RÈGLES SUPPLÉMENTAIRES POUR L’INTERPRÉTATION ET L’APPLICATION DE LA LOI SUR LA PROTECTION DES INFORMATIONS À CARACTÈRE PERSONNEL RELATIVES AU TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL TRANSFÉRÉES EN CORÉE
Table des matières
I.Aperçu54II.Définitions de termes55III.Règles supplémentaires551.Limitation de l’utilisation et de la fourniture d’informations à caractère personnel à des fins non prévues (articles 3, 15 et 18 de la loi)552.Limitation du transfert ultérieur de données à caractère personnel (article 17, paragraphes 3 et 4, et article 18 de la loi)573.Notification relative aux données lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée (article 20 de la loi)584.Champ d’application de la dérogation spéciale concernant le traitement d’informations pseudonymisées (articles 28-2, 28-3, 28-4, 28-5, 28-6 et 28-7, article 3, article 58-2 de la loi)605.Mesures correctives, etc. (paragraphes 1, 2 et 4 de l’article 64 de la loi)616.Application de la PIPA au traitement des données à caractère personnel à des fins de sécurité nationale, y compris les enquêtes sur les infractions et l’exécution conformément à la PIPA (article 7-8, article 7-9, article 58, article 3, article 4 et article 62 de la PIPA)62
I. Aperçu
La Corée et l’Union européenne (ci-après l’«UE») ont engagé des discussions portant sur la constatation d’un niveau de protection adéquat, à la suite desquelles la Commission européenne a déterminé que la Corée garantissait un niveau adéquat de protection des données à caractère personnel conformément à l’article 45 du RGPD.
Dans ce contexte, la Commission de protection des informations à caractère personnel a adopté la présente notification sur la base de l’article 5 (Obligations de l’État, etc.) et de l’article 14 (Coopération internationale) de la loi sur la protection des informations à caractère personnel afin de clarifier l’interprétation, l’application et la mise en œuvre de certaines dispositions de la loi, notamment en ce qui concerne le traitement des données à caractère personnel transférées en Corée sur la base de la décision d’adéquation de l’UE.
Comme la présente notification a le statut d’une règle administrative que l’agence administrative compétente établit et annonce aux fins de clarifier les normes d’interprétation, d’application et de mise en œuvre de la loi sur la protection des informations à caractère personnel dans le système juridique coréen, elle a une force juridiquement contraignante pour le responsable du traitement des informations à caractère personnel dans le sens où toute violation de cette notification peut être considérée comme une violation des dispositions pertinentes de la PIPA. En outre, si les droits et intérêts personnels sont enfreints en raison d’une violation de la présente notification, les personnes concernées ont le droit d’obtenir réparation auprès de la Commission de protection des informations à caractère personnel ou du tribunal.
Par conséquent, si le responsable du traitement des informations à caractère personnel, qui traite les informations à caractère personnel transférées en Corée conformément à la décision d’adéquation de l’UE, ne prend pas de mesures conformes à cette notification, il sera considéré «qu’il y a des raisons sérieuses de considérer qu’il y a eu une infraction concernant les informations à caractère personnel, et que l’absence de mesures est susceptible de causer des dommages difficilement réparables», conformément aux paragraphes 1 et 2 de l’article 64 de la loi. Dans ce cas, la Commission de protection des informations à caractère personnel ou les agences administratives centrales concernées peuvent ordonner au responsable du traitement des informations à caractère personnel concerné de prendre des mesures correctives, etc. conformément à l’autorité conférée par le présent texte et, en fonction des violations spécifiques de la loi, des sanctions correspondantes (pénalités, amendes administratives, etc.) peuvent également être imposées.
II. Définition de termes
Les définitions des termes utilisés dans le présent texte sont les suivantes:
i) loi: loi sur la protection des informations à caractère personnel (loi no 16930, modifiée le 4 février 2020 et entrée en vigueur le 5 août 2020);
ii) décret présidentiel: décret d’application de la loi sur la protection des informations à caractère personnel (décret présidentiel no 30509, 3 mars 2020, modifiant d’autres lois);
iii) personne concernée: un individu qui est identifiable par les informations traitées et qui est le sujet de ces informations;
iv) responsable du traitement des informations à caractère personnel: une institution publique, une personne morale, une organisation, un individu, etc. qui traite des informations à caractère personnel directement ou indirectement dans le cadre de ses activités;
v) UE: Union européenne (à la fin du mois de février 2020, 27 pays membres, à savoir la Belgique, l’Allemagne, la France, l’Italie, le Luxembourg, les Pays-Bas, le Danemark, l’Irlande, la Grèce, le Portugal, l’Espagne, l’Autriche, la Finlande, la Suède, Chypre, la Tchéquie, l’Estonie, la Hongrie, la Lettonie, la Lituanie, Malte, la Pologne, la Slovaquie, la Slovénie, la Roumanie, la Bulgarie et la Croatie) ainsi que les pays associés à l’UE par l’intermédiaire de l’accord EEE (Islande, Liechtenstein, Norvège);
vi) RGPD: la loi générale de l’UE sur la protection des informations à caractère personnel, le règlement général sur la protection des données [règlement (UE) 2016/679];
vii) décision d’adéquation (décision constatant un niveau de protection adéquat): conformément à l’article 45, paragraphe 3, du RGPD, la Commission européenne a décidé qu’un pays tiers, le territoire d’un pays tiers, une ou plusieurs zones ou une organisation internationale garantissent un niveau adéquat de protection des informations à caractère personnel.
III. Règles supplémentaires
1. Limitation de l’utilisation et de la fourniture d’informations à caractère personnel à des fins non prévues (articles 3, 15 et 18 de la loi)
<Loi sur la protection des informations à caractère personnel
(Loi no 16930, partiellement modifiée le 4 février 2020)>
Article 3 (Principes de protection des informations à caractère personnel) 1) Le responsable du traitement des informations à caractère personnel doit préciser explicitement les finalités pour lesquelles les informations à caractère personnel sont traitées; il est également tenu de collecter les informations à caractère personnel de manière licite et loyale et de limiter cette collecte au minimum nécessaire pour atteindre ces finalités.
2) Le responsable du traitement des informations à caractère personnel traite les informations à caractère personnel de la manière appropriée nécessaire aux finalités pour lesquelles les informations à caractère personnel sont traitées, et ne les utilise pas au-delà de ces fins.
Article 15 (Collecte et utilisation des informations à caractère personnel) 1) Un responsable du traitement des informations à caractère personnel est habilité à collecter des informations à caractère personnel dans les cas suivants, et à les utiliser dans le cadre de la finalité de la collecte:
1. lorsque le consentement d’une personne concernée a été obtenu;
2. lorsque des dispositions spéciales existent dans les lois ou que la collecte est inévitable pour respecter les obligations légales;
3. lorsque la collecte est inévitable aux fins de l’exécution, par une institution publique, des tâches qui lui incombent en vertu de sa compétence, comme le prescrivent les lois, etc.;
4. lorsque la collecte est inévitablement nécessaire pour signer et exécuter un contrat avec une personne concernée;
5. lorsque la collecte est jugée manifestement nécessaire à la protection de la vie, des intérêts corporels ou matériels de la personne concernée ou d’un tiers contre un danger imminent, lorsque la personne concernée ou son représentant légal n’est pas en mesure d’exprimer sa volonté, ou que le consentement préalable ne peut être obtenu en raison d’adresses inconnues, etc.;
6. lorsque la collecte est nécessaire pour répondre à l’intérêt justifié d’un responsable du traitement des informations à caractère personnel, cet intérêt étant manifestement supérieur aux droits de la personne concernée. Dans ces cas, le traitement n’est autorisé que dans la mesure où il est substantiellement lié à l’intérêt justifié du responsable du traitement des informations à caractère personnel et ne dépasse pas une portée raisonnable.
