[Informations personnelles] Procédure et documents de réponse après réception d'une plainte pour violation de la vie privée — La première question du magistrat était de savoir si une fuite avait eu lieu.

Un agent administratif basé dans le district de Yeonsu, Incheon, partage une anecdote vécue.

La troisième question de l'enquêteur était la suivante : « Combien de temps conservez-vous les registres d'accès ? »

Le client n'a pas su répondre. Il n'avait jamais défini de durée. Et cette question n'avait aucun rapport avec le contenu signalé.

## Le signalement : un autre point de départ

Tout a commencé par un appel téléphonique. La voix était précipitée, et la première phrase était la suivante : « J'ai reçu un signalement concernant des informations personnelles. »

Il a pris rendez-vous et est venu le lendemain après-midi. C'était un homme d'une trentaine et demie, qui exploitait deux cafés d'étude sans surveillance 24h/24 et 7j/7 dans le district de Yeonsu, Incheon. Il travaille ailleurs pendant la journée et gère les magasins à distance. Il était en activité depuis trois ans et son remboursement de prêt était encore prévu au printemps de l'année suivante.

Le signalement était simple : un utilisateur affirmait que ses informations d'accès avaient été transmises à une autre personne.

Il y avait des raisons personnelles derrière cette situation. Un ami qui se disputait avec cet utilisateur s'était rendu au magasin et avait demandé à une personne spécifique quand elle était entrée et sortie, et un employé à temps partiel qui travaillait temporairement la nuit avait donné une heure approximative en regardant l'écran.

Le client n'a découvert cela qu'après avoir reçu l'appel concernant le signalement. L'employé à temps partiel avait déjà démissionné.

Voilà ce qui est rapporté dans le signalement. Mais cette affaire est bien plus que cela, elle représente à peine la moitié de ce récit.

## Après avoir envoyé deux réponses

Il avait déjà agi deux fois.

La première fois, il avait appelé l'organisme de signalement. Il a expliqué que c'était un employé qui avait fait cela et qu'il ne lui avait pas donné d'instructions. L'enquêteur a indiqué qu'il y avait une procédure de vérification des faits et qu'il devait préparer les documents nécessaires. C'était une indication précise.

La deuxième fois, il avait contacté directement l'utilisateur. Il voulait s'excuser et dissiper les malentendus. L'appel s'est terminé de manière peu cordiale.

C'est cette deuxième action qui est la plus délicate à gérer dans la pratique. Contacter directement les parties prenantes dans une affaire en cours, même de bonne foi, peut laisser place à des interprétations ultérieures. En particulier, toute nuance qui ressemble à une demande de retrait du signalement peut créer un nouveau problème.

Après cet appel, il ne savait plus quoi faire et est venu à notre bureau.

Ce qu'il a le plus répété lors de la première consultation, c'est : « C'est l'employé qui a fait ça. » Je comprends son état d'esprit. Cependant, la responsabilité du traitement des informations personnelles incombe à l'exploitant. Même si un employé a agi, c'est la responsabilité de l'exploitant de lui avoir donné des pouvoirs, de ne pas l'avoir formé et de ne pas l'avoir contrôlé.

Il m'a fallu trente minutes pour lui expliquer cette structure. Je pense que ces trente minutes ont orienté les deux mois suivants. Il y a les affaires où l'on s'accroche à l'injustice et celles où l'on reconnaît la structure et la corrige, et les résultats sont différents.

Et c'est aussi vrai sur le plan pratique. Dans le cadre d'une enquête, l'argument selon lequel « c'est l'employé qui a fait ça » est rarement accepté. En revanche, un document écrit indiquant « le système de gestion était insuffisant et nous l'avons corrigé comme suit » est réellement examiné.

## J'ai séparé deux questions

Ce que j'ai fait lors de la première consultation, c'est diviser la question en deux.

Première question : Comment faut-il considérer l'action signalée elle-même ?

Deuxième question : Indépendamment de cette action, comment l'approche générale de ce commerce en matière de données personnelles sera-t-elle perçue lors de l'enquête ?

