L'autorité sud-coréenne a conclu son enquête sectorielle sur les pratiques de cinq grands fabricants d'aspirateurs robots, soulignant une gestion globalement sécurisée des données mais identifiant des lacunes en matière de conformité formelle, notamment sur l'information des utilisateurs et les transferts de données.

Faits et contexte

L'autorité sud-coréenne de protection des données, la Commission de protection des informations personnelles (PIPC), a aujourd'hui publié une décision émettant des recommandations de mise en conformité à l'encontre de cinq grands fabricants d'aspirateurs robots pour des manquements liés à plusieurs obligations de la loi locale sur la protection des données.

Cette affaire trouve son origine dans un contrôle sectoriel d'office, prévu par l'article 63-2 de la loi sud-coréenne sur la protection des informations personnelles, visant à vérifier les pratiques de traitement des données (vidéo, son, cartographie) des derniers modèles commercialisés par Roborock, Samsung Électronique, LG Électronique, Ecovacs et Xiaomi.

Motifs de la décision

L'enquête a révélé que si la collecte et la transmission des données étaient globalement bien sécurisées, plusieurs manquements en matière de conformité ont été identifiés. L'autorité a noté que la plupart des fabricants ont procédé à des corrections volontaires durant l'enquête, mais a formalisé des recommandations pour les points restants.

• Obligation d'information et de recueil du consentement : L'autorité a relevé des insuffisances dans les méthodes de collecte et d'utilisation des données personnelles, ainsi que dans les modalités d'obtention du consentement des utilisateurs, qui n'étaient pas toujours conformes aux exigences légales.
• Obligation d'information sur les transferts de données hors du pays : Il a été constaté que les informations et notifications relatives au transfert des données personnelles en dehors du territoire national étaient incomplètes ou manquantes pour certains services.
• Obligation de désigner un représentant local : Certains fabricants étrangers n'avaient pas désigné de représentant en Corée du Sud, rendant plus difficile pour les utilisateurs et l'autorité d'exercer leurs prérogatives.
• Obligation d'assurer la sécurité des données : Bien que la sécurité générale ait été jugée satisfaisante, des faiblesses spécifiques dans la mise en œuvre de certaines mesures de sécurité techniques et organisationnelles ont été identifiées.

Décision de l'autorité

En conséquence, l'autorité a adressé des recommandations de mise en conformité aux entreprises concernées pour les points n'ayant pas encore été corrigés de manière volontaire au cours de l'enquête.

Enseignements

Cette décision rappelle que :

• La collecte de données sensibles au sein du domicile (vidéos, sons, cartographies des pièces) par des objets connectés impose une vigilance particulière sur la clarté de l'information fournie aux utilisateurs et sur la validité des mécanismes de consentement.
• Les fabricants d'équipements commercialisant leurs produits à l'international doivent se conformer aux obligations locales, notamment en matière de transparence sur les flux de données transfrontaliers et de désignation d'un représentant légal dans le pays concerné.
• Une sécurité technique robuste ne suffit pas à garantir la conformité ; les aspects formels tels que l'information des personnes, la gestion du consentement et les obligations de représentation sont tout aussi essentiels et scrutés par les autorités.