Article 18 (Limitation de l’utilisation et de la fourniture d’informations à caractère personnel à des fins non prévues) 1) Un responsable du traitement des informations à caractère personnel ne doit pas utiliser les informations à caractère personnel au-delà de la portée prévue à l’article 15, paragraphe 1, et à l’article 39-3, paragraphes 1 et 2, ni les fournir à un tiers au-delà de la portée prévue à l’article 17, paragraphes 1 et 3.
2) Nonobstant le paragraphe 1, lorsque l’un des points suivants s’applique, le responsable du traitement des informations à caractère personnel peut utiliser les informations à caractère personnel ou les fournir à un tiers à d’autres fins, à moins que cela ne soit susceptible de porter atteinte de manière déloyale aux intérêts d’une personne concernée ou d’un tiers: à condition que les fournisseurs de services d’information et de communication (tels que définis à l’article 2, paragraphe 1, point 3, de la loi sur la promotion de l’utilisation des réseaux d’information et de communication et la protection des informations, etc.; ci-après les mêmes dispositions s’appliquent) traitant les informations à caractère personnel des utilisateurs (comme indiqué à l’article 2, paragraphe 1, point 4, de la loi sur la promotion de l’utilisation des réseaux d’information et de communication et la protection des informations, etc.; ci-après les mêmes dispositions s’appliquent) ne soient soumis qu’aux points 1 et 2, et que les points 5 à 9 ne soient applicables qu’aux institutions publiques:
1. lorsque le consentement supplémentaire de la personne concernée a été obtenu;
2. lorsqu’il existe d’autres dispositions spéciales dans les lois;
3. lorsque ladite fourniture est jugée manifestement nécessaire à la protection de la vie, des intérêts corporels ou matériels de la personne concernée ou d’un tiers contre un danger imminent, lorsque la personne concernée ou son représentant légal n’est pas en mesure d’exprimer sa volonté, ou que le consentement préalable ne peut être obtenu en raison d’adresses inconnues;
4. supprimé; <par la loi no 16930 du 4 février 2020>
5. lorsqu’il est impossible d’exercer les fonctions relevant de sa compétence, comme le prévoit toute loi, à moins que le responsable du traitement des informations à caractère personnel n’utilise les informations à caractère personnel à des fins autres que celles prévues, ou ne les fournisse à un tiers, et qu’il soit soumis à la délibération et à la résolution de la Commission;
6. lorsqu’il est nécessaire de fournir des informations à caractère personnel à un gouvernement étranger ou à une organisation internationale pour exécuter un traité ou une autre convention internationale;
7. lorsque cela est nécessaire pour l’enquête sur une infraction, une mise en accusation et des poursuites;
8. lorsque la fourniture est nécessaire pour permettre à un tribunal de s’acquitter d’obligations liées à un procès;
9. lorsque la fourniture est nécessaire à l’application d’une peine, d’une probation ou d’une détention.
Paragraphes 3 et 4 omis
5) Lorsqu’un responsable du traitement des informations à caractère personnel fournit des informations à caractère personnel à un tiers à des fins autres que celles visées dans les cas prévus au paragraphe 2, le responsable du traitement des informations à caractère personnel doit demander au destinataire des informations à caractère personnel de limiter la finalité et la méthode d’utilisation ainsi que les autres questions nécessaires, ou de préparer les mesures de protection nécessaires pour assurer la sécurité des informations à caractère personnel. Dans ce cas, la personne qui reçoit cette demande doit prendre les mesures nécessaires pour assurer la sécurité des informations à caractère personnel.
i) L’article 3, paragraphes 1 et 2, de la loi définit le principe selon lequel un responsable du traitement d’informations à caractère personnel doit limiter la collecte des informations à caractère personnel au minimum nécessaire pour traiter ces informations de manière légale et licite et conformément à la finalité prévue, et ne doit pas les utiliser à une autre fin.
ii) Selon ce principe, le paragraphe 1 de l’article 15 de la loi dispose que lorsqu’un responsable du traitement d’informations à caractère personnel recueille des informations à caractère personnel, celles-ci peuvent être utilisées dans le cadre de la finalité de la collecte, et le paragraphe 1 de l’article 18 dispose que les informations à caractère personnel ne doivent pas être utilisées au-delà de la finalité de la collecte ni être fournies à un tiers.
iii) Par ailleurs, même si les informations à caractère personnel peuvent être utilisées à des fins autres que celles prévues ou fournies à un tiers dans les cas exceptionnels décrits aux points énumérés à l’article 18, paragraphe 2, de la loi, il faut demander que la finalité ou la méthode d’utilisation soit limitée afin que les informations à caractère personnel puissent être traitées en toute sécurité conformément au paragraphe 5, ou que les mesures nécessaires pour assurer la sécurité des informations à caractère personnel soient prises.
iv) Les dispositions ci-dessus s’appliquent également au traitement de toutes les informations à caractère personnel reçues dans la zone de compétence juridique de la Corée en provenance d’un pays tiers, quelle que soit la nationalité de la personne concernée.
v) Par exemple, si un responsable du traitement d’informations à caractère personnel de l’UE transfère des informations à caractère personnel à un responsable du traitement d’informations à caractère personnel coréen conformément à la décision d’adéquation de la Commission européenne, la finalité du transfert des informations à caractère personnel par le responsable du traitement d’informations à caractère personnel de l’UE sera considérée comme la finalité de la collecte des informations à caractère personnel par le responsable du traitement d’informations à caractère personnel coréen, et dans ce cas, le responsable du traitement d’informations à caractère personnel coréen ne peut utiliser les informations à caractère personnel ou les fournir à un tiers que dans le cadre de la finalité de la collecte, sauf dans les cas exceptionnels décrits aux points du paragraphe 2 de l’article 18 de la loi.
2. Limitation du transfert ultérieur de données à caractère personnel (article 17, paragraphes 3 et 4, et article 18 de la loi)
<Loi sur la protection des informations à caractère personnel
(Loi no 16930, partiellement modifiée le 4 février 2020)>
Article 17 (Fourniture d’informations à caractère personnel) 1) Paragraphe omis.