La plupart des clients ne pensent qu'à la première question. Mais l'enquête commence par la première question et passe à la deuxième. Le signalement n'est qu'une clé pour ouvrir la porte, et une fois la porte ouverte, tout ce qui se trouve à l'intérieur est visible.

« La loi sur la protection des informations personnelles » impose diverses obligations aux entités traitant des informations personnelles. Cela comprend la collecte minimale conforme à la finalité, la définition et la suppression après l'expiration des périodes de conservation, les mesures de sécurité, la divulgation des politiques de traitement et la supervision en cas de délégation. Ces obligations ne s'appliquent pas uniquement en cas d'incident de fuite, mais sont constamment en vigueur.

C'est pourquoi nous avons commencé une inspection des locaux en plus de la réponse à la notification. C'est ce jugement qui était le plus important dans cette affaire.

Ce jugement a un coût. L'inspection révèle des problèmes inconnus, et ces problèmes doivent être corrigés. Si rien n'est fait, ces problèmes semblent n'exister qu'aujourd'hui.

C'est donc le client qui prend cette décision. Je lui ai présenté deux voies, et je lui ai expliqué les probabilités de ce qui pourrait se produire dans chaque cas. La voie consistant à répondre aux demandes de notification et à passer à autre chose est facile pour le moment. Cependant, si d'autres éléments sont identifiés au cours de l'enquête, ils se retrouvent dans un état de « négligence ».

Il a réfléchi pendant une dizaine de minutes et a décidé de procéder à une inspection. Ce n'était pas une décision facile compte tenu du fait que deux magasins avaient encore des prêts en cours.

## Trois points issus de l'inspection

Nous avons répertorié l'état actuel du traitement des informations personnelles dans deux magasins sur une période de trois jours. Trois points ont été identifiés.

Premièrement, il n'y avait pas de période de conservation définie. Les enregistrements d'accès et les informations relatives aux paiements restaient inchangés depuis le premier jour d'ouverture, sur une période de trois ans. Ce n'était pas qu'ils n'avaient pas été supprimés, mais le concept même de suppression n'existait pas. Le programme de gestion des magasins sans personnel avait un paramètre par défaut de conservation illimitée, et il ne connaissait pas la possibilité de modifier ce paramètre.

Deuxièmement, la politique de traitement des informations personnelles n'était pas affichée. Il y avait une case à cocher pour l'acceptation sur l'écran d'inscription, mais il n'y avait pas de document expliquant ce qui est collecté, à quelles fins et pendant combien de temps. Étant donné qu'il s'agissait d'une création indépendante et non d'une franchise, personne ne l'avait expliqué.

Troisièmement, les relations de sous-traitance n'étaient pas clarifiées. La société de nettoyage et la société de gestion des installations partageaient un compte du programme de gestion des magasins. C'était pour plus de commodité, mais ce compte permettait de consulter les informations des utilisateurs.

Le troisième point était le plus lourd. L'incident signalé était un acte isolé d'un seul employé, mais celui-ci était un problème structurel.

Le client s'est tu. Je lui ai dit : « Heureusement que nous l'avons découvert maintenant. Il y a une grande différence entre le fait que le procureur découvre quelque chose et le fait que nous le découvrions, que nous le corrigions et que nous l'expliquions. »

Je note également la méthode d'inspection. Nous n'avons pas utilisé d'outils sophistiqués. Nous nous sommes connectés au programme de gestion des magasins, avons ouvert chaque menu, avons noté ce qui est stocké, qui peut le voir et combien de temps cela reste, dans un tableau. Il y avait dix-neuf éléments au total pour les deux magasins.

Il a fallu une demi-journée pour créer ce tableau. Ce n'est pas difficile. C'est juste que personne ne le fait. Il n'y a aucune raison de créer ce tableau avant qu'un problème ne survienne.

