Numéro 8 | Septembre 2026, semaine 1

D’une entreprise de blocage d’appels amendée pour appels indésirables au règlement de 18 milliards de dollars de Meta sur la dépendance des adolescents, les amendes liées à la vie privée se multiplient dans le monde entier. Le Brésil, la Corée du Sud et la Turquie infligent tous de lourdes sanctions aux gigants tech et aux détaillants pour avoir échoué à protéger les données des utilisateurs.

Une entreprise vendant la protection contre les appels indésirables amendée pour appels indésirables

Une entreprise commercialisant des dispositifs de blocage d'appels a reçu une amende de 190 000 £ (~221 000 €) pour avoir passé des centaines de milliers d'appels indésirables à des personnes âgées.

Elderly Aids Ltd a passé 758 053 appels à froid entre mai 2024 et février 2025. De nombreuses personnes contactées étaient inscrites au Telephone Preference Service (TPS), un service destiné à empêcher les appels commerciaux indésirables.

Une vingtaine de plaintes ont été déposées auprès du Bureau du commissaire à l’information britannique (ICO) et du TPS. Certaines personnes ont déclaré que les appelants se montraient agressifs et trompeurs, et qu’ils omettaient souvent de s’identifier clairement.

Une plainte indiquait qu’un homme âgé avait été persuadé de payer 139 £ (162 €) d’avance et 6,99 £ (8,16 €) par mois pour un service de blocage d’appels. L’ICO a déclaré que l’entreprise «bombardait les gens avec les mêmes appels indésirables contre lesquels elle prétendait les protéger».

Au cours de l’enquête, Elderly Aids a à plusieurs reprises négligé de fournir les informations demandées par l’ICO et a continué à passer des appels. L’entreprise a également été accusée d’avoir tenté de se radier du registre de Companies House après avoir eu connaissance de l’enquête.

L’ICO a ordonné à l’entreprise de cesser ses appels commerciaux illégaux.

Le Brésil inflige une amende de R$ 153,7 M à TikTok pour des violations de la protection des données des enfants

L’autorité brésilienne de protection des données (ANPD) a amendé ByteDance, propriétaire de TikTok, de 153,7 millions de réaux (environ 25,5 millions d’euros) pour ne pas avoir correctement protégé les données à caractère personnel des enfants et des adolescents.

L’autorité de régulation a déclaré que TikTok avait enfreint la Loi générale de protection des données (LGPD) du Brésil en collectant et traitant les données des jeunes utilisateurs sans base juridique valable ni garanties adéquates. L’autorité de contrôle a indiqué que TikTok avait enfreint les articles 6 (points VIII et X) et 7 de la législation. Ces violations concernaient à la fois les utilisateurs connectés et les personnes naviguant sur TikTok sans compte.

L'enquête a examiné deux méthodes d'accès à TikTok pour les utilisateurs: le «fil sans inscription», qui ne nécessitait pas de compte, et le «fil avec inscription», qui exigeait que les utilisateurs créent un profil.

Dans les deux cas, l’ANPD a constaté que TikTok traitait les données à caractère personnel d’enfants et d’adolescents sans fondement juridique valable. L’entreprise ne disposait pas non plus de mesures efficaces pour empêcher les enfants d’accéder à la plateforme sans inscription ou de s’inscrire lorsqu’ils n’étaient pas autorisés à le faire. L’autorité a également constaté que TikTok n’était pas en mesure de fournir suffisamment de preuves démontrant que ses mesures techniques et organisationnelles étaient efficaces pour protéger les données des mineurs.

TikTok a reçu l'ordre de supprimer les données collectées en violation des règles et a accepté un plan de mise en conformité pour corriger les problèmes et améliorer ses pratiques en matière de données.

Dans ce même contexte, Meta a accepté un accord à l’amiable proposé pouvant atteindre 18 milliards de dollars avec 52 procureurs généraux des États américains, suite à des allégations selon lesquelles Facebook et Instagram auraient été conçus pour encourager une utilisation addictive chez les enfants et les adolescents. En vertu de cet accord, Meta est tenue de mettre en place des règles plus strictes pour les utilisateurs de moins de 18 ans, notamment des limites quotidiennes de temps d’écran, des restrictions nocturnes, des contrôles parentaux renforcés, une vérification de l’âge et la suppression de certaines fonctionnalités susceptibles d’avoir un impact négatif sur le bien-être des adolescents. Meta versera environ 18 milliards de dollars sur une période de 10 ans, dont environ 12,7 milliards iront aux États participants. Un auditeur indépendant surveillera la conformité de l’entreprise.

La Corée du Sud inflige des amendes à deux entités de HD Hyundai pour la fuite de données de 2024

La Commission sud-coréenne de protection des données personnelles (PIPC) a infligé une amende à deux sociétés du groupe HD Hyundai à la suite d’une fuite de données ayant exposé les données personnelles de 9 503 employés et de personnel des entreprises partenaires.

La PIPC a infligé une suramende de 73,5 millions de wons (~46 000 €) à HD Hyundai Construction Equipment et une amende de 4,8 millions de wons (~3 000 €) à HD Korea Shipbuilding & Offshore Engineering.