2) Un responsable du traitement d’informations à caractère personnel doit informer une personne concernée des points suivants lorsqu’il obtient le consentement en vertu du paragraphe 1, point 1. Il en va de même lorsque l’un des éléments suivants est modifié:
1. le destinataire des informations à caractère personnel;
2. la finalité pour laquelle le destinataire des informations à caractère personnel utilise ces informations;
3. les détails des informations à caractère personnel à fournir;
4. la période durant laquelle le destinataire conserve et utilise les informations à caractère personnel;
5. le fait que la personne concernée a le droit de retirer son consentement, et les inconvénients, le cas échéant, résultant du retrait de consentement.
3) Un responsable du traitement d’informations à caractère personnel doit informer une personne concernée des éléments visés au paragraphe 2 et obtenir son consentement pour pouvoir fournir des informations à caractère personnel à un tiers à l’étranger; et il ne doit pas conclure de contrat pour le transfert transfrontière d’informations à caractère personnel en violation de la présente loi.
4) Un responsable du traitement d’informations à caractère personnel peut fournir des informations à caractère personnel sans le consentement d’une personne concernée dans le cadre d’un champ d’application présentant un rapport raisonnable aux finalités pour lesquelles les informations à caractère personnel ont été initialement collectées, conformément aux éléments prescrits par le décret présidentiel, en tenant compte des inconvénients éventuels pour la personne concernée, de l’adoption éventuelle des mesures nécessaires pour garantir la sécurité, telles que le chiffrement, etc.
※ Veuillez vous reporter aux pages 3, 4 et 5 de l’article 18
<Décret d’application de la loi sur la protection des informations à caractère personnel
([Date d’application: 5 février 2021.] [Décret présidentiel no 30892, 4 août 2020, modifie d’autres lois])>
Article 14-2 (Normes relatives à l’utilisation/la fourniture supplémentaire d’informations à caractère personnel, etc.)
1) Si un responsable du traitement d’informations à caractère personnel utilise ou fournit des informations à caractère personnel (ci-après dénommé «utilisation ou fourniture supplémentaire d’informations à caractère personnel») sans le consentement de la personne concernée conformément à l’article 15, paragraphe 3, ou à l’article 17, paragraphe 4, de la loi, il doit vérifier:
1. si l’utilisation est raisonnablement liée à la finalité initiale pour laquelle les informations à caractère personnel ont été collectées;
2. si une utilisation ou une fourniture supplémentaire des informations à caractère personnel est prévisible à la lumière des circonstances dans lesquelles les informations à caractère personnel ont été collectées et des pratiques de traitement;
3. si l’utilisation ou la fourniture supplémentaire d’informations à caractère personnel ne porte pas atteinte de manière déloyale aux intérêts de la personne concernée; et
4. si les mesures nécessaires pour assurer la sécurité, telles que la pseudonymisation ou le chiffrement, ont été prises.
2) Le responsable du traitement des informations à caractère personnel divulgue au préalable les critères d’évaluation des éléments visés aux points du paragraphe 1 dans la politique en matière de protection de la vie privée établie en vertu de l’article 30, paragraphe 1, de la loi, et le responsable de la protection de la vie privée nommé en vertu de l’article 31, paragraphe 1, de la loi vérifie que le responsable du traitement des informations à caractère personnel utilise ou fournit des informations à caractère personnel supplémentaires conformément aux normes pertinentes.
i) Si le responsable du traitement des informations à caractère personnel fournit des informations à caractère personnel à un tiers à l’étranger, il doit informer au préalable les personnes concernées de tous les éléments décrits à l’article 17, paragraphe 2, de la loi et obtenir leur consentement, sauf dans les cas relevant des paragraphes 1 ou 2 ci-dessous. Aucun contrat ne doit être conclu concernant la fourniture transfrontière de données à caractère personnel en violation de cette loi.
(1) Si les informations à caractère personnel sont fournies dans le cadre raisonnablement lié à la finalité initiale de la collecte conformément à l’article 17, paragraphe 4, de la loi. Toutefois, les cas auxquels cette disposition peut être appliquée sont limités aux cas où les normes relatives à l’utilisation et à la fourniture supplémentaires d’informations à caractère personnel, prescrites à l’article 14-2 du décret d’application, sont respectées. En outre, le responsable du traitement des informations à caractère personnel doit examiner si la fourniture d’informations à caractère personnel peut entraîner des inconvénients pour les personnes concernées et s’il a pris les mesures nécessaires pour assurer la sécurité, comme le chiffrement.
(2) Si les informations à caractère personnel peuvent être fournies à un tiers dans les cas exceptionnels mentionnés à l’article 18, paragraphe 2, de la loi (voir pages 4 à 6). Toutefois, même dans ces cas, si la fourniture de ces informations à caractère personnel est susceptible de porter atteinte de manière déloyale aux intérêts de la personne concernée ou d’un tiers, ces informations ne peuvent être fournies à un tiers. En outre, le fournisseur des informations à caractère personnel doit demander au destinataire de ces informations d’en limiter la finalité ou la méthode d’utilisation ou de prendre les mesures nécessaires pour en assurer la sécurité afin que ces informations puissent être traitées en toute sécurité.
ii) Si les informations à caractère personnel sont fournies à un tiers à l’étranger, il se peut qu’elles ne bénéficient pas du niveau de protection garanti par la loi coréenne sur la protection des informations à caractère personnel en raison des différences entre les systèmes de protection des informations à caractère personnel des différents pays. Par conséquent, ces cas seront considérés comme des «cas où la personne concernée peut subir des inconvénients», mentionnés à l’article 17, paragraphe 4, de la loi, ou des «cas où l’intérêt d’une personne concernée ou d’un tiers est violé de manière déloyale», mentionnés à l’article 18, paragraphe 2, de la loi et à l’article 14-2 du décret d’application de la même loi. Pour satisfaire aux exigences de ces dispositions, le responsable du traitement des informations à caractère personnel et le tiers doivent donc garantir explicitement un niveau de protection équivalent à celui établi par la loi, y compris en ce qui concerne l’exercice par la personne concernée de ses droits dans des documents juridiquement contraignants tels que des contrats, même après le transfert des informations à caractère personnel à l’étranger.
3. Notification relative aux données lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée (article 20 de la loi)
<Loi sur la protection des informations à caractère personnel
(Loi no 16930, partiellement modifiée le 4 février 2020)>
Article 20 (Notification sur les sources, etc. des informations à caractère personnel collectées auprès de tiers) 1) Lorsqu’un responsable du traitement d’informations à caractère personnel traite des informations à caractère personnel collectées auprès de tiers, il doit immédiatement notifier les éléments suivants à la personne concernée, à la demande de cette dernière:
1. la source des informations à caractère personnel collectées;
2. la finalité du traitement des informations à caractère personnel;
3. le fait que la personne concernée a le droit d’exiger la suspension du traitement des informations à caractère personnel, comme le prévoit l’article 37.
2) Nonobstant le paragraphe 1, lorsqu’un responsable du traitement d’informations à caractère personnel répondant aux critères prescrits par le décret présidentiel, collecte des informations à caractère personnel auprès de tiers, en tenant compte des types et de la quantité d’informations à caractère personnel traitées, du nombre d’employés, du montant des ventes, etc., et les traite conformément à l’article 17, paragraphe 1, point 1, il doit notifier à la personne concernée les éléments visés au paragraphe 1; il est entendu que cette disposition ne s’applique pas lorsque les informations collectées par le responsable du traitement des informations à caractère personnel ne contiennent pas d’informations à caractère personnel, telles que des coordonnées, permettant d’informer la personne concernée.