Il y a une autre chose qui a été découverte. Il y avait une liste d'inscriptions reçues lors d'un événement au début de l'activité, conservée dans un fichier séparé. Les informations qui avaient été écrites sur papier avaient été transférées dans Excel, mais cela faisait plus de deux ans depuis la fin de l'événement. Le fait de conserver des informations dont la finalité est terminée est un problème en soi. De tels fichiers se trouvent généralement dans un dossier sur le bureau, et la personne même les a oubliés.

## L'ordre a été établi

Il ne restait qu'une semaine pour soumettre les documents. Nous avons divisé les choses qui pouvaient et ne pouvaient pas être faites dans ce délai.

Ce qui a été fait la première semaine est une action immédiate. Les comptes partagés ont été fermés et les comptes séparés par entreprise. Les droits d'accès ont été restreints aux limites nécessaires. La période de conservation du programme de gestion a été vérifiée et la période a été définie, et la procédure de suppression des enregistrements après la période a été établie.

Nous avons fait une chose ensemble. Nous avons enregistré l'état actuel avant de supprimer les données. Nous avons créé un tableau indiquant ce qui existait, selon quel critère et ce qui a été supprimé. Si des données sont supprimées pendant qu'une enquête est en cours, il faut expliquer cet acte lui-même. Il est préférable de conserver la preuve de la suppression plutôt que de supprimer les données.

Ce qui a été fait la deuxième semaine est le travail documentaire. La politique de traitement des informations personnelles a été rédigée et affichée en fonction de la réalité du traitement. Il y a une erreur courante ici. Il s'agit de copier la politique de traitement de quelqu'un d'autre sur Internet. Une politique de traitement qui ne correspond pas à la réalité est pire que de ne pas en avoir du tout, car cela signifie que ce qui est écrit est différent de ce qui est fait.

Par conséquent, chaque phrase a été adaptée aux opérations réelles. Les éléments de collecte ne sont que ceux qui sont réellement reçus, la période de conservation est la période définie et les entreprises de sous-traitance sont les noms des entreprises qui viennent d'être clarifiés.

## Les emplacements d'affichage ont aussi été définis

Les emplacements ont également été définis. Les directives de traitement doivent être accessibles aux utilisateurs. Dans le cas d'un magasin sans personnel, les deux affichages, l'écran d'inscription/paiement et l'affichage d'information du magasin, doivent être visibles. S'ils n'étaient visibles que sur l'un des deux, ils ne le seraient pas dans la pratique.

Il y a eu aussi des choses que je n'ai pas pu faire faute de temps.

Il est important de ne pas indiquer que quelque chose a été fait alors qu'il ne l'a pas été.

## Qu'est-ce qui a été écrit dans l'opinion ?

L'opinion soumise avec les documents était divisée en quatre parties.

Premièrement, les faits relatifs aux actions signalées. J'ai consigné quand, qui, quoi, en séparant ce qui avait été confirmé de ce qui ne l'avait pas été. J'ai reconnu que l'employé à temps partiel avait mentionné une plage horaire en regardant l'écran comme un fait. Cependant, j'ai également noté que la transmission ou l'impression des enregistrements n'avait pas été confirmée.

Il est important de ne pas nier. Contester un fait confirmé risque de compromettre la crédibilité des autres déclarations.

Deuxièmement, la reconnaissance des lacunes du système de gestion. J'ai clairement indiqué qu'il n'y avait pas de formation, pas de contrôle d'accès, et que c'est pourquoi une telle situation était possible.

Troisièmement, les mesures correctives déjà mises en œuvre. C'était le cœur de cette opinion. Séparation des comptes, restriction des autorisations, définition des périodes de conservation, exécution et enregistrement de la suppression, publication des directives de traitement. J'ai ajouté la date d'achèvement et la méthode de vérification pour chaque élément.

Quatrièmement, les plans futurs. J'ai brièvement noté les vérifications d'autorisations trimestrielles et la procédure de formation des nouveaux employés. Je n'ai pas écrit longuement. Établir un plan que l'on ne peut pas respecter est semer les graines d'un prochain problème.

