L'autorité sud-coréenne de protection des données a mené une enquête d'envergure sur les pratiques de huit opérateurs de réseau mobile virtuel, révélant des défaillances systémiques en matière de sécurité, de durée de conservation et de licéité du traitement des données, notamment des numéros d'identification nationaux. Cette action coordonnée met en lumière les risques inhérents à une croissance rapide du marché au détriment de la conformité en matière de protection des données personnelles.

Faits et contexte

L'autorité sud-coréenne de protection des informations personnelles (PIPC) a publié le 12 novembre 2026 une décision de sanction à l'encontre de huit fournisseurs de services de téléphonie mobile virtuelle, comprenant le prononcé d'amendes administratives et de pénalités d'un montant total de 171 300 000 wons (environ 118 000 €) pour des manquements liés au traitement illicite de numéros d'identification nationaux, au non-respect des durées de conservation et à des mesures de sécurité insuffisantes.

L'affaire trouve son origine dans une enquête d'initiative de la PIPC sur l'ensemble du secteur, suite à des préoccupations concernant le faible niveau de protection des données résultant d'une concurrence agressive axée sur l'acquisition de nouveaux abonnés et l'expansion du marché.

Motifs de la décision

L'autorité a identifié plusieurs violations de la loi sur la protection des informations personnelles par les entreprises kt M mobile, MediaLog (U+ Umobile), S1 (Ansim Mobile), LG HelloVision (Hello Mobile), SK Telink (SK 7mobile), Unicoms (mobing), Kookmin Bank (KB Liiv M) et KT Skylife (skylife mobile).

• Traitement de données d'identification sans base légale : Il a été constaté que kt M mobile et Unicoms collectaient les numéros d'enregistrement de résident des clients sur leur site internet lors de la vente de cartes SIM, sans fondement juridique. De même, MediaLog collectait ce numéro lorsqu'un utilisateur demandait en ligne à ce que la facturation soit établie au nom d'un tiers, une pratique également jugée illicite.
• Manquement à l'obligation de sécurité : Plusieurs opérateurs, dont SK Telink, LG HelloVision, kt M mobile et MediaLog, conservaient des données personnelles sensibles telles que les numéros d'enregistrement de résident, les numéros de carte de crédit et les numéros de compte bancaire en clair, sans aucun chiffrement. De plus, KT Skylife et Unicoms n'ont pas conservé les enregistrements relatifs à la gestion des droits d'accès des utilisateurs au système de traitement pendant la durée minimale requise de trois ans, tandis que LG HelloVision a manqué à son obligation de conserver les journaux de connexion à ce même système.
• Non-respect des durées de conservation : La majorité des opérateurs contrôlés ne supprimaient pas les données personnelles une fois la durée de conservation expirée ou la finalité du traitement atteinte, conservant ainsi les informations de manière indue.
• Recueil du consentement non conforme : L'autorité a relevé que des consentements optionnels, notamment pour la fourniture de données à des tiers pour des services additionnels, étaient présentés comme des éléments de consentement obligatoires. En conséquence, les clients ne pouvaient pas activer ou utiliser leur ligne téléphonique s'ils refusaient de consentir à ces traitements facultatifs, viciant ainsi la liberté de leur consentement.
• Manquement à l'obligation de supervision des sous-traitants : Il a été établi que les opérateurs ont fait preuve de négligence dans la gestion et la supervision de leurs sous-traitants, tels que les opérateurs de réseau mobile et les points de vente, qui traitaient des données personnelles pour leur compte.

Décision de l'autorité

En conséquence, l'autorité a imposé des sanctions financières d'un montant total de 171 300 000 wons (environ 118 000 €) aux huit entreprises concernées. Pour le traitement illicite des numéros d'enregistrement de résident, kt M mobile a été condamnée à une amende de 13 700 000 wons et MediaLog à une amende de 47 200 000 wons. Unicoms, bien qu'ayant commis la même infraction, a été exemptée de l'amende administrative mais a reçu une pénalité de 3 900 000 wons.

En outre, l'autorité a ordonné aux entreprises de prendre des mesures correctives pour mettre fin aux violations et a ordonné la publication des sanctions. Des recommandations ont également été émises pour que les opérateurs définissent une durée de conservation minimale et nécessaire pour les dossiers de souscription non aboutis et pour qu'ils simplifient le processus de résiliation afin qu'il soit aussi aisé que celui de la souscription.

Enseignements

Cette décision rappelle que :

• La collecte d'un numéro d'identification national, même pour des processus de vérification ou de gestion, doit impérativement reposer sur une base légale explicite et ne peut être justifiée par la seule nécessité opérationnelle du service.
• Les données personnelles sensibles telles que les identifiants uniques, les numéros de carte de crédit ou les coordonnées bancaires doivent être chiffrées au repos et ne jamais être stockées en clair dans les systèmes d'information.
• Le parcours de résiliation d'un service doit être aussi simple et accessible que le parcours de souscription, afin de ne pas créer d'obstacle indu à l'exercice par les personnes de leur droit de mettre fin à un traitement de données.