3) Les éléments nécessaires relatifs au moment, à la méthode et à la procédure de notification à la personne concernée conformément à la phrase principale du paragraphe 2 sont prescrits par décret présidentiel.
4) Le paragraphe 1 et la disposition principale du paragraphe 2 ne s’appliquent à aucun des cas suivants, à condition que ce soit le cas uniquement lorsqu’elle est manifestement supérieure aux droits des personnes concernées en vertu de la présente loi:
1. lorsque des informations à caractère personnel, qui font l’objet d’une demande de notification, sont incluses dans les fichiers d’informations à caractère personnel visés à l’un des points de l’article 32, paragraphe 2;
2. lorsque cette notification est susceptible de porter atteinte à la vie ou à l’intégrité physique de toute autre personne, ou de porter atteinte de manière déloyale aux biens et autres intérêts de toute autre personne.
i) Si le responsable du traitement des informations à caractère personnel reçoit les données à caractère personnel transférées depuis l’UE sur la base de la décision d’adéquation de cette dernière, il doit notifier les informations mentionnées aux points 1) à 5) à la personne concernée sans retard excessif, et en tout cas au plus tard un mois après le transfert.
(1) Le nom et les coordonnées des personnes qui transfèrent et reçoivent les informations à caractère personnel.
(2) Les éléments ou catégories d’informations à caractère personnel transférées.
(3) La finalité de la collecte et de l’utilisation des informations à caractère personnel (telle que définie par l’exportateur des données conformément au point 1 de la présente notification).
(4) La période de conservation des informations à caractère personnel.
(5) Les informations sur les droits de la personne concernée en ce qui concerne le traitement des informations à caractère personnel, la méthode et la procédure d’exercice des droits et les inconvénients éventuels si l’exercice de ces droits entraîne des inconvénients.
ii) De même, si le responsable du traitement des informations à caractère personnel fournit les informations à caractère personnel visées au point i) à un tiers en République de Corée ou à l’étranger, il doit notifier les informations mentionnées aux paragraphes 1 à 5 à la personne concernée avant que les informations à caractère personnel ne soient fournies.
(1) Le nom et les coordonnées des personnes qui fournissent et reçoivent les informations à caractère personnel.
(2) Les éléments ou catégories d’informations à caractère personnel fournies.
(3) Le pays auquel les informations à caractère personnel seront fournies, la date envisagée et la méthode de fourniture (limité aux cas où les informations à caractère personnel seront fournies à un tiers à l’étranger).
(4) La finalité et la base juridique de la fourniture des informations à caractère personnel par le fournisseur de ces informations.
(5) Les informations sur les droits de la personne concernée en ce qui concerne le traitement des informations à caractère personnel, la méthode et la procédure d’exercice des droits et les inconvénients éventuels si l’exercice de ces droits entraîne des inconvénients.
iii) Le responsable du traitement des informations à caractère personnel ne peut appliquer les points i) ou ii) dans aucun des cas mentionnés aux paragraphes 1 à 4:
(1) si les informations à caractère personnel qui doivent être notifiées sont incluses dans l’un des fichiers d’informations à caractère personnel mentionnés à l’article 32, paragraphe 2, de la loi, dans la mesure où les intérêts protégés par cette disposition sont manifestement supérieurs aux droits de la personne concernée, et uniquement dans la mesure où la notification menacerait les intérêts en jeu, par exemple en compromettant des enquêtes pénales en cours ou en menaçant la sécurité nationale;
(2) si et aussi longtemps que la notification est susceptible de porter atteinte à la vie ou à l’intégrité physique d’une autre personne, ou de porter atteinte de manière déloyale aux intérêts patrimoniaux d’une autre personne, lorsque ces droits ou intérêts sont manifestement supérieurs aux droits de la personne concernée;
(3) si la personne concernée possède déjà les informations que le responsable du traitement des informations à caractère personnel doit notifier conformément aux points i) ou ii);
(4) si le responsable du traitement des informations à caractère personnel ne dispose pas des coordonnées de la personne concernée ou si des efforts excessifs sont nécessaires pour contacter la personne concernée, y compris dans le cadre d’un traitement dans les conditions énoncées à la section 3 de la PIPA. Pour déterminer s’il est possible ou non de contacter la personne concernée, ou si des efforts excessifs sont nécessaires, il convient de tenir compte de la possibilité de coopérer avec l’exportateur des données dans l’UE.
4. Champ d’application de la dérogation spéciale concernant le traitement d’informations pseudonymisées (articles 28-2, 28-3, 28-4, 28-5, 28-6 et 28-7, article 3 et article 58-2 de la loi)
<Loi sur la protection des informations à caractère personnel
(Loi no 16930, partiellement modifiée le 4 février 2020)>
Chapitre III — Traitement des informations à caractère personnel
SECTION 3 — Cas particuliers concernant les données pseudonymes
Article 28-2 (Traitement des données pseudonymes) 1) Le responsable du traitement des informations à caractère personnel peut traiter des informations pseudonymisées sans le consentement des personnes concernées à des fins statistiques, de recherche scientifique, d’archivage dans l’intérêt public, etc.
2) Un responsable du traitement des informations à caractère personnel ne doit pas inclure des informations qui peuvent être utilisées pour identifier une personne en particulier lorsqu’il fournit des informations pseudonymisées à un tiers conformément au paragraphe 1.
Article 28-3 (Restriction de la combinaison de données pseudonymes) 1) Nonobstant l’article 28-2, la combinaison d’informations pseudonymisées traitées par différents responsables du traitement des informations à caractère personnel à des fins statistiques, de recherche scientifique et de conservation d’archives d’intérêt public, etc. doit être effectuée par une institution spécialisée désignée par la Commission de protection ou le chef de l’agence administrative centrale concernée.
2) Le responsable du traitement des informations à caractère personnel qui a l’intention de diffuser les informations combinées en dehors de l’organisation qui les a combinées doit obtenir l’approbation du chef de l’institution spécialisée après avoir transformé les informations en informations pseudonymisées ou sous la forme visée à l’article 58-2.
3) Les éléments nécessaires, y compris les procédures et méthodes de combinaison conformément au paragraphe 1, les normes et procédures pour désigner, ou annuler la désignation d’une institution spécialisée de gestion et de supervision, et les normes et procédures d’exportation et d’approbation conformément au paragraphe 2, sont définis par décret présidentiel.
Article 28-4 (Obligation de prendre des mesures de sécurité pour les données pseudonymes) 1) Lors du traitement des informations pseudonymisées, un responsable du traitement d’informations à caractère personnel doit prendre des mesures techniques, organisationnelles et physiques telles que le stockage et la gestion séparés des informations supplémentaires nécessaires au rétablissement de l’état d’origine, qui peuvent être nécessaires pour assurer la sécurité, conformément au décret présidentiel, afin que les informations à caractère personnel ne puissent être perdues, volées, divulguées, falsifiées, altérées ou endommagées.
