L'autorité sud-coréenne sanctionne TikTok et Apple pour la collecte et le transfert de données utilisateur sans base légale valide, soulignant en particulier l'invalidité du consentement groupé pour le suivi comportemental et le manque de transparence des flux de données internationaux.

Faits et contexte

L'autorité sud-coréenne de protection des données (PIPC) a aujourd'hui publié une décision de sanction à l'encontre de Tiktok Pte. Ltd. et de deux filiales d'Apple (comprenant le prononcé d'une amende totale de 10,558 milliards de wons, soit environ 7 millions €) pour des manquements en lien avec la collecte, l'utilisation et le transfert international de données personnelles sans base légale valide.

L'enquête concernant TikTok a été initiée suite à des articles de presse signalant de possibles violations de la loi sur la protection des données personnelles. L'enquête visant Apple a débuté après la médiatisation d'une action en justice aux États-Unis concernant la collecte et l'utilisation non autorisées de données vocales du service "Siri".

Motifs de la décision

Concernant Tiktok Pte. Ltd.

• Obligation de disposer d'une base légale pour la collecte et l'utilisation des données (équivalent de l'article 6 du RGPD) : L'autorité a constaté que TikTok collectait des informations sur le comportement des utilisateurs sur des sites et applications tiers via ses outils de suivi (Pixel, trousse de développement logiciel), affectant 9,45 millions d'utilisateurs actifs en Corée. Ces données, incluant des identifiants publicitaires, étaient ensuite liées aux comptes TikTok pour du profilage et de la publicité ciblée. Le consentement recueilli a été jugé invalide car il était présenté de manière groupée avec les conditions nécessaires à l'utilisation du service, contraignant de fait les utilisateurs à accepter ce suivi pour accéder à la plateforme, ce qui prive le consentement de son caractère libre.
• Obligation d'encadrer les transferts de données hors du territoire (articles 44 et suivants du RGPD) : Le transfert de ces données comportementales à l'étranger a été jugé illicite, faute de base légale appropriée.
• Obligation d'information lors de la collecte (équivalent de l'article 13 du RGPD) : Dans le cadre du service "TikTok Lite", des données étaient transférées à une société affiliée sans que les utilisateurs ne soient informés des catégories de données concernées, de la finalité du traitement par le destinataire ou des durées de conservation, en violation des exigences de transparence.

Concernant Apple Distribution International Limited (ADI) et Apple Services Pte. Ltd. (ASPL)

• Obligation de disposer d'une base légale pour la collecte et l'utilisation des données (équivalent de l'article 6 du RGPD) : Il a été établi que jusqu'en août 2019, Apple collectait les enregistrements vocaux "Siri" ainsi que leurs transcriptions textuelles pour améliorer son service sans obtenir de consentement distinct. Après cette date, bien qu'un consentement ait été demandé pour les enregistrements vocaux, l'utilisation des transcriptions textuelles se poursuivait sans base légale valide.
• Obligation d'information et d'encadrement des transferts de données hors du territoire (équivalent des articles 13 et 44 du RGPD) : L'autorité a relevé que les informations fournies dans la politique de confidentialité sur les transferts de données vers des sociétés affiliées, notamment Apple Inc. aux États-Unis, étaient insuffisantes. Elles ne détaillaient pas précisément les catégories de données transférées, les finalités poursuivies par le destinataire ou les durées de conservation.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 10,306 milliards de wons (environ 6,87 millions €) à Tiktok Pte. Ltd. et une amende de 252 millions de wons (environ 167 000 €) à la filiale d'Apple, Apple Distribution International Limited.

En outre, l'autorité a ordonné aux entreprises de prendre des mesures correctives, de publier la décision de sanction, et a enjoint la filiale Apple Services Pte. Ltd. de revoir ses processus de transferts internationaux de données pour renforcer le niveau de protection.

Enseignements

Cette décision confirme / précise / rappelle que :

• Le consentement de la personne concernée n'est valide que s'il est donné librement, ce qui exclut les mécanismes de consentement groupé ou obligatoire pour accéder à un service non directement lié à ce traitement.
• La notion de "transfert international" de données s'entend au sens large et couvre tout transfert hors de la juridiction de l'autorité, y compris les transferts intra-groupe, qui doivent respecter les exigences légales applicables.
• La transparence est une obligation fondamentale qui impose de décrire précisément dans la politique de confidentialité les modalités des transferts de données, incluant les catégories de données, les destinataires, les finalités et les durées de conservation.
• Les entreprises étrangères traitant les données de résidents locaux sont pleinement soumises aux lois nationales de protection des données et doivent garantir le respect du droit à l'autodétermination informationnelle.