Coupang·SKT, assurance contre la fuite de dizaines de millions de données personnelles jusqu'à 1 milliard de wons… Possibilité faible d'indemnisation réelle des pertes

Bien que de récents incidents majeurs de fuite de données personnelles aient eu lieu, de grandes entreprises du secteur des technologies de l’information et de la communication telles que Coupang et SK Telecom n’ont souscrit qu’au montant minimum légalement requis pour l’assurance indemnisation des fuites de données personnelles destinée à la réparation des victimes. Cela met une nouvelle fois en évidence le problème structurel de l’insuffisance des indemnisations effectives en cas de préjudice réel.

Selon le secteur de l’assurance dommages le 8, Coupang a actuellement souscrit une assurance responsabilité civile pour fuite de données personnelles auprès de Meritz Fire & Marine Insurance, avec un plafond de garantie de 10 milliards de wons, et n’a pas encore déclaré le sinistre relatif à la récente fuite concernant environ 33,7 millions de données personnelles. Coupang n’est pas un cas isolé : SK Telecom, dont environ 23 millions de données d’utilisateurs ont été divulguées, a également été confirmée comme n’ayant souscrit auprès de Hyundai Marine & Fire Insurance qu’une assurance similaire, également plafonnée à 10 milliards de wons.

La loi actuelle sur la protection des données personnelles stipule que les entreprises dépassant un certain seuil de chiffre d’affaires doivent souscrire une assurance pour la fuite de données personnelles. Cependant, le montant minimum obligatoire, jugé trop bas par rapport à la taille des entreprises, est considéré comme problématique. Par exemple, même les très grandes entreprises dont le chiffre d’affaires annuel dépasse 10 000 milliards de wons ou qui détiennent les données de plus de 10 millions de clients n’ont légalement aucun problème à souscrire une assurance plafonnée à 10 milliards de wons. Cela limite considérablement l’indemnisation effective en cas de dommages à grande échelle.

Selon le secteur de l’assurance, il serait nécessaire de relever le plafond minimum obligatoire à environ 1 000 milliards de wons, au vu de l’ampleur des sinistres passés et du nombre de victimes concernées. L’argument avancé est que même si les entreprises indemnisent les victimes via des procédures civiles, une couverture partielle par l’assurance permettrait de répartir la charge financière et d’assurer la protection effective des victimes. Certains estiment que des plafonds trop faibles favorisent les abus, certaines entreprises tentant ainsi d’échapper à leurs responsabilités ou de retarder l’indemnisation.

Dans ce contexte, les acteurs du secteur, dont l’Association des assurances dommages, prévoient de soumettre prochainement une demande de révision des montants minimums d’assurance auprès des autorités, notamment de la Commission de protection des données personnelles. Pour les entreprises dont le chiffre d’affaires dépasse 10 000 milliards de wons ou le nombre de personnes concernées 10 millions, une obligation de souscrire une assurance d’au moins 1 000 milliards de wons est à l’étude. Parallèlement, la demande d’application de sanctions administratives plus strictes, telles que des amendes, à l’encontre des entreprises non assurées, se fait de plus en plus forte.

Par ailleurs, aucun cas de sanction par amende pour absence d’assurance n’a encore été recensé. Faute pour la Commission de protection des données personnelles de disposer d’une vue précise du nombre d’entreprises concernées par l’obligation, aucun dispositif concret n’a été mis en place à ce jour. Le taux de souscription ne représenterait ainsi que 2 % à 8 % du total des entreprises concernées (estimées entre 83 000 et 380 000).

Certains estiment que si cette tendance perdure, la répétition d’incidents de fuite de données personnelles pourrait remettre en cause l’efficacité des mesures de protection des victimes, entraîner une perte de confiance envers les entreprises et déboucher sur des réformes drastiques de l’assurance et de la régulation. Il est donc urgent que le gouvernement et l’Assemblée nationale améliorent le dispositif réglementaire.