La brèche s’est produite en mars 2024 lorsqu’un pirate informatique non identifié a exploité une faille de sécurité liée à des vulnérabilités d’envoi de fichiers sur un serveur de gestion des appareils mobiles exploité par HD Korea Shipbuilding & Offshore Engineering. Le pirate a déposé un web shell malveillant et a obtenu l’accès à un système interne de HD Construction Equipment.

Les informations divulguées comprenaient les noms et les matricules des cadres, des employés et des travailleurs des entreprises partenaires.

La PIPC a déclaré que les entreprises n’avaient pas mis en place des mesures de sécurité adéquates, notamment des contrôles d’accès entre leurs systèmes. L’autorité de contrôle a indiqué que des «liaisons métier» inutiles entre les systèmes avaient permis au pirate de passer du serveur compromis au système contenant des informations personnelles.

Le régulateur a indiqué que les pénalités avaient été imposées pour violation des lois sud-coréennes sur la protection des informations personnelles.

and

L’Autorité turque de protection des données personnelles (KVKK) a infligé une amende d’un million de livres turcs à une entreprise industrielle mondiale pour ne pas avoir correctement protégé les données à caractère personnel et pour avoir signalé une attaque par rançongiciel avec 23 jours de retard.

L’attaque a débuté lorsqu’un employé de la filiale américaine de l’entreprise a ouvert un logiciel téléchargé, qui a infecté un serveur américain avec un rançongiciel. L’infection s’est ensuite propagée à 797 serveurs sur l’ensemble du réseau mondial de l’entreprise et a chiffré de nombreux fichiers.

Cette violation a affecté les données personnelles de 4 885 employés, clients et fournisseurs. Les données comprenaient des détails d'identité et de passeport, des adresses, des IBAN, des numéros de téléphone et des groupes sanguins.

L'KVKK indique que des tests d'intrusion antérieurs avaient révélé plusieurs failles de sécurité dans le réseau, mais que l'entreprise n'avait pas fourni de preuves que ces problèmes avaient été traités. L'autorité a également constaté la présence de systèmes obsolètes, de politiques de mots de passe faibles, d'un accès réseau excessif et d' une sensibilisation limitée des employés à la cybersécurité.

L’entreprise s’est vue infliger une amende de 800 000 lires pour non-respect des exigences de sécurité des données, ainsi qu’une amende supplémentaire de 200 000 lires pour notification tardive de la violation. La KVKK a indiqué que ce retard de 23 jours ne respectait pas l’obligation de notifier les violations «dès que possible». Elle a également souligné que les failles de sécurité du réseau de l’entreprise avaient accru l’impact potentiel de l’attaque.

GS Retail condamné à une amende de 12,8 milliards de wons pour une fuite de données ayant touché 1,66 million de clients

Le géant sud-coréen de la grande distribution GS Retail, qui exploite les supérettes GS25, a reçu une amende de 12,8 milliards de wons (environ 8,1 millions d’euros) pour une violation de données à caractère personnel touchant environ 1,66 million de clients.

L’autorité sud-coréenne de protection de la vie privée a indiqué que GS Retail devait également payer une amende administrative de 3 millions de wons, prendre des mesures correctives et publier les résultats sur son site web.

La PIPC a constaté que des pirates informatiques avaient mené des attaques par «credential stuffing» contre le site de vente en ligne GS SHOP entre juin 2024 et février 2025. Des attaques similaires ont visé le site web GS25 du 26 décembre 2024 au 4 janvier 2025.

Le credential stuffing consiste à utiliser des identifiants et des mots de passe volés ailleurs pour tenter d’accéder à d’autres comptes en ligne. La commission a indiqué que GS Retail n’avait pas mis en place de mesures de sécurité adéquates, notamment des contrôles d’accès appropriés.

Dans une autre affaire, la PIPC a infligé au Centre national pour les droits de l'enfant une amende de 863 millions de wons (environ 537 000 €) et a imposé une sanction administrative de 22,2 millions de wons (environ 14 800 €) à la suite de la perte de dossiers numériques concernant des enfants adoptés et des enfants disparus.

Le centre a perdu un CD contenant environ 1,14 million d’enregistrements et un disque dur externe contenant 30 000 enregistrements. Ces fichiers comprenaient des informations sensibles telles que des noms, des adresses, des coordonnées et des numéros de registre des résidents.

La PIPC a indiqué que le centre n'avait pas correctement géré les supports de stockage, n'avait pas pu déterminer le moment de leur perte et n'avait pas signalé la brèche dans le délai de 72 heures requis. Elle a également constaté une faille dans la base de données qui a exposé les données personnelles de 47 personnes adoptées et de futurs parents adoptifs.

Prochaines étapes:

• Demandez une démonstration gratuite du produit ou un devis
• Inscrivez-vous à nos webinaires et formations produits.
• Lisez notre blog hebdomadaire Cybercrime Investigations.
• Suivez-nous sur LinkedIn, X, Telegram et WhatsApp
• Abonnez-vous à notre Newsletter
• Rejoignez notre programme de partenariat