📌 Résumé en 3 points > - Les avis de violation de données contiennent des éléments prescrits par la loi. Il faut qu'ils indiquent ce qui, quand et en quelle quantité a été divulgué, ainsi que le point de contact pour les signalements, sinon on peut les exiger. > - "Signalement" est au nombre de deux. Le signalement que l'entreprise fait au comité de protection, et le signalement que la victime fait au centre de signalement des violations de données personnelles, sont des procédures différentes. > - Ne vous contentez pas de faire un signalement. Vous devez inclure une demande de suppression et une demande de suspension du traitement pour que le message cesse réellement.
Table des matières 1. Une question née d'un SMS 2. Les trois éléments manquants dans l'avis 3. Distinguer les deux "signalements" 4. Comment la liste a-t-elle été divulguée ? 5. Choisir ce qu'il faut écrire dans le formulaire de signalement 6. Pourquoi inclure la suppression et la suspension du traitement ensemble 7. La réponse reçue après quatre semaines 8. Vous avez reçu un avis de violation de données personnelles
Je suis agent administratif basé à Songdo, district de Yeonsu, Incheon. Voici un épisode que j'ai vécu au cours de mon travail.
Les demandes concernant les données personnelles provenaient autrefois principalement des responsables d'entreprises. Maintenant, c'est l'inverse. Il est beaucoup plus fréquent que les personnes ayant subi des dommages demandent : "Où et comment dois-je signaler cela ?" Cela est dû en partie aux changements du système, mais il est surtout dû au fait que les gens commencent à ressentir l'étendue de la diffusion de leurs informations.
C'est ainsi que cette affaire a débuté. Un SMS publicitaire.
## 1. Un SMS à l'origine de la question
La cliente était une femme d'une trentaine d'années, mère de deux enfants scolarisés en primaire. Le premier contact a été par e-mail, accompagné de six captures d'écran.
Sur les six, trois étaient des SMS publicitaires. Il s'agissait de cours par correspondance, d'un camp d'anglais et d'une invitation à une présentation d'une école dont elle n'avait jamais entendu parler. Les trois SMS mentionnaient le prénom de son enfant de manière précise. Pas "Mme ○○", mais "Mme ○○, mère de ○○, élève de 3ème année". Le niveau scolaire était même indiqué.
La dernière capture d'écran posait problème. Il s'agissait d'une photo d'un avis envoyé par un cours de soutien scolaire de quartier qui avait fermé ses portes il y a quatre mois. Sous les deux paragraphes annonçant la fermeture, une ligne était ajoutée. Il s'agissait d'une notification indiquant qu'il y avait des preuves de fuite d'informations personnelles.
C'était tout.
Elle a déclaré qu'elle avait d'abord ignoré cet avis. L'annonce de la fermeture de l'école avait attiré son attention, et la ligne en dessous lui était apparue comme une formule de politesse. Cependant, il y a environ deux mois, les SMS ont commencé à arriver. Au début, il y en avait un ou deux par mois, puis récemment, il y en a eu quatre par semaine.
Elle avait même essayé elle-même. Elle a appelé le numéro indiqué dans le SMS pour demander comment ils avaient obtenu son numéro. L'opérateur a simplement répondu qu'il s'agissait d'une liste reçue via des partenaires, sans préciser quels partenaires. Elle a bloqué les appels, mais ils sont arrivés à partir d'autres numéros. Pendant ce temps, le nombre de SMS contenant le nom de son enfant a augmenté.
La phrase qu'elle a écrite à la fin de son e-mail était la suivante : "Je peux accepter que mon numéro ait été divulgué, mais je suis effrayée que le nom et le niveau scolaire de mon enfant continuent de circuler."
## 2. Trois éléments manquants dans la notification
Le rendez-vous de consultation était fixé à l'après-midi du vendredi de cette semaine. Avant cela, j'ai examiné le document d'information.
La « loi sur la protection des renseignements personnels » stipule que le responsable du traitement des renseignements personnels doit informer la personne concernée en cas de fuite de renseignements personnels. Et elle a même inscrit dans la loi les éléments à inclure dans cette notification. Les éléments divulgués, le moment et les circonstances de la fuite, les mesures que la personne concernée peut prendre pour minimiser les dommages, les mesures de réponse du responsable et les procédures de réparation, ainsi que le service responsable et les coordonnées pour signaler et consulter les dommages.
Trois de ces éléments manquaient dans le document reçu par cette personne. Il manquait ce qui avait été divulgué, quand et comment cela s'était produit, et où signaler l'incident.
La raison pour laquelle cette vérification est prioritaire, c'est qu'elle est le point de départ de tous les documents à rédiger par la suite. Le contenu de la déclaration dépend de savoir si les éléments divulgués ne sont que le nom et le numéro de téléphone, ou s'il incluent également l'adresse et l'école. Sans connaître le moment de la fuite, il est impossible de relier les SMS reçus par la suite.
