La Commission de protection des données personnelles a imposé des sanctions d'un total d'environ 10,5 milliards de wons à TikTok et Apple pour avoir collecté les données personnelles des utilisateurs sans base légale appropriée et les avoir transférées à l'étranger.

La Commission a également pris des décisions concernant des ordres de correction et de divulgation publique, affirmant sa politique de renforcer la protection du droit à l'autodétermination informationnelle des utilisateurs nationaux.

▲ TikTok collecte les données comportementales de tiers pour les publicités personnalisées

Le 23, la Commission a expliqué que TikTok avait collecté les données comportementales de tiers telles que les clics, achats, recherches et consultations de contenus des utilisateurs par le biais d'outils de pixels, SDK et API distribués aux opérateurs d'autres sites Web et applications.

Environ 71 000 entreprises nationales ont utilisé cet outil, et il a été confirmé que TikTok avait collecté des informations auprès de 9,45 millions d'utilisateurs actifs nationaux.

TikTok a connecté les informations collectées à des comptes, déduit les caractéristiques et les intérêts des utilisateurs, puis les a utilisées pour les publicités personnalisées.

Cependant, la Commission a jugé que TikTok n'avait pas clairement informé les utilisateurs de cela lors de l'inscription et avait traité ces informations comme un consentement obligatoire en les regroupant avec d'autres données personnelles nécessaires à l'utilisation du service, ne garantissant ainsi pas un véritable droit de choix.

La Commission de protection des données personnelles impose des amendes d'un total de 10,5 milliards de wons à Apple et TikTok(Photo : [Fourni par l'Agence de presse Yonhapnews])

▲ La procédure de transfert à l'étranger ne respecte pas les normes légales

Il a été confirmé que TikTok Lite avait transféré des données personnelles à des sociétés affiliées lors de la fourniture d'un service de retrait de points en espèces sans informer correctement les articles transférés, les destinataires, les objectifs d'utilisation, ainsi que la période de conservation et d'utilisation.

La Commission a considéré cela comme une violation des articles 15 et 28-8 de la Loi sur la protection des données personnelles et a imposé une amende administrative de 10,306 millions de wons ainsi que des ordres de correction et de divulgation publique.

Cette décision a clairement indiqué que même pour les transferts internes au sein de sociétés affiliées, si le traitement s'effectue à l'étranger et que la protection légale suffisante n'est pas garantie au niveau national, les dispositions relatives aux transferts à l'étranger doivent s'appliquer.

La Commission a considéré le transfert vers des zones où le niveau de protection s'affaiblit, plutôt qu'un simple mouvement physique, comme un transfert à l'étranger.

▲ Apple manque à ses obligations de consentement lors de l'utilisation des voix et transcriptions de Siri

Apple a collecté les enregistrements vocaux et les transcriptions des utilisateurs de Siri jusqu'en août 2019 et les a utilisés pour améliorer la reconnaissance vocale et les résultats de recherche sans obtenir de consentement séparé.

Par la suite, bien qu'Apple ait obtenu un consentement pour les enregistrements vocaux, il a été confirmé qu'elle continuait d'utiliser les transcriptions sans base légale appropriée séparée.

De plus, l'enquête a révélé qu'Apple transférait les données personnelles des utilisateurs à l'étranger vers des sociétés affiliées telles qu'Apple Inc. aux États-Unis sans inclure suffisamment dans sa politique de traitement des données personnelles les articles transférés, les objectifs d'utilisation, ainsi que la période de conservation et d'utilisation.

La Commission a imposé une amende administrative de 25,2 millions de wons à ADI, filiale d'Apple, et a ordonné des mesures correctives à ASPL, y compris la vérification de l'état des transferts à l'étranger.

La Commission a évalué qu'il était significatif que cette décision ait clairement indiqué que même les opérateurs étrangers doivent s'acquitter diligemment de leurs obligations de garantir la transparence et le droit à l'autodétermination informationnelle des utilisateurs nationaux dans le processus de traitement des données personnelles.