2) Le responsable du traitement des informations à caractère personnel qui a l’intention de traiter les informations pseudonymisées doit établir et conserver des registres relatifs aux éléments prescrits par le décret présidentiel, y compris la finalité du traitement des informations pseudonymisées, et un tiers destinataire lorsque des informations pseudonymisées sont fournies, pour gérer le traitement des informations pseudonymisées.
Article 28-5 (Actes interdits pour le traitement des informations pseudonymisées) 1) Nul ne peut traiter les informations pseudonymisées dans le but d’identifier une personne en particulier.
2) Lorsque des informations permettant d’identifier une personne en particulier sont générées pendant le traitement des informations pseudonymisées, le responsable du traitement des informations à caractère personnel doit cesser le traitement de ces informations, les récupérer et les détruire immédiatement.
Article 28-6 (Imposition de surtaxes administratives pour le traitement des informations pseudonymisées) 1) La Commission peut imposer une amende équivalente à moins de trois centièmes du chiffre d’affaires total au responsable du traitement qui a traité des données dans le but d’identifier une personne spécifique en violation de l’article 28-5, paragraphe 1: il est prévu qu’en cas d’absence de ventes ou de difficulté à calculer les recettes des ventes, le responsable du traitement des données peut être soumis à une amende ne dépassant pas 400 millions de wons ou les trois centièmes du montant du capital, le montant le plus élevé étant retenu.
2) L’article 34-2, paragraphes 3 à 5, s’applique mutatis mutandis aux éléments nécessaires à l’imposition et à la perception des surtaxes administratives.
Article 28-7 (Champ d’application) @Les articles 20, 21 et 27, l’article 34, paragraphe 1, et les articles 35 à 37, 39-3, 39-4 et 39-6 à 39-8 ne s’appliquent pas aux informations pseudonymisées.
Chapitre I — Dispositions générales
Article 3 (Principes de protection des informations à caractère personnel) 1) Le responsable du traitement des informations à caractère personnel doit préciser les finalités pour lesquelles les informations à caractère personnel sont traitées; il est également tenu de collecter les informations à caractère personnel de manière licite et loyale et de limiter cette collecte au minimum nécessaire pour atteindre ces finalités.
2) Le responsable du traitement des informations à caractère personnel traite les informations à caractère personnel de la manière appropriée nécessaire aux finalités pour lesquelles les informations à caractère personnel sont traitées, et ne les utilise pas au-delà de ces fins.
3) Le responsable du traitement des informations à caractère personnel veille à ce que les informations à caractère personnel soient exactes, complètes et à jour dans la mesure nécessaire aux finalités pour lesquelles elles sont traitées.
4) Le responsable du traitement des informations à caractère personnel doit gérer les informations à caractère personnel en toute sécurité en fonction des méthodes de traitement, des types, etc. d’informations à caractère personnel, en tenant compte du risque d’atteinte aux droits de la personne concernée et de la gravité des risques pertinents.
5) Le responsable du traitement des informations à caractère personnel doit rendre publics sa politique de protection de la vie privée et d’autres éléments liés au traitement des informations à caractère personnel; il garantit également les droits de la personne concernée, tels que le droit d’accès aux informations à caractère personnel la concernant.
6) Le responsable du traitement des informations à caractère personnel traite les informations à caractère personnel de manière à minimiser le risque d’atteinte à la vie privée d’une personne concernée.
7) S’il est encore possible d’atteindre les finalités de la collecte des informations à caractère personnel en traitant des informations à caractère personnel anonymisées ou pseudonymisées, le responsable du traitement des informations à caractère personnel s’efforce de traiter les informations à caractère personnel par le biais de l’anonymisation, lorsque celle-ci est possible, ou par le biais de la pseudonymisation, s’il est impossible d’atteindre les finalités de la collecte des informations à caractère personnel par le biais de l’anonymisation.
8) Le responsable du traitement des informations à caractère personnel doit s’efforcer d’obtenir la confiance des personnes concernées en respectant et en accomplissant les devoirs et responsabilités prévus par la présente loi et les autres lois connexes.
CHAPITRE IX — Dispositions complémentaires
Article 58-2 (Exemption d’application) La présente loi ne s’applique pas aux informations qui ne permettent plus d’identifier une personne précise lorsqu’elles sont combinées avec d’autres informations, en tenant raisonnablement compte du temps, du coût, de la technologie, etc. <Il s’agit d’un nouvel article inséré par la loi no 16930 du 4 février 2020>
i) Le chapitre III, section 3, qui traite des cas particuliers concernant les données pseudonymes (articles 28-2 à 28-7), permet le traitement d’informations pseudonymisées sans le consentement de la personne concernée à des fins d’établissement de statistiques, de recherche scientifique, de conservation des archives publiques, etc. (article 28-2), mais dans ces cas, les garanties et interdictions appropriées nécessaires à la protection des droits des personnes concernées sont obligatoires (articles 28-4 et 28-5), des sanctions majorées peuvent être imposées aux contrevenants (article 28-6) et certaines garanties autrement disponibles en vertu de la PIPA ne s’appliquent pas (article 28-7).
ii) Ces dispositions ne s’appliquent pas aux cas où des informations pseudonymisées sont traitées à des fins autres que l’établissement de statistiques, la recherche scientifique, la conservation des archives publiques, etc. Par exemple, si les informations à caractère personnel d’une personne de l’UE qui ont été transférées en Corée conformément à la décision d’adéquation de la Commission européenne sont pseudonymisées à des fins autres que l’établissement de statistiques, la recherche scientifique, la conservation des archives publiques, etc., les dispositions spéciales du chapitre III, section 3, ne s’appliquent pas.
iii) Lorsqu’un responsable du traitement d’informations à caractère personnel traite des informations pseudonymisées à des fins de compilation de statistiques, de recherche scientifique, de conservation des archives publiques, etc., et si les informations pseudonymisées n’ont pas été détruites une fois que la finalité spécifique du traitement a été atteinte conformément à l’article 37 de la Constitution et à l’article 3 (Principes de protection des informations à caractère personnel) de la loi, il doit rendre les informations anonymes afin de veiller à ce qu’elles ne permettent plus, seules ou combinées à d’autres informations, d’identifier une personne spécifique, en tenant raisonnablement compte du temps, du coût, de la technologie, etc. conformément à l’article 58-2 de la PIPA.
5. Mesures correctives, etc. (paragraphes 1, 2 et 4 de l’article 64 de la loi)
<Loi sur la protection des informations à caractère personnel
(Loi no 16930, partiellement modifiée le 4 février 2020)>
Article 64 (Mesures correctives) 1) Lorsque la Commission de protection estime qu’il y a des raisons sérieuses de penser qu’il y a eu violation des informations à caractère personnel, et que l’absence de mesures est susceptible de causer des dommages difficilement réparables, elle peut ordonner au contrevenant à la présente loi (à l’exclusion des agences administratives centrales, des gouvernements locaux, de l’Assemblée nationale, de la Cour, de la Cour constitutionnelle et de la Commission électorale nationale) de prendre l’une des mesures suivantes:
1. suspendre l’infraction en matière d’informations à caractère personnel;
2. suspendre temporairement le traitement des informations à caractère personnel;
3. prendre d’autres mesures nécessaires à la protection des informations à caractère personnel et à la prévention de toute violation de ces informations.