C'est pourquoi le premier document est une demande de complément d'information sur la notification. C'est un document court et formel qui demande de compléter les éléments qui n'ont pas été inclus conformément à la loi. J'ai indiqué la base juridique, énuméré les éléments manquants par numéro et indiqué le délai de réponse.
Il y avait une raison pratique d'envoyer ce document en premier. Si l'exploitant répond, les circonstances de la fuite seront consignées selon son récit. S'il ne répond pas, le fait même que cela s'est produit sera enregistré. Dans tous les cas, cela peut être utilisé pour l'étape suivante.
## 3. Distinguer les deux 'déclarations' La première chose à clarifier lors de la consultation du vendredi était le terme 'déclaration'.
Les informations que cette personne avait trouvées sur internet étaient confuses. Certains articles suggéraient de signaler l'incident à la Commission de la protection des renseignements personnels, tandis que d'autres indiquaient de se rendre au centre de signalement des atteintes à la vie privée. D'autres encore conseillaient de demander une conciliation. Elle était perplexe quant à savoir si ces trois options étaient identiques ou différentes.
Il s'agit de procédures distinctes. Voici comment elles s'organisent, par ordre :
- Signalement effectué par l'entreprise: Si la fuite est d'une ampleur importante ou si elle contient des informations sensibles ou des informations d'identification uniques, le responsable du traitement des données personnelles est tenu de signaler l'incident à la Commission de la protection ou à un organisme spécialisé. Il s'agit d'une obligation de l'entreprise, et non d'une procédure suivie par la victime.
- Signalement effectué par la victime: Si l'on estime que ses droits ou intérêts concernant ses renseignements personnels ont été violés, on peut signaler l'incident au centre de signalement des atteintes à la vie privée. Les dossiers déposés font l'objet d'enquêtes, de recommandations de correction et, si nécessaire, de sanctions.
- Conciliation: Il s'agit d'une procédure de règlement des différends entre les parties, par exemple en matière de dommages et intérêts. La partie adverse est une "personne" qui est une entreprise et les litiges financiers sont au centre du problème, ce qui permet de passer dans ce domaine.
Notre travail consiste à rédiger et à soumettre des formulaires de signalement et des plaintes aux administrations. Dans ce cas, l'objectif était d'arrêter les communications et de supprimer la liste, ce qui correspondait à la première option.
J'ai redemandé quel était l'objectif de cette personne. La réponse était claire : elle ne voulait pas d'argent, mais souhaitait que la liste contenant le nom de son enfant disparaisse.
Quand l'objectif est clair, les documents le sont aussi.
## 4. Comment la liste a-t-elle été divulguée ?
La semaine suivante, un mardi, j'ai reçu une réponse du côté de l'entreprise. C'était plus rapide que prévu.
Il s'agissait d'un court e-mail envoyé par la personne qui était en charge de l'exploitation de l'école au moment de la fermeture. Le contenu était le suivant : lors du processus de liquidation, le compte utilisé pour le programme de gestion des étudiants n'avait pas été supprimé, et il semblerait qu'un ancien employé ayant accès à ce compte ait téléchargé la liste et l'ait transmis à une autre entité. Les éléments divulgués étaient le nom de l'étudiant, la classe, le nom du tuteur, et le numéro de téléphone portable du tuteur. La période estimée était entre deux semaines avant la fermeture.
Un point a attiré mon attention. Indépendamment de la fermeture de l'entreprise, les informations personnelles doivent être supprimées sans délai une fois la période de conservation terminée ou lorsque le but du traitement est atteint. En principe, il n'y avait aucune raison pour l'école de conserver les informations des étudiants une fois qu'elle a fermé ses portes. Pourtant, la liste est restée dans le programme.
En d'autres termes, il y avait deux aspects à cette affaire : l'un était la fuite de la liste par une personne sans autorisation, et l'autre était un problème de gestion consistant à conserver des informations qui auraient dû être supprimées. Nous avons décidé de séparer ces deux éléments dans le formulaire de signalement. Si nous les avions regroupés, cela n'aurait été lu que comme un "incident où un employé a volé la liste en secret", ce qui aurait donné à l'entreprise une marge de manœuvre pour minimiser sa responsabilité.
Et cet e-mail de réponse lui-même est devenu un document important. Il contenait une description par l'entreprise des circonstances de la fuite, des éléments divulgués et de la période. La raison pour laquelle j'ai d'abord envoyé une demande de complément d'information est désormais claire.
## 5. Choisir ce qu'il faut écrire sur le formulaire de déclaration
La partie de la rédaction du formulaire de déclaration qui a pris le plus de temps n'était pas l'amélioration des phrases, mais le choix de ce qu'il faut supprimer.
