Quand une violation de données cesse d'être une simple violation de données

Une violation de données chez le géant sud-coréen du commerce électronique Coupang a exposé les informations personnelles de 33,7 millions d'utilisateurs. Ce chiffre à lui seul est frappant. Mais ce qui a suivi la violation a transformé un incident de confidentialité des consommateurs en quelque chose de bien plus inhabituel : une confrontation géopolitique entre deux alliés proches.

Des rapports indiquent que le gouvernement américain a laissé entendre qu'il pourrait bloquer des consultations diplomatiques et de défense de haut niveau avec la Corée du Sud, à moins que Séoul ne garantisse que le fondateur de Coupang, Bom Kim, citoyen américain, ne subisse pas de conséquences juridiques liées à la violation. En réponse, la Corée du Sud a lancé une réaction gouvernementale substantielle, comprenant des perquisitions policières et des convocations parlementaires visant des dirigeants de Coupang.

La violation elle-même a été causée par un ancien employé, ce qui en fait un incident lié à une menace interne plutôt qu'un piratage externe. Cette distinction est importante pour comprendre comment cela s'est produit, mais elle ne change pas le résultat pour les dizaines de millions de personnes dont les données ont été exposées sans leur consentement.

Le problème de responsabilité dont personne ne veut parler

L'une des leçons les plus claires de cet incident est la rapidité avec laquelle la responsabilité peut s'évaporer lorsque des intérêts puissants sont en jeu. Dans la plupart des cas de violation de données, les utilisateurs concernés attendent avec anxiété de voir si l'entreprise responsable fera face à des conséquences significatives. Les amendes réglementaires, la responsabilisation des dirigeants et les améliorations obligatoires en matière de sécurité sont censées offrir une certaine garantie que les entreprises prennent la protection des données au sérieux.

Mais lorsque la pression diplomatique entre en jeu, ce cadre de responsabilité devient fragile. Si la menace crédible de conséquences juridiques pour les dirigeants est effectivement supprimée par le lobbying d'un gouvernement étranger, l'effet dissuasif de la législation sur la protection des données s'affaiblit considérablement. Les entreprises qui gèrent de grandes quantités de données personnelles doivent comprendre que les violations graves entraînent de graves conséquences. Lorsque la géopolitique court-circuite ce processus, ce sont les utilisateurs ordinaires qui en paient le prix.

Il ne s'agit pas d'une préoccupation hypothétique. Les 33,7 millions de personnes dont les informations ont été exposées lors de cette violation sont de vraies personnes. Leurs noms, leurs coordonnées, leurs historiques d'achats et potentiellement d'autres données sensibles sont désormais sans contrôle. Les manœuvres diplomatiques qui se déroulent au-dessus d'elles ne font rien pour réduire leur risque.

Ce que cela signifie pour vous

Si vous faites des achats sur des plateformes de commerce électronique internationales, cette affaire est un rappel utile du peu de visibilité que vous avez sur l'endroit où vont vos données et sur qui est responsable de leur protection une fois que vous les avez transmises.

Lorsque vous créez un compte sur une plateforme comme Coupang, vous faites confiance à cette entreprise avec vos informations personnelles. Vous faites également confiance, dans un sens pratique, à chaque juridiction dans laquelle cette plateforme opère pour disposer de règles de protection des données fonctionnelles et applicables. Cet incident illustre que même une application nationale solide peut faire face à des interférences venant de l'extérieur du pays.

Un VPN n'aurait pas protégé les utilisateurs de Coupang contre cette violation. Les données étaient détenues par l'entreprise elle-même, et non interceptées en transit. Un VPN masque votre trafic Internet à votre fournisseur d'accès à Internet et à d'autres observateurs au niveau du réseau, mais n'a aucune incidence sur ce qu'une entreprise fait avec les données que vous lui avez déjà transmises. Quiconque suggère le contraire surestime ce que la technologie VPN peut faire.

Ce qui importe réellement, c'est de faire preuve de sélectivité quant aux plateformes auxquelles vous confiez vos données. Voici quelques mesures pratiques à envisager :

  • Utilisez des adresses e-mail ou des alias uniques pour différentes plateformes, afin qu'une violation sur un service ne se propage pas aux autres.
  • Évitez d'enregistrer vos informations de paiement auprès des détaillants, sauf en cas de besoin clair et continu.
  • Surveillez les services de notification de violations qui vous alertent lorsque vos identifiants apparaissent dans des ensembles de données divulguées.
  • Vérifiez régulièrement les autorisations des comptes sur les applications et les plateformes, et supprimez les comptes que vous n'utilisez plus.
  • Soyez méfiant à l'égard des programmes de fidélité et du partage optionnel de données qui offrent des récompenses mineures en échange d'un profilage plus approfondi.

La protection transfrontalière des données présente des faiblesses structurelles

Cette affaire met également en lumière une véritable lacune dans le fonctionnement de la protection internationale des données. Des lois comme le RGPD européen et la loi sud-coréenne sur la protection des informations personnelles sont conçues pour tenir les entreprises responsables dans des juridictions spécifiques. Mais elles n'ont pas été conçues en tenant compte de scénarios dans lesquels un gouvernement étranger fait activement pression pour arrêter l'application des lois.

À mesure que de plus en plus d'entreprises opèrent à l'échelle mondiale et que de plus en plus d'utilisateurs partagent des données au-delà des frontières, la question de qui est ultimement responsable de la protection de ces données devient plus difficile à répondre. Les cadres réglementaires qui fonctionnent bien de manière isolée peuvent échouer lorsqu'ils s'entrecroisent avec des relations diplomatiques, des négociations commerciales ou des alliances de sécurité.

Pour les consommateurs, la réponse honnête est qu'aucun outil ou habitude unique ne vous protégera pleinement dans un monde où les données circulent librement au-delà des frontières et où la responsabilité peut être négociée dans des négociations diplomatiques. Mais un scepticisme éclairé quant à qui détient vos données, et pourquoi, est un point de départ raisonnable. La violation de données chez Coupang rappelle que la confidentialité des consommateurs n'est pas seulement un problème technique. C'est aussi un problème politique, et les utilisateurs ordinaires méritent de comprendre cette distinction.