La Commission de protection des renseignements personnels (CPRP) a annoncé un plan de renforcement de la gestion de la sécurité des renseignements personnels suite à la fuite massive de données clients de SK Telecom (SKT), axé sur la prévention proactive, le renforcement des contrôles internes et la mise en œuvre de sanctions et de mécanismes de réparation effectifs.

La CPRP, après analyse des défaillances institutionnelles et techniques révélées par l’incident du 18.04 et des travaux d’un groupe de travail lancé en mai, propose : renforcer les contrôles préventifs pour les systèmes traitant de larges volumes de données (gestion de la surface d’attaque, détection d’anomalies, extension du chiffrement) ; inciter les entreprises à des mesures actives en prévoyant des allègements lorsque des protections proactives sont mises en œuvre ; surveiller la diffusion des données sur le web profond et le web sombre et partager rapidement les informations pour bloquer les voies de fuite ; et améliorer la certification ISMS-P par des audits terrain (tests de vulnérabilité, tests d’intrusion) ainsi que la gestion post-incident des entreprises certifiées. La CPRP relève que le cadre actuel — centré sur les obligations minimales prévues par la Loi sur la protection des renseignements personnels article 29, décret d’application article 30 et arrêté (norme de mesures de sécurité) — ne crée pas d’incitations suffisantes à des mesures supplémentaires et que l’effort d’investissement privé en protection reste inférieur aux niveaux internationaux (rapport d’analyse KISA et Rapport sur le budget de sécurité 2023 (IANS/Artico)).

La CPRP prévoit aussi de renforcer l’encadrement interne : fixer des critères d’effectifs et de budget dédiés à la protection des renseignements, clarifier la responsabilité finale du directeur général (CEO), renforcer les pouvoirs et l’autonomie du responsable de la protection des renseignements (CPO) (désignation obligatoire, rapport annuel au conseil d’administration, garanties de conditions d’exercice), et étendre l’évaluation d’impact sur la protection des renseignements au secteur privé (ciblage, méthodes, critères, professionnalisation des évaluateurs). Sur les sanctions et la réparation, la CPRP propose d’alourdir les sanctions pécuniaires pour les entreprises victimes répétées d’intrusions, d’élargir l’obligation de notification aux personnes dont les données ont pu être exposées lorsque de graves risques sont prévisibles, d’examiner l’affectation des montants de sanctions à la réparation effective des victimes, et d’étudier l’instauration d’une forme de sanctions punitives à moyen terme. Les montants annuels de décisions pécuniaires mentionnés sont : 2021 = 82 000 000 000 ₩ (≈ 5 857 143 €), 2022 = 1 018 000 000 000 ₩ (≈ 72 714 286 €), 2023 = 232 000 000 000 ₩ (≈ 16 571 429 €), 2024 = 611 000 000 000 ₩ (≈ 43 642 857 €).

La CPRP prévoit d’établir des critères opérationnels (effectifs, budgets, incitations) par concertation avec les acteurs et d’en traduire les suites en textes réglementaires ou avis : la plupart des modifications législatives seront préparées en 2025 pour dépôt au parlement au premier semestre 2026, avec examen jusqu’en 2026 pour les mesures nécessitant une réflexion à plus long terme. La CPRP précise qu’en dépit des incitations à la participation volontaire, le non-respect des critères, si un incident survient, donnera lieu à des sanctions applicables selon les responsabilités constatées.

Le président de la CPRP a invité les grands opérateurs traitant de vastes volumes de données à considérer la protection des renseignements non comme un coût inutile mais comme un "investissement stratégique" et un "devoir fondamental" en vue de restaurer la confiance du public.