Il avait beaucoup à dire. À quel point les messages étaient pénibles, à quel point il était déçu de l'école, ce qu'avait dit son enfant en voyant les messages avec son nom. Tout était vrai, mais si tout était inclus dans le formulaire de déclaration, le contour de l'affaire serait flou. Ce que la partie enquêtant doit voir, ce ne sont pas les émotions, mais les faits et les points de violation.
Par conséquent, j'ai organisé cela en trois catégories.
Premièrement, qu'est-ce qui a fui, quand et comment. J'ai repris exactement les éléments, les dates et les circonstances indiqués dans la réponse de l'entreprise, et j'ai joint l'e-mail comme document.
Deuxièmement, quels devoirs n'ont pas été respectés. J'ai séparé les points suivants : l'absence des éléments prescrits dans la notification de fuite, le fait que les informations n'aient pas été supprimées après la fermeture, et le manque de gestion des droits d'accès. Deux ou trois lignes par élément suffisaient.
Troisièmement, les conséquences de la fuite se sont-elles réellement manifestées ? C'était la partie la plus convaincante de cette affaire. Le fait que des messages publicitaires avec le nom et la classe de l'enfant soient arrivés de plusieurs entreprises montre que la liste s'est propagée à plusieurs endroits, et non à un seul. J'ai créé un tableau avec les messages qu'il m'a donnés, en fonction du numéro de l'expéditeur et de la date de réception. Il y en avait vingt-six sur une période de quatre mois.
Dès qu'on le présente sous forme de tableau, la nature change. "Les messages continuent d'arriver" devient "vingt-six messages de huit entreprises différentes sur une période de quatre mois".
Il s'est passé un petit incident ici. En organisant des documents, il a accidentellement supprimé trois SMS. Sa voix était tendue lorsqu'il a reçu un appel téléphonique. Heureusement, ils ont pu être récupérés grâce à la fonction de sauvegarde de SMS de l'opérateur. Depuis, il prend des captures d'écran de chaque nouveau SMS et les enregistre séparément.
## 6. Les raisons de combiner la suppression et la suspension de traitement
La simple soumission d'un formulaire entraînera-t-elle l'arrêt des messages ? Non.
Les déclarations mènent à des enquêtes et à des mesures correctives, mais cela prend du temps. Entre-temps, les listes restent telles quelles dans les systèmes d'envoi des entreprises. Par conséquent, en plus de la déclaration, nous avons décidé de demander deux actions auprès des entreprises ayant envoyé les messages.
La « Loi sur la protection des renseignements personnels » accorde aux personnes concernées le droit de demander la consultation, la correction, la suppression et la suspension de traitement de leurs renseignements personnels. Ce droit peut être exercé non seulement auprès de l'entité qui a initialement fourni les renseignements, mais également auprès de l'entité qui les détient actuellement et les traite.
- Demande de consultation: Vérifier quels éléments d'information l'entreprise détient et où elle les a obtenus.
- Demande de suppression: Exiger la suppression si aucun motif de conservation n'existe.
- Demande de suspension de traitement: Exiger l'arrêt du traitement, comme l'envoi de publicités, même avant la suppression.
Il existe une raison à cet ordre. Si vous ne demandez que la suppression, l'entreprise peut gagner du temps en disant « en cours de vérification » pendant que les messages continuent d'arriver. L'ajout d'une demande de suspension de traitement crée une base pour arrêter l'envoi pendant cette période. En plaçant la demande de consultation en premier, l'entreprise est obligée de révéler où elle a obtenu la liste, et cette réponse devient un fil conducteur pour suivre le parcours de la diffusion.
Nous avons envoyé des demandes du même format à six des huit entreprises dont le numéro de l'expéditeur a été confirmé. Le contenu était le même, seule la désignation de l'entreprise et l'historique des messages reçus variaient. Pour les deux entreprises restantes, le numéro de l'expéditeur était un numéro d'agence de diffusion Internet, ce qui rendait difficile l'identification de l'entreprise, et ce fait a été indiqué tel quel dans le formulaire de déclaration.
Nous avons également fourni les informations suivantes : ces demandes ont des délais de réponse, et si une réponse n'est pas reçue ou si une demande est rejetée, une raison doit être fournie. Nous avons donc demandé que les réponses soient conservées plutôt que jetées. Si une entreprise ne répond pas, cela même devient un document supplémentaire.
## 7. Réponse reçue six semaines plus tard
Le premier contact après la réception de la déclaration était une question de vérification des faits. On m'a demandé de renvoyer la période de réception des SMS, le nombre d'entreprises et l'original du courriel de réponse de l'entreprise. Grâce au tableau que j'avais préparé, j'ai pu répondre dans l'après-midi ce jour-là.