2) Lorsque le responsable d’une agence administrative centrale apparentée estime qu’il existe des raisons sérieuses de penser qu’il y a eu une violation des données à caractère personnel et que l’absence d’action est susceptible de causer des dommages difficilement réparables, il peut ordonner au responsable du traitement des données à caractère personnel de prendre l’une des mesures prévues au paragraphe 1 conformément aux lois relevant de la compétence de cette agence administrative centrale apparentée.
4) Lorsqu’un organisme administratif central, un gouvernement local, l’Assemblée nationale, la Cour, la Cour constitutionnelle ou la Commission électorale nationale enfreint la présente loi, la Commission de protection peut recommander au chef de l’organisme concerné de prendre l’une des mesures prévues au paragraphe 1. Dans ce cas, dès réception de la recommandation, l’organisme s’y conforme, sauf circonstances extraordinaires.
i) Premièrement, la jurisprudence interprète les «dommages difficilement réparables» comme un cas susceptible de porter atteinte aux droits personnels ou à la vie privée d’un individu.
ii) Par conséquent, les «raisons sérieuses de considérer qu’il y a eu une violation concernant les informations à caractère personnel et que l’absence d’action est susceptible de causer un dommage difficilement réparable», mentionnées à l’article 64, paragraphes 1 et 2, se réfèrent aux cas où une violation de la loi est considérée comme étant susceptible de porter atteinte aux droits et à la liberté des individus en ce qui concerne les informations à caractère personnel. Cela s’appliquera chaque fois que l’un des principes, droits et devoirs inclus dans la loi pour protéger les informations à caractère personnel sera violé.
iii) Selon le paragraphe 4 de l’article 64 de la loi sur la protection des informations à caractère personnel, il s’agit d’une mesure concernant «une violation de cette loi», c’est-à-dire une action contre une violation de la PIPA.
Une agence administrative centrale, etc., en tant qu’autorité publique liée par l’état de droit, ne peut violer aucune loi et est obligée de prendre une mesure corrective, y compris de cesser immédiatement l’action, et de réparer les préjudices dans le cas exceptionnel où un acte illégal a néanmoins été commis.
Par conséquent, même sans intervention de la Commission de protection conformément à l’article 64, paragraphe 4, de la PIPA, une agence administrative centrale, etc. doit prendre une mesure corrective contre les violations si elle a connaissance d’une violation de la loi.
En particulier, lorsque la Commission de protection a recommandé une mesure corrective, il sera normalement objectivement clair pour l’agence administrative centrale, etc. qu’elle a violé la loi. Ainsi, afin de justifier pourquoi elle considère qu’une recommandation de la Commission de protection ne doit pas être suivie, une agence administrative centrale, etc. doit présenter des motifs clairs qui peuvent prouver qu’elle n’a pas violé la loi. La recommandation doit être suivie, à moins que la Commission de protection ne détermine que ce n’est effectivement pas le cas.
En conséquence, les «circonstances extraordinaires» visées à l’article 64, paragraphe 4, de la loi sur la protection des informations à caractère personnel doivent être strictement limitées aux circonstances extraordinaires dans lesquelles il existe des raisons claires permettant aux agences administratives centrales, etc. de prouver que «cette loi n’a en fait pas été violée», comme dans les «cas où il existe des circonstances extraordinaires (factuelles ou juridiques)» que la Commission de protection ne connaissait pas lorsqu’elle a formulé sa recommandation initiale et que la Commission de protection détermine qu’il n’y a pas eu de violation.
6. Application de la PIPA au traitement des données à caractère personnel à des fins de sécurité nationale, y compris les enquêtes sur les infractions et l’exécution conformément à la PIPA (article 7-8, article 7-9, article 58, article 3, article 4 et article 62 de la PIPA)
<Loi sur la protection des informations à caractère personnel
(Loi no 16930, partiellement modifiée le 4 février 2020)>
Article 7-8 (Travail de la Commission de protection) 1) La Commission de protection est chargée: […]
3. des questions concernant l’enquête sur la violation du droit des personnes concernées et les dispositions qui en découlent;
4. du traitement des plaintes ou des procédures de recours relatives au traitement des informations à caractère personnel et à la médiation des litiges concernant les informations à caractère personnel;
[…]
Article 7-9 (Questions soumises à la délibération et à la résolution de la Commission de protection) 1) La Commission de protection délibère et prend des décisions sur les questions suivantes: […]
5. les questions concernant l’interprétation et le fonctionnement de la loi relative à la protection des informations à caractère personnel;
[…]
Article 58 (Exclusion partielle de l’application) 1) Les chapitres III à VII ne s’appliquent à aucune des informations à caractère personnel suivantes:
1. les informations à caractère personnel collectées en vertu de la loi sur les statistiques et destinées à être traitées par des institutions publiques;
2. les informations à caractère personnel collectées ou dont la communication est demandée pour l’analyse d’informations liées à la sécurité nationale;
3. les informations à caractère personnel traitées temporairement lorsqu’elles sont nécessaires pour une urgence en matière de sûreté et de sécurité publiques, de santé publique, etc.;
4. les informations à caractère personnel collectées ou utilisées à des fins propres de reportage par la presse, d’activités missionnaires par les organisations religieuses et de nomination de candidats par les partis politiques, respectivement.
[Paragraphes 2 et 3 omis]
4) Dans le cas du traitement d’informations à caractère personnel conformément au paragraphe 1, le responsable du traitement des informations à caractère personnel limite le traitement des informations à caractère personnel à la portée et à la durée minimales nécessaires pour atteindre la finalité visée; il prend également les dispositions nécessaires, telles que les mesures techniques, organisationnelles et physiques, le traitement des griefs individuels et les autres mesures nécessaires au traitement approprié de ces informations à caractère personnel et à leur gestion en toute sécurité.
Article 3 (Principes de protection des informations à caractère personnel) 1) Le responsable du traitement des informations à caractère personnel doit préciser explicitement les finalités pour lesquelles les informations à caractère personnel sont traitées; il est également tenu de collecter les informations à caractère personnel de manière licite et loyale et de limiter cette collecte au minimum nécessaire pour atteindre ces finalités.
2) Le responsable du traitement des informations à caractère personnel traite les informations à caractère personnel de la manière appropriée nécessaire aux finalités pour lesquelles les informations à caractère personnel sont traitées, et ne les utilise pas au-delà de ces fins.
3) Le responsable du traitement des informations à caractère personnel veille à ce que les informations à caractère personnel soient exactes, complètes et à jour dans la mesure nécessaire aux finalités pour lesquelles elles sont traitées.
4) Le responsable du traitement des informations à caractère personnel doit gérer les informations à caractère personnel en toute sécurité en fonction des méthodes de traitement, des types, etc. d’informations à caractère personnel, en tenant compte du risque d’atteinte aux droits de la personne concernée et de la gravité des risques pertinents.
