La PIPA sud-coréenne : ce qu’elle exige pour les cookies et le suivi

Qu’est-ce que la PIPA ?

Le Personal Information Protection Act (PIPA) est la loi générale sud-coréenne sur la protection des données. Il est entré en vigueur le 30 septembre 2011 et passe souvent pour l’une des lois sur la vie privée les plus strictes d’Asie. En 2020, les dispositions sur la protection des données qui figuraient dans la Network Act (l’Act on Promotion of Information and Communications Network Utilization and Information Protection) ont été transférées dans la PIPA, et la Personal Information Protection Commission (PIPC) est devenue l’autorité de contrôle unique. La PIPC rend compte au Premier ministre et dispose du pouvoir d’enquêter, d’ordonner des corrections et d’infliger des sanctions pécuniaires.

Deux modifications récentes comptent pour les sites web. Celle entrée en vigueur le 15 septembre 2023 a fusionné les règles spéciales applicables aux fournisseurs de services en ligne avec les règles générales, élargi les voies de transfert à l’étranger et modifié le mode de calcul de la sanction pécuniaire maximale. Celle promulguée le 10 mars 2026 et en vigueur depuis le 11 septembre 2026 a relevé le plafond à 10 % du chiffre d’affaires pour les infractions répétées ou graves et a rendu les dirigeants responsables de la supervision des traitements de données.

À qui s’applique la PIPA ?

La PIPA s’applique aux responsables de traitement d’informations personnelles : institutions publiques, entreprises, organisations et particuliers qui traitent des informations personnelles pour leur activité. La loi ne comporte pas de clause expresse sur sa portée territoriale, mais la PIPC l’applique aux entreprises étrangères qui collectent des données auprès de personnes en Corée, comme le montrent ses décisions contre Google et Meta. L’article 31-2 impose à un responsable de traitement sans adresse ni bureau en Corée de désigner un représentant national lorsqu’il atteint des seuils fixés par décret présidentiel, fondés sur des critères comme le chiffre d’affaires et le nombre de personnes dont il détient les données. Les coordonnées du représentant doivent figurer dans la politique de confidentialité.

Les cookies exigent-ils un consentement en Corée du Sud ?

La PIPA ne mentionne pas les cookies nommément. Elle s’y applique lorsque les données qu’ils collectent sont des informations personnelles, ce qui inclut les informations qui identifient une personne lorsqu’elles sont facilement combinées avec d’autres. L’article 15(1) liste les bases légales de la collecte : le consentement, une obligation légale, l’exécution d’un contrat avec la personne, la protection de la vie ou des biens, un intérêt légitime qui l’emporte clairement sur les droits de la personne, et quelques finalités publiques. Les cookies de mesure d’audience et de publicité ne relèvent guère que du consentement.

L’article 30(1), point 7, impose à la politique de confidentialité de décrire l’installation et le fonctionnement des outils de collecte automatique, y compris les fichiers d’accès à internet, et la manière dont les utilisateurs peuvent les refuser. Les politiques de confidentialité coréennes comportent donc une section cookies qui explique ce qui est collecté et comment le désactiver dans le navigateur.

La publicité comportementale est le domaine que la PIPC surveille le plus : ses décisions les plus importantes portent sur des données collectées sur les sites et applications d’autres entreprises à des fins de publicité ciblée, décrites plus bas.

À quoi doit ressembler le consentement ?

L’article 22 en fixe la méthode. Chaque point qui exige un consentement doit être présenté de façon clairement reconnaissable, et le consentement doit être obtenu séparément pour chaque catégorie : collecte et utilisation, communication à des tiers, informations sensibles et identifiants uniques, et prospection. Lorsque le consentement est donné par écrit ou par voie électronique, les points essentiels, comme la finalité et les éléments collectés, doivent être indiqués clairement et être faciles à comprendre. Les données traitées sans consentement doivent être listées séparément, avec leur base légale, et le responsable de traitement doit prouver que le consentement n’était pas requis. Un responsable de traitement ne peut pas refuser des biens ou des services parce qu’une personne décline un consentement facultatif ou un consentement à la prospection (article 22(5)). Le consentement pour un enfant de moins de 14 ans est donné par son représentant légal.