Les réactions des entreprises étaient mitigées. Parmi les six, quatre ont confirmé la suppression. Deux d'entre elles ont même indiqué d'où elles avaient reçu la liste, et les deux pointaient vers la même entreprise d'intermédiation. Une autre a simplement répondu qu'elle l'avait "reçue légitimement de ses partenaires". La dernière n'a pas répondu.
Le fait que la même entreprise d'intermédiation soit apparue deux fois a été soumis comme document complémentaire. Cela montrait une possibilité que plusieurs entreprises n'aient pas obtenu la liste individuellement, mais qu'elle se soit propagée via une seule source.
Les SMS ont considérablement diminué environ six semaines après la déclaration. Ce n'était pas complètement arrêté. Les SMS des entreprises ayant répondu à la demande d'arrêt de traitement ont cessé en premier, et ceux qui n'avaient pas répondu sont restés inchangés. Un nouveau courrier de demande a été envoyé à cette dernière entreprise.
Je me souviens de ce qu'il a dit lors de notre dernier appel téléphonique. Il a dit que les SMS n'avaient pas complètement disparu, mais qu'il avait moins peur de savoir ce qu'il fallait faire lorsqu'il en recevait un. Il s'agissait de faire une capture d'écran, d'indiquer la date et d'envoyer une demande.
Les résultats des procédures administratives ne sont pas toujours propres. Cependant, la différence entre savoir ce qui s'est passé et savoir ce que l'on peut faire ensuite est grande.
## 8. Vous avez reçu une notification de violation de données personnelles
① Vérifiez d'abord si la notification contient tous les éléments légaux requis. Elle doit inclure les éléments divulgués, le moment et les circonstances de la violation, les mesures prises par le responsable, les procédures de réparation et les canaux de signalement et de consultation. Si quelque chose manque, vous pouvez exiger que cela soit complété, et cette réponse servira de document ultérieur.
② Distinguéz le type de 'signalement' dont il est question. Le signalement que l'exploitant doit faire aux commissions de protection, et le signalement que la victime doit faire au centre de signalement des violations de données personnelles, sont des procédures différentes. Les litiges financiers tels que les demandes de dommages et intérêts relèvent du domaine de la médiation ou des poursuites judiciaires.
③ Organisez les faits de votre préjudice sous forme de tableau, et non sous forme d'émotion. Établir une liste des numéros de téléphone de l'expéditeur, des dates de réception et des éléments d'informations personnelles contenus dans les messages transformera "c'est pénible" en "vingt-six messages de huit entreprises différentes pendant huit mois".
④ Incluez une demande de consultation, de suppression et d'arrêt de traitement avec votre signalement. Le signalement seul ne suffit pas à arrêter immédiatement la diffusion de la liste déjà divulguée. Combiner les trois éléments fournit un fondement pour arrêter l'envoi pendant la période d'enquête.
⑤ Conservez les réponses, ne les effacez pas. Le fait de ne pas avoir répondu, le fait de ne pas avoir pu fournir de justification, sont également des éléments de preuve.
⑥ Même si une entreprise a cessé ses activités, la responsabilité ne disparaît pas. Le principe d'effacement sans délai une fois la finalité du traitement terminée s'applique également après la cessation d'activité.
La procédure applicable et les obligations de déclaration peuvent varier en fonction de l'ampleur ou des éléments divulgués, et le jugement de l'organisme peut varier d'un cas à l'autre. Il est nécessaire de vérifier auprès de l'organisme concerné avant de faire une demande.
Ce texte est reconstitué à partir de cas de consultation réels, et les personnages, noms commerciaux, noms de lieux et chiffres qui y figurent ne sont liés à aucune personne ou événement spécifique.
- --
Bureau d'agent administratif situé à Songdo, Incheon (Posco Tower Songdo). Il traite les litiges administratifs, les autorisations/déclarations par substitution, l'entrée et le séjour des étrangers, et la gestion administrative régulière. Pour les personnes ayant reçu une notification de violation de données personnelles ou qui sont gênées par des SMS publicitaires incessants, nous préparons ensemble la vérification du contenu de la notification, la rédaction du formulaire de déclaration, et la soumission de demandes de consultation, de suppression et d'arrêt du traitement. N'hésitez pas à nous contacter si vous êtes dans une situation similaire.
📍 인천 연수구 컨벤시아대로 165, 포스코타워송도 2697호 📍 165, Conventionia-daero, Yeongu-gu, Incheon, Posco Tower Songdo 2697 📞 010-3374-2687 🌐 www.hwangadmin.com
#CasVirtuel #ViolationDesDonnéesPersonnelles #DéclarationDeViolationDesDonnéesPersonnelles #CentreDeSignalementDeViolationDeLaViePrivée #AvisDeDivulgation #DemandeD'ArrêtDuTraitement #DemandeDeSuppression #SMSPublicitaires #LoiSurLaProtectionDesDonnéesPersonnelles #AgentAdministratifIncheon #AgentAdministratifSongdo