La Commission de protection des informations personnelles (CPIP) de Corée du Sud a aujourd'hui publié une décision de sanction à l'encontre de Moncler Corée, comprenant le prononcé d'une amende totale de 88 210 000 wons sud-coréens (environ 59 600 €), pour des manquements liés à la sécurité des données et à la notification d'une violation.
Cette affaire débute par la notification d'une violation de données par l'entreprise elle-même en janvier 2022, suite à un piratage de son système de traitement des données personnelles ayant affecté environ 230 000 personnes.

L’enquête menée par l’autorité a permis de constater :
* Obligation de garantir la sécurité du traitement (équivalent de l'article 32 du RGPD) : L'autorité a relevé que depuis juin 2019, l'entreprise n'avait pas mis en œuvre de mesure d'authentification sécurisée, en plus de l'identifiant et du mot de passe, pour les employés accédant au système d'information via le réseau. Cette faille a permis à un attaquant, qui avait préalablement obtenu les identifiants d'un compte administrateur, de déployer un logiciel malveillant, d'exfiltrer des données personnelles puis de chiffrer les données d'origine.

* Obligation de notifier une violation de données personnelles (équivalent des articles 33 et 34 du RGPD) : Ayant pris connaissance de la violation le 17 janvier 2022, Moncler Corée a notifié les personnes concernées le 20 janvier et l'autorité le 22 janvier. L'autorité a jugé que ces notifications avaient été effectuées sans motif légitime au-delà du délai de 24 heures alors applicable en vertu de la législation sur la protection des données personnelles.

En conséquence, la structure s'est vue sanctionner de l'amende mentionnée ci-dessus.
En outre, l’autorité a ordonné la publication de cette décision de sanction sur son site internet.