Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

5.2 Nouvelle-Zélande

En Nouvelle-Zélande, la protection des données est principalement régie par le «Pricacy Act 1993»⁵⁹. Un processus de révision est en cours, et le projet d’un nouveau «Privacy Act» devrait être mis en consultation avant la fin de l’année 2016, avec pour but d’être présenté au Parlement en 2017.

La réforme prévue touche principalement les fonctions de l’autorité publique chargée de la surveillance de la protection des données, appelée «Privacy Commissionner» (PC). Le PC, qui est déjà maintenant tenu d’approuver les codes de bonnes pratiques, verra son rôle se renforcer. Un système de déclaration obligatoire des violations de données sera en effet introduit, et sera accompagné par deux améliorations pour le PC: il pourra dorénavant faire des requêtes urgentes afin d’obtenir des informations qu’il juge nécessaires, et il sera en mesure d’émettre des avis de conformité pour les violations du «Privacy Act».

La réforme n’a pas pour but de renforcer les droits des particuliers, car ils sont considérés comme étant suffisants dans le «Privacy Act 1993». Sa partie 2, «Information Privacy Principles» (IPP) octroie en effet aux individus des droits. En particulier, l’IPP 6 permet aux personnes concernées de demander si des données les concernant sont détenues et d’y avoir accès. L’IPP 7 permet aux personnes concernées de demander des rectifications aux données les concernant, et, si la demande est rejetée, qu’une déclaration soit attachée aux données montrant qu’une demande de modification a été sollicitée.

Actuellement, toutes les agences⁶⁰ doivent s’assurer qu’il y ait au moins un «Privacy Officer» (PO) au sein de l’agence. Les devoirs des PO sont d’encourager la conformité aux différents IPP, de s’occuper des requêtes faites auprès de l’agence et de collaborer avec le PC pour les enquêtes concernant l’agence. La réforme occasionnera deux importants changements dans les devoirs des agences : elles auront le devoir d’annoncer au PC certaines violations à la protection des données, et une nouvelle IPP demande aux agences de prendre les mesures raisonnables pour avoir une protection des données acceptable lors d’échanges avec des pays étrangers.

Le PC a un rôle important pour la mise en œuvre du principe de protection des données dès la conception et par défaut. En effet, la section 13(1)(n) du «Privacy Act 1993» lui donne l’opportunité d’entreprendre des recherches et de suivre l’évolution du traitement des données et des nouvelles technologies liées à l’informatique, et surtout de veiller à ce que les effets négatifs de ces développements sur le niveau de protection de la vie privée des individus soient minimisés. Par ce biais, le PC peut promouvoir le privacy by design. La réforme ne prévoit pas d’autres règles en ce qui concerne le privacy by design et by default.

5.3 Corée du Sud

La Corée du Sud a une législation dans le domaine de la protection des données depuis 2011, le «Personal Information Protection Act»⁶¹ (PIPA).

De par son histoire et ses nombreuses lois, la Corée du Sud a un système assez complexe, ce qui se traduit par plusieurs autorités liées à la protection des données. Pour les questions de régulation, la responsabilité revient à la «Personal Information Protection Commission». Pour la médiation lors de plaintes individuelles ou collectives, c’est le «Personal Information Dispute Mediation Committee» qui s’en charge. Ce comité peut proposer, lors de divergences entre les personnes concernées et des institutions traitant des données, une proposition de conciliation (art. 47 PIPA). Les plaintes liées aux technologies de l’information sont traitées par la «Korea Internet & Security Agency», qui possède une hotline et a également développé un certain nombre de guides et de recommandations pour le secteur privé. Quant au Ministère de l’intérieur, il tient un rôle important dans la mise en œuvre de la législation sur la protection des données. Il est compétent pour concevoir un «Data Protection Basic Plan» valable durant 3 ans (art. 9 PIPA) ainsi que des lignes directrices (art. 12 PIPA).