J'ai également prêté attention à l'ordre. Il est naturel de commencer par les faits et de terminer par les mesures correctives, mais en réalité, ce que le lecteur veut savoir en premier, c'est le troisième élément. Quel est l'état actuel de cette entreprise ? J'ai donc ajouté une table des matières en tête et mis en évidence la position du troisième élément dans la table des matières.

Les documents doivent être rédigés dans l'ordre de lecture. L'ordre logique de l'auteur et l'ordre d'intérêt du lecteur sont généralement différents.

L'opinion était de huit pages, dont cinq pages étaient des preuves du troisième élément.

Ce à quoi j'ai prêté attention lors de la création des preuves, c'était le point de vue. Les captures d'écran contiennent généralement une date. En disposant les mêmes écrans avant et après les mesures, les phrases d'explication sont plus courtes. On peut remplacer trois paragraphes écrits par deux pages.

Inversement, il y a aussi des choses que je n'ai pas faites. Il s'agit de lister à l'avance les éléments qui n'ont pas été signalés afin de s'expliquer. Cela peut sembler serviable, mais cela revient à élargir soi-même la portée de l'enquête. Il est préférable de répondre aux questions posées, de montrer ce qui a été corrigé et de s'arrêter là.

## En cas de demandes supplémentaires

Environ trois semaines après la soumission des documents, j'ai reçu des demandes supplémentaires. Il y en avait deux.

L'une concernait la présence de clauses relatives au traitement des données personnelles dans le contrat avec l'entreprise contractante. Il n'y en avait pas. Il s'agissait plutôt d'une relation établie verbalement. Nous avons répondu qu'il n'y en avait pas et avons joint une copie du nouveau contrat rédigé à notre réponse.

L'autre concernait la portée des données supprimées. En voyant cette question, j'ai réévalué la valeur du tableau de suppression que j'avais préparé précédemment. Puisque ce qui a été supprimé, quand et selon quel critère était indiqué dans un seul tableau, la réponse s'est limitée à joindre ce tableau et à l'expliquer en deux lignes.

Si les données avaient été supprimées sans enregistrement, cette question aurait pris plusieurs semaines supplémentaires. Et la crédibilité de la réponse aurait été différente.

En matière de procédure administrative, ce qui semble inutile à l'époque est souvent utile par la suite.

## Ce n'était pas une "notification de violation"

Au milieu de la consultation, le client s'est inquiété d'une chose. Il s'est demandé si son affaire était la même que les incidents de fuite massive vus à la télévision.

Il était nécessaire de distinguer deux choses ici.

L'une est une notification de violation de la vie privée. Il s'agit du canal par lequel un titulaire de données signale que ses données personnelles sont traitées de manière inappropriée. C'est à cela que correspond cette affaire.

L'autre est l'obligation de notification et de signalement des fuites. Il s'agit de la procédure par laquelle une entreprise qui a connaissance d'une fuite de données personnelles doit informer le titulaire des données et les autorités compétentes si elle remplit les conditions. Cette obligation a un délai et, si elle n'est pas respectée, elle constitue un problème distinct en soi.

Deux procédures sont différentes en termes de point de départ. La première concerne une personne qui signale et qui est le titulaire des données, tandis que la seconde concerne une personne qui signale et qui est un entrepreneur.

Dans cette affaire, le problème était que l'heure d'accès d'un utilisateur spécifique avait été mentionnée verbalement, ce qui différait des cas où l'obligation de notification/déclaration de fuite était déclenchée immédiatement. Cependant, nous avons tout de même consigné brièvement notre jugement par écrit. Il est différent de noter les raisons pour lesquelles nous avons jugé que cela ne s'appliquait pas et de ne pas le mentionner du tout. Cela nous permet d'avoir une réponse prête lorsque nous sommes interrogés sur ce point.

C'est également un point de confusion fréquent chez les entrepreneurs dans la pratique. Les conditions et les délais d'application varient en fonction du cas, il est donc préférable de vérifier dès qu'une fuite est suspectée plutôt que de retarder la décision.

## La limite non franchie

Nous consignons également clairement ce que nous n'avons pas fait dans cette affaire.

