Résumé

  • La Network Act coréenne donne au Ministry of Science and ICT le pouvoir explicite d'inspecter un opérateur après un incident et de lui ordonner une correction ; le Telecommunications Business Act ajoute un second pouvoir correctif, parallèle.
  • L'amende administrative pour avoir désobéi à ces ordres est plafonnée à 30 millions de wons dans un texte et à 10 millions de wons en général dans l'autre, selon les consolidations anglaises consultées.

Le récit d'une fuite télécom se coupe volontiers en deux : ce que l'attaquant a fait, puis ce que l'opérateur a dépensé ensuite. La moitié qui manque — l'instrument juridique qui transforme une conclusion de faute en objet vérifiable de l'extérieur — est rarement traitée. C'est pourtant elle qui décide si une réparation est une obligation ou un communiqué.

Le cadre coréen est plus explicite que sa réputation. La loi sur la promotion de l'utilisation et de la protection des réseaux d'information et de communication — la Network Act — inclut les opérateurs de télécommunications dans sa définition des fournisseurs de services d'information et de communication, à l'article 2(1)3. L'article 45(1) impose des mesures de protection destinées à garantir la fiabilité de l'information, et l'article 45(3) précise ce que ces mesures recouvrent : prévention des intrusions, contrôle des fuites, continuité, gouvernance de la sécurité. C'est une obligation de fond, pas une intention.

La mécanique d'exécution se trouve à l'article 48-4. Le paragraphe (1) exige l'analyse de l'incident, la réponse, le rétablissement et la prévention des récidives. Le paragraphe (2) autorise le Ministry of Science and ICT à ordonner des mesures de mise en œuvre, à l'exclusion des institutions publiques. Le paragraphe (3) permet l'inspection et donne au ministère le pouvoir d'ordonner à un fournisseur de corriger. L'article 64(4) ajoute des mesures correctives en cas de violation et des obligations de publication.

Lisez cette séquence et la forme d'une réparation vérifiable apparaît. Un ordre pris au titre de l'article 48-4(3) est une instruction avec un objet et un défaut nommé. N'importe qui disposant du même droit d'inspection peut en vérifier l'exécution plus tard. Un programme d'indemnisation annoncé par l'opérateur ne possède pas cette propriété : il n'est pas exécutoire, parce que rien n'a été ordonné.

Le second texte fonctionne en parallèle. L'article 92(1) du Telecommunications Business Act habilite le Ministry of Science and ICT ou la Korea Communications Commission, dans son champ de compétence, à ordonner des corrections pour des violations énumérées, des procédures commerciales gravement préjudiciables ou des accidents de service non réparés. L'article 52(1)9 permet des ordres d'amélioration lorsque l'acte interdit par l'article 50(1) est établi. Les surcharges pénales de l'article 53 existent comme instrument distinct des amendes administratives de l'article 104 : la surcharge, c'est l'argent ; l'amende, c'est l'obéissance.

Voici le passage à relire deux fois. L'article 104(5)17 vise celui qui ne se conforme pas à un ordre correctif pris au titre de l'article 92(1) à (3). Le paragraphe (5) plafonne généralement l'amende à 10 millions de wons. Les articles 104(1)4 et 7 fixent des plafonds de 50 millions de wons pour entrave à l'enquête et pour certaines non-conformités de grandes entreprises. Côté Network Act, les articles 76(1)6-7 et 12 plafonnent l'amende à 30 millions de wons pour désobéissance à un ordre de l'article 48-4(3) ou de l'article 64(4).

Trente millions de wons. Voilà le plafond légal pour avoir ignoré l'instruction du ministère de réparer ce qu'il avait constaté.

Une note de cabinet aide à dater le durcissement. L'analyse des amendements de 2024 par Kim & Chang, publiée le 26 septembre 2024, décrit des changements entrés en vigueur le 14 août 2024 qui ont remplacé des recommandations par un pouvoir d'ordonner les mesures préventives nécessaires. Elle rapporte un barème en Annex 9 pour la non-conformité à un ordre correctif : 7,5 millions de wons pour une première violation, 15 millions pour une seconde, 30 millions pour la troisième et les suivantes. Ce barème vient d'un commentaire secondaire, non du texte de l'Annex 9 lui-même, qui n'a pas été consulté ici.

C'est ici que l'abréviation la plus répandue échoue. L'article 51 du Telecommunications Business Act est souvent présenté comme l'obligation générale de sécurité pesant sur les opérateurs. Il ne l'est pas. La version coréenne officielle de l'article 51 — 제51조(사실조사 등) — est une disposition d'enquête : investigation, inspection sur site, production forcée ou rétention temporaire de documents. La consolidation anglaise du même texte contredit aussi l'abréviation. L'article 51 donne des yeux au régulateur. Il ne donne pas de devoir à l'opérateur.

Un quasi-voisin explique la confusion. Le décret d'application du Telecommunications Business Act, en son article 51-2, impose bien des mesures de sécurité des équipements — mais en lien avec la déclaration et l'approbation d'installation des équipements importants au titre de l'article 62(1) de la loi mère, et le paragraphe (3)2 charge le ministère d'en examiner la pertinence. C'est du droit dérivé sur l'équipement. Ce n'est pas l'obligation générale de cybersécurité de la loi mère.

La distinction n'est pas de la pédanterie. Elle détermine ce qu'un tiers doit exiger. Si l'obligation se trouve à l'article 45(1) de la Network Act et l'instruction exécutoire à l'article 48-4(3) ou à l'article 92(1), alors le document à chercher après un incident grave est un ordre daté nommant le défaut et la réparation. Sans ce document, un régulateur a publié une conclusion et un opérateur a publié un plan, et aucun des deux n'est une obligation vérifiable.

Ce cadrage est la raison d'être de cet article, plutôt qu'un récit supplémentaire de ce que l'intrus a fait. La couverture antérieure de cette fuite s'est concentrée sur l'intrusion et sur les remèdes annoncés par l'opérateur. La forme juridique de l'instrument d'exécution — si la faute se durcit en instruction vérifiable, et ce que coûte réellement la désobéissance — n'avait pas été testée, et la mauvaise attribution de l'article 51 voyageait avec elle.

Aucun ordre, directive ou décision d'amende daté du Ministry of Science and ICT concernant la fuite USIM de SK Telecom d'avril 2025 n'est apparu dans les documents lus pour cet article ; les textes ci-dessus sont cités comme le cadre qu'un tel instrument doit prendre, non comme la preuve qu'il a ou n'a pas été pris, et il s'agit d'une limite sur ce qui a été lu, non d'une conclusion d'absence. Le Ministry of Science and ICT figure dans le répertoire BTW comme le régulateur en question.

Le plafond, voilà l'histoire. Un régulateur qui peut ordonner à un opérateur national de réparer un défaut, et ne le sanctionner qu'à hauteur de 30 millions de wons en cas de refus, dispose d'un levier mesuré au prix d'un dépôt de garantie plutôt qu'au coût d'une base d'abonnés compromise. Lisez l'ordre s'il existe. Puis lisez la clause de sanction. L'écart entre les deux, c'est là que vit la responsabilité.