équivalent de l'article 32 du RGPD) : Coupang a ajouté dans ses conditions d’utilisation une clause exonérant la société de toute responsabilité en cas de dommages causés par des accès illégaux de tiers aux serveurs, ce qui est contraire à l’obligation de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données. Cette clause crée une confusion quant à la responsabilité et à la charge de la preuve en cas de dommages, en contradiction avec la loi.

* Obligation de faciliter l’exercice des droits des personnes (équivalent de l'article 12 du RGPD) : La procédure de suppression de compte est complexe et difficile d’accès, notamment pour les membres du service payant « Wow Membership ». La résiliation de ce service est une condition obligatoire pour la suppression du compte, avec plusieurs étapes et confirmations, rendant la suppression immédiate impossible. Certains membres ne peuvent pas résilier avant la fin de leur période d’abonnement, ce qui entrave l’exercice du droit à la suppression.

* Obligation de notification en cas de violation et mesures de prévention des préjudices (équivalent de l'article 34 du RGPD) : Suite à une décision d’urgence, Coupang a corrigé la qualification de l’incident de « divulgation » à « fuite », a complété la notification en incluant des données omises (codes d’accès aux entrées communes) et a publié des annonces sur son site et son application. Toutefois, la notification aux personnes non membres mais affectées n’a pas été précisée, et l’accessibilité des annonces est insuffisante. L’autorité a exigé une publication d’au moins 30 jours et la mise en place d’une équipe dédiée à la gestion de l’incident, ainsi qu’un renforcement de la surveillance et de la réponse aux informations circulant sur internet et le dark web.

En conséquence, la société Coupang a été sommée d’apporter les améliorations demandées dans un délai de 7 jours. L’autorité poursuit son enquête approfondie sur les circonstances de la fuite et les violations de la loi, avec la perspective de sanctions sévères en cas de manquements confirmés. En outre, elle continuera à superviser les mesures de prévention des préjudices secondaires.