Nous n'avons pas eu de contact avec le plaignant. Il y avait une demande pour transmettre nos excuses, mais nous avons suggéré que, si nécessaire, cela se fasse par écrit et dans le cadre de la procédure d'enquête, afin d'assurer la sécurité. En fin de compte, la situation s'est réglée sans contact supplémentaire.

Ce que nous avons fait, c'est préparer les documents et les formulaires à soumettre à l'administration et organiser les faits concernant les pratiques de l'établissement conformément aux exigences.

## Un petit incident de deux cafés

Il y a eu un petit incident dans cette affaire.

Le jour où les mesures correctives ont été prises, le client est venu au bureau avec deux cafés. Ils étaient servis dans des gobelets utilisés dans le magasin, et les deux gobelets étaient exactement pareils. L'un était sucré et l'autre non, et même le client avait du mal à savoir lequel était lequel.

Finalement, ils ont tous les deux goûté une gorgée chacun et échangé les gobelets. C'était la décision qui a pris le plus de temps au bureau ce jour-là.

Il a dit qu'il avait mis une notification de contrôle trimestriel sur l'écran de gestion du magasin. Il a dit que cela prenait cinq minutes pour vérifier la liste des autorisations et passer à autre chose lorsque la notification apparaît.

Pour le deuxième magasin, il donne une feuille A4 à chaque nouvel employé. Il y a seulement deux éléments écrits : le contenu selon lequel personne ne doit divulguer les informations sur les utilisateurs, même si on le demande, et le contenu selon lequel, dans ce cas, il faut contacter directement le propriétaire. Son explication était que si on le rendait trop long, personne ne le lirait.

Les règles qui durent le plus longtemps dans la pratique ressemblent généralement à cela. Elles ne sont pas parfaites, mais elles sont courtes et, étant courtes, elles sont respectées.

## Résultat

La durée totale était d'environ deux mois. Cela a pris une semaine pour le conseil et la soumission des documents, trois semaines pour la vérification et les réponses supplémentaires aux questions, et encore trois semaines pour la finalisation.

Le résultat était une organisation basée sur des mesures correctives. Les lacunes de l'établissement ont été soulignées, et il a également été confirmé que certaines mesures avaient déjà été prises. Les détails spécifiques des mesures ne sont pas indiqués ici, car ils varient en fonction du cas et des circonstances individuelles.

Cependant, une chose peut être consignée. Les éléments qui ont été vérifiés à la dernière étape coïncidaient généralement avec ceux que nous avions déjà trouvés et corrigés. En d'autres termes, presque rien de nouveau n'est apparu dans l'enquête. C'est pourquoi nous avons retenu la deuxième question.

Si cette vérification n'avait pas été effectuée, les mêmes éléments seraient apparus comme des remarques de l'autre partie plutôt que dans nos documents écrits. Même les mêmes faits sont traités différemment selon qui les a soulevés en premier.

Ce qui reste réellement au client, c'est le fait que cette affaire est close et le fait que les informations personnelles qui s'accumulaient sans critères depuis trois ans ont maintenant des critères.

Le second est plus important. L'incident initial signalé était un acte isolé d'un seul employé et avait une faible probabilité de se répéter. En revanche, les problèmes structurels réapparaîtront inévitablement si on les laisse tels quels. À ce moment-là, ils seront plus lourds.

La réception d'une plainte a finalement conduit à la réorganisation de l'établissement. Nous ne recommandons pas cette séquence. Cependant, si vous êtes déjà entré dans cette séquence, l'option la plus judicieuse est définie.

Nous consignons également les frais. C'était ce que le client a demandé à la fin. La partie sur laquelle de l'argent a réellement été dépensé dans cette affaire est l'augmentation des frais d'utilisation du programme de gestion due à la séparation des comptes et le temps nécessaire pour rédiger un nouveau contrat avec l'entreprise prestataire. Ce n'est pas un montant important.

Ce qui a réellement coûté cher, ce sont les trois années précédentes. Des dossiers accumulés sans aucun critère semblent ne rien coûter en eux-mêmes, mais dès qu'un problème survient, la facture arrive d'un seul coup. Et à ce moment-là, les options se sont déjà réduites.