5) Le responsable du traitement des informations à caractère personnel doit rendre publics sa politique de protection de la vie privée et d’autres éléments liés au traitement des informations à caractère personnel; il garantit également les droits de la personne concernée, tels que le droit d’accès aux informations à caractère personnel la concernant.
6) Le responsable du traitement des informations à caractère personnel traite les informations à caractère personnel de manière à minimiser le risque d’atteinte à la vie privée d’une personne concernée.
7) S’il est encore possible d’atteindre les finalités de la collecte des informations à caractère personnel en traitant des informations à caractère personnel anonymisées ou pseudonymisées, le responsable du traitement des informations à caractère personnel s’efforce de traiter les informations à caractère personnel par le biais de l’anonymisation, lorsque celle-ci est possible, ou par le biais de la pseudonymisation, s’il est impossible d’atteindre les finalités de la collecte des informations à caractère personnel par le biais de l’anonymisation.
8) Le responsable du traitement des informations à caractère personnel doit s’efforcer d’obtenir la confiance des personnes concernées en respectant et en accomplissant les devoirs et responsabilités prévus par la présente loi et les autres lois connexes.
Article 4 (Droits des personnes concernées) Une personne concernée a les droits suivants en ce qui concerne le traitement de ses propres informations à caractère personnel:
1. le droit d’être informée du traitement de ces informations à caractère personnel;
2. le droit de donner ou non son consentement et de déterminer la portée de celui-ci en ce qui concerne le traitement de ces informations à caractère personnel;
3. le droit de confirmer si des informations à caractère personnel sont traitées ou non et de demander l’accès (y compris la fourniture de copies; ci-après, la même disposition s’applique) à ces informations à caractère personnel;
4. le droit de suspendre le traitement de ces informations à caractère personnel et d’en demander la correction, l’effacement et la destruction;
5. le droit à une réparation appropriée de tout dommage résultant du traitement de ces informations à caractère personnel par le biais d’une procédure rapide et équitable.
Article 62 (Signalement des violations) 1) Toute personne qui subit une violation des droits ou des intérêts relatifs à ses informations à caractère personnel dans le cadre du traitement des informations à caractère personnel par un responsable du traitement des informations à caractère personnel peut signaler cette violation à la Commission de protection.
2) La Commission de protection peut désigner une institution spécialisée afin de recevoir et de traiter efficacement les rapports de réclamation en vertu du paragraphe 1), comme le prévoit le décret présidentiel. Dans ce cas, cette institution spécialisée met en place et gère un centre d’appel destiné à prendre en charge les violations des données à caractère personnel (ci-après dénommé «centre d’appel consacré à la protection de la vie privée»).
3) Le centre d’appel consacré à la protection de la vie privée remplit les fonctions suivantes:
1. il reçoit des rapports de réclamation et assure des consultations en rapport avec le traitement des informations à caractère personnel;
2. il enquête et confirme les incidents et procède à l’audition des parties concernées;
3. il assure les fonctions découlant des points 1 et 2.
4) La Commission de protection peut, si nécessaire, envoyer son agent public dans l’institution spécialisée désignée au paragraphe 2 conformément à l’article 32-4 de la loi sur les agents publics de l’État afin d’enquêter efficacement et de confirmer les incidents conformément au paragraphe 3, point 2.
i) La collecte d’informations à caractère personnel à des fins de sécurité nationale est réglementée par des lois spécifiques qui habilitent les autorités compétentes (p. ex., le Service national de renseignement) à intercepter des communications ou à demander leur divulgation sous certaines conditions et moyennant certaines garanties (ci-après: les «lois sur la sécurité nationale»). Ces lois sur la sécurité nationale comprennent, par exemple, la loi sur la protection de la confidentialité des communications, la loi antiterroriste pour la protection des citoyens et la sécurité publique ou la loi sur les entreprises de télécommunications. En outre, la collecte et le traitement ultérieur des informations à caractère personnel doivent être conformes aux exigences de la PIPA. À cet égard, l’article 58, paragraphe 1, point 2, de la PIPA prévoit que les chapitres III à VII ne s’appliquent pas aux informations à caractère personnel collectées ou dont la communication est demandée pour l’analyse d’informations liées à la sécurité nationale. Cette exception partielle s’applique donc au traitement des informations à caractère personnel à des fins de sécurité nationale.
Parallèlement, le chapitre I (Dispositions générales), le chapitre II (Établissement de politiques de protection des informations à caractère personnel, etc.), le chapitre VIII (Recours collectif en cas de violation des données), le chapitre IX (Dispositions complémentaires) et le chapitre X (Dispositions pénales) de la PIPA s’appliquent au traitement de ces informations à caractère personnel. Cela inclut les principes généraux de protection des données énoncés à l’article 3 (Principes de protection des informations à caractère personnel) et les droits individuels garantis par l’article 4 de la PIPA (Droits des personnes concernées).
En outre, l’article 58, paragraphe 4, de la PIPA prévoit que le traitement de ces informations doit être limité à la portée et à la durée minimales nécessaires pour atteindre la finalité visée; par ailleurs, il exige du responsable du traitement des informations à caractère personnel qu’il mette en place les mesures nécessaires pour garantir une gestion des données en toute sécurité et un traitement approprié de celles-ci, telles que des mesures techniques, organisationnelles et physiques, ainsi que des mesures pour le traitement approprié des griefs individuels.
Enfin, les dispositions régissant les tâches et les pouvoirs de la Commission de protection des informations à caractère personnel [PIPC] (notamment les articles 60 à 65 de la PIPA sur le traitement des plaintes et l’adoption de recommandations et de mesures correctives) ainsi que les dispositions relatives aux sanctions administratives et pénales (articles 70 et suivants de la PIPA) sont applicables. Selon l’article 7-8, paragraphe 1, points 3 et 4, et l’article 7-9, paragraphe 1, point 5, de la PIPA, ces pouvoirs d’enquête et de correction, y compris lorsqu’ils sont exercés dans le cadre du traitement des plaintes, couvrent également les éventuelles infractions aux règles contenues dans des lois spécifiques fixant les limites et les garanties en matière de collecte d’informations à caractère personnel, telles que les lois sur la sécurité nationale. Étant donné les exigences de l’article 3, paragraphe 1, de la PIPA concernant la collecte licite et loyale des informations à caractère personnel, et que cette infraction constitue une violation de la «présente loi» au sens des articles 63 et 64, cela permet à la PIPC de mener une enquête et de prendre des mesures correctives. L’exercice de ces pouvoirs par la PIPC complète, mais ne remplace pas, les pouvoirs de la Commission nationale des droits de l’homme en vertu de la loi sur la Commission des droits de l’homme.