Les messages publicitaires commerciaux relèvent de l’article 50 de la Network Act, qui exige le consentement préalable du destinataire avant l’envoi d’informations publicitaires par transmission électronique.

Comment les transferts à l’étranger sont-ils encadrés ?

L’article 28-8 interdit de communiquer, confier ou stocker des informations personnelles à l’étranger, sauf si l’une des voies suivantes s’applique : un consentement distinct de la personne ; une loi ou un traité qui prévoit le transfert ; la nécessité pour un contrat avec la personne, lorsque les détails sont indiqués dans la politique de confidentialité ou notifiés ; un destinataire titulaire d’une certification reconnue par la PIPC ; ou un pays de destination que la PIPC reconnaît comme offrant une protection substantiellement équivalente. La modification de 2023 a ajouté les deux dernières voies et le pouvoir d’ordonner l’arrêt d’un transfert en cas d’infraction à la loi.

Qui fait appliquer la PIPA, et quelles sont les sanctions ?

La PIPC peut ordonner des corrections et infliger des sanctions pécuniaires. Selon l’article 64-2, le plafond est de 3 % du chiffre d’affaires total, hors chiffre d’affaires des activités sans lien avec l’infraction ; en l’absence de chiffre d’affaires, un plafond fixe s’applique. Depuis le 11 septembre 2026, une disposition spéciale permet d’aller jusqu’à 10 % pour les infractions répétées ou graves, et la sanction peut être réduite lorsqu’une entreprise démontre des investissements réels dans la protection des données, sauf pour les manquements intentionnels ou dus à une négligence grave. Des amendes administratives et des sanctions pénales s’appliquent aux autres manquements.

Qu’a fait la PIPC contre le suivi ?

Le 14 septembre 2022, la PIPC a infligé à Google 69,2 milliards de wons et à Meta 30,8 milliards de wons, soit environ 100 milliards de wons au total, pour avoir collecté des informations comportementales d’utilisateurs sur les sites et applications d’autres entreprises et les avoir utilisées pour de la publicité personnalisée sans consentement valable. Google avait réglé l’option d’accord par défaut et l’avait cachée derrière des paramètres supplémentaires ; Meta n’avait ni donné les informations requises ni obtenu de consentement à l’inscription. C’était la première sanction coréenne visant la collecte d’informations comportementales à des fins de publicité ciblée, et les deux sociétés ont reçu l’ordre d’obtenir un consentement clair. Toutes deux ont saisi la justice, et le 22 janvier 2025 le tribunal administratif de Séoul a rejeté leurs recours et confirmé les sanctions.

Le 4 novembre 2024, la PIPC a infligé à Meta 21,6 milliards de wons supplémentaires en sanctions pécuniaires et amendes, notamment pour avoir utilisé des données comportementales, comme les pages aimées et les publicités cliquées, afin de créer des thèmes publicitaires liés à des informations sensibles sans base légale.

Que doit faire un site qui s’adresse à la Corée ?

• Lister vos cookies et balises et leurs finalités ; le scanner de cookies donne un premier inventaire.
• Demander un consentement avant que les cookies de mesure d’audience et de publicité ne collectent des informations personnelles, avec chaque finalité présentée séparément et rien de présélectionné.
• Publier une politique de confidentialité en coréen avec la section sur la collecte automatique et, si vous atteignez les seuils, votre représentant national.
• Ne pas bloquer le service pour les personnes qui refusent les cookies facultatifs.

La Corée du Sud fait partie de la liste par défaut des pays réglementés de Cookiequiet : avec le ciblage géographique activé, gratuit dans chaque offre, les visiteurs coréens voient le bandeau de consentement préalable avec « Tout refuser », et le registre des consentements garde la trace de chaque choix. Les 24 langues du bandeau n’incluent pas encore le coréen, et chaque texte est modifiable par langue. Pour les voisins de la Corée, voir le Japon et la Chine ; les règles européennes sont sur la page RGPD.