L'administration est la moins chère lorsque rien ne se passe.

Deux mois plus tard, il a fait un commentaire en passant. Au début, il pensait que cette affaire mènerait à la fermeture du magasin. Ce n'est pas ce qui s'est produit, mais l'anxiété de ces quelques jours était d'un type irréductible.

Les procédures administratives sont plus épuisantes pour les gens en raison du temps qui s'écoule entre les résultats. Je pense que réduire ce temps est aussi important que de changer les résultats.

## Quelques points à retenir

Dans une telle situation, veuillez suivre cet ordre.

① Ne contactez pas directement le déclarant. Même un contact bien intentionné peut être interprété différemment dans une procédure en cours. S'il y a un message à transmettre, il est plus sûr de le faire par écrit dans le cadre de la procédure.

② Ne vous limitez pas aux affaires déclarées. L'enquête commence par le contenu de la déclaration et s'étend à l'ensemble de la situation de traitement. Il est préférable de vérifier vous-même avant d'être pointé du doigt, car cela change les résultats.

③ Vérifiez d'abord les périodes de conservation et les droits d'accès. Ce sont les deux problèmes les plus courants dans les magasins sans personnel ou les petites entreprises. Les paramètres par défaut des programmes de gestion sont souvent des conservations illimitées.

④ Avant de supprimer les données, enregistrez leur état. Le fondement et la date de la suppression sont plus importants que la suppression elle-même. C'est particulièrement vrai pour les affaires en cours.

⑤ Ne copiez pas les politiques de traitement des autres. Une politique de traitement différente de la réalité peut être désavantageuse plutôt que de ne pas en avoir. Vous pouvez vérifier ligne par ligne les éléments collectés, les périodes de conservation et les entreprises sous-traitantes par rapport à ce qui est réellement en cours.

⑥ Ne partagez pas les comptes avec les entreprises sous-traitées. Bien qu'il soit courant d'utiliser un seul compte pour plus de commodité, il devient impossible de savoir qui a consulté quoi. Il est préférable de diviser les comptes par entreprise et de limiter les droits d'accès à la mesure nécessaire.

⑦ Notez uniquement ce qui a réellement été fait par écrit. Si vous séparez la planification de l'achèvement, vous ne vous retrouverez pas dans l'embarras si vous recevez une demande de vérification ultérieurement.

Les déclarations et enquêtes relatives à la protection des données personnelles ont des exigences et des procédures différentes selon le cas, et l'applicabilité des obligations de notification et de déclaration de violation dépend également de la situation. Une vérification individuelle est nécessaire.

Cet exemple est une histoire fictive reconstituée à des fins d'illustration et les personnages, noms commerciaux, lieux et chiffres qui y figurent ne sont liés à aucune personne ou événement spécifique.

• --

C'est un bureau d'agent administratif situé à Incheon Songdo (Posco Tower Songdo). Il traite les procédures administratives, les autorisations/déclarations, l'entrée et le séjour des étrangers (visas, permis de séjour) et la gestion administrative régulière. En ce qui concerne les déclarations relatives à la protection des données personnelles, l'état de gestion habituel de l'établissement est souvent plus déterminant que les affaires déclarées. N'hésitez pas à nous contacter si vous rencontrez une situation similaire.

📍 165, Connexia Street, Yeonsu-gu, Incheon, Posco Tower Songdo 2697 📞 010-3374-2687 🌐 www.hwangadmin.com

N'hésitez pas à nous contacter si vous avez des questions sur des situations similaires.

* Cet exemple est une histoire fictive reconstituée à des fins d'illustration.

#ViolationDeLaProtectionDesDonnées #LoiSurLaProtectionDesDonnéesPersonnelles #PolitiqueDeTraitementDesDonnéesPersonnelles #PériodeDeConservation #DroitDAccès #MagasinSansPersonnel #AgentAdministratif #AgentAdministratifIncheon #AgentAdministratifSongdo