L’application des principes, droits et obligations fondamentaux de la PIPA au traitement des informations à caractère personnel à des fins de sécurité nationale tient compte des garanties inscrites dans la Constitution pour la protection du droit de la personne à contrôler ses propres informations à caractère personnel. Comme l’a reconnu la Cour constitutionnelle, cela inclut le droit d’un individu «de décider personnellement quand, à qui ou par qui et dans quelle mesure ses informations seront divulguées ou utilisées. Il s’agit d’un droit fondamental, […], qui vise à protéger la liberté de décision personnelle contre les risques liés à l’élargissement des fonctions de l’État et aux technologies de l’information et de la communication». Toute restriction à ce droit, par exemple lorsqu’elle est nécessaire à la protection de la sécurité nationale, nécessite une mise en balance des droits et intérêts de l’individu avec l’intérêt public pertinent et ne peut porter atteinte à l’essence de ce droit (article 37, paragraphe 2, de la Constitution).
Par conséquent, lorsqu’il traite des informations à caractère personnel à des fins de sécurité nationale, le responsable du traitement (p. ex., le NIS) doit, entre autres:
1) préciser explicitement les finalités pour lesquelles les informations à caractère personnel sont traitées et collecter les informations à caractère personnel de manière licite et loyale et limiter cette collecte au minimum nécessaire pour atteindre ces finalités (article 3, paragraphe 1 de la PIPA); en particulier, il ne recueille et ne traite les informations à caractère personnel que dans le but d’accomplir les tâches prévues par les lois pertinentes, telles que la loi sur le Service national de renseignement;
2) limiter le traitement des informations à caractère personnel à la portée et à la durée minimales nécessaires pour atteindre la finalité visée (article 58, paragraphe 4, de la PIPA); lorsque la finalité du traitement est atteinte, le responsable du traitement détruit de manière irréversible les informations à caractère personnel, à moins qu’une conservation supplémentaire ne soit spécifiquement prescrite par la loi, auquel cas les informations à caractère personnel pertinentes sont stockées et gérées séparément des autres informations à caractère personnel, ne sont pas utilisées à d’autres fins que celles spécifiées dans la loi et sont détruites à la fin de la période de conservation;
3) traiter les informations à caractère personnel de la manière appropriée nécessaire aux finalités pour lesquelles les informations à caractère personnel sont traitées, et ne pas les utiliser au-delà de ces finalités (article 3, paragraphe 2, de la PIPA);
4) veiller à ce que les informations à caractère personnel soient exactes, complètes et à jour dans la mesure nécessaire aux finalités pour lesquelles les informations à caractère personnel sont traitées (article 3, paragraphe 3, de la PIPA);
5) gérer les informations à caractère personnel en toute sécurité en fonction des méthodes de traitement, des types, etc. d’informations à caractère personnel, en tenant compte du risque d’atteintes aux droits de la personne concernée et de la gravité des risques pertinents (article 3, paragraphe 4, de la PIPA);
6) rendre publics sa politique de confidentialité et d’autres éléments relatifs au traitement des informations à caractère personnel (article 3, paragraphe 5, de la PIPA);
7) traiter les informations à caractère personnel de manière à réduire au minimum le risque de porter atteinte à la vie privée d’une personne concernée (article 3, paragraphe 6, de la PIPA).
ii) Conformément à l’article 58, paragraphe 4, de la PIPA, le responsable du traitement (p. ex. les autorités compétentes en matière de sécurité nationale telles que le NIS) prend les dispositions nécessaires, telles que la mise en place de mesures techniques, organisationnelles et physiques, pour garantir le respect de ces principes et le traitement approprié des informations à caractère personnel. Il peut s’agir, par exemple, de mesures spécifiques visant à garantir la sécurité des informations à caractère personnel, telles que des restrictions d’accès aux informations à caractère personnel, des contrôles de l’accès, de la tenue de journaux, de la fourniture aux employés d’une formation spécifique sur le traitement des informations à caractère personnel, etc.
En outre, conformément à l’article 3, paragraphe 5, et à l’article 4 de la PIPA, les personnes concernées ont, entre autres, les droits suivants en ce qui concerne les informations à caractère personnel traitées à des fins de sécurité nationale:
1) le droit d’obtenir la confirmation que des informations à caractère personnel les concernant sont traitées ou non, ainsi que des informations sur le traitement, et le droit d’accéder à ces informations, y compris d’en obtenir des copies (article 4, paragraphes 1 et 3, de la PIPA);
2) le droit de faire suspendre le traitement, ainsi que d’obtenir la correction, l’effacement et la destruction des informations à caractère personnel (article 4, paragraphe 4, de la PIPA).
iii) Une personne concernée peut introduire une demande dans le cadre de l’exercice de ces droits directement auprès du responsable du traitement ou indirectement par l’intermédiaire de la Commission de protection, et peut autoriser son représentant à le faire. Lorsque la personne concernée dépose une demande, le responsable du traitement accorde ce droit sans tarder, à condition, toutefois, qu’il puisse retarder, limiter ou refuser le droit si cela est spécifiquement prévu ou inévitable pour se conformer à d’autres lois, dans la mesure et pour la durée nécessaires et proportionnées à la protection d’un objectif important d’intérêt public (p. ex., dans la mesure et pour la durée où l’octroi du droit compromettrait une enquête en cours ou menacerait la sécurité nationale), ou lorsque l’octroi du droit peut porter atteinte à la vie ou à l’intégrité physique d’un tiers, ou porter une atteinte injustifiée aux biens et à d’autres intérêts d’un tiers. En cas de refus ou de limitation de la demande, il en notifie sans tarder les motifs à la personne concernée. Le responsable du traitement établit la méthode et la procédure permettant aux personnes concernées de déposer des demandes et les annonce publiquement afin que les personnes concernées puissent en prendre connaissance.
En outre, conformément à l’article 58, paragraphe 4, de la PIPA (obligation d’assurer un traitement approprié des griefs individuels) et à l’article 4, paragraphe 5, de la PIPA (droit à une réparation appropriée de tout préjudice résultant du traitement d’informations à caractère personnel, au moyen d’une procédure rapide et équitable), les personnes concernées ont le droit d’obtenir réparation. Cela inclut le droit de signaler une violation présumée au centre de signalement des violations d’informations à caractère personnel (conformément à l’article 62, paragraphe 3, de la PIPA), de déposer une plainte auprès de la PIPC conformément à l’article 62 de la PIPA concernant toute violation des droits ou intérêts liés aux informations à caractère personnel d’une personne et de former un recours en justice contre les décisions ou l’inaction de la PIPC en vertu de la loi sur le contentieux administratif. En outre, les personnes concernées peuvent former un recours en justice en vertu de la loi sur le contentieux administratif s’il y a eu atteinte à leurs droits ou intérêts en raison d’une disposition ou d’une omission du responsable du traitement (p. ex., la collecte illicite de données à caractère personnel), ou obtenir une réparation des préjudices subis conformément à la loi sur l’indemnisation publique. Ces voies de recours sont disponibles tant en cas d’éventuelles violations des règles contenues dans les lois spécifiques fixant les limites et les garanties en matière de collecte d’informations à caractère personnel, telles que les lois sur la sécurité nationale, que dans la PIPA.
Une personne de l’UE peut déposer une plainte auprès de la PIPC par l’intermédiaire de son autorité nationale de protection des données et la PIPC informera la personne par l’intermédiaire de l’autorité nationale de protection des données, une fois que l’enquête et la mesure corrective (le cas échéant) ont pris fin.