Résumé
- Le ministère japonais a adressé des instructions administratives écrites à LY Corporation le 31 juillet 2026.
- Treenod Inc. a envoyé des MID et d’autres informations déterminées depuis des applications LINE Game vers un service d’analyse tiers.
- Selon le ministère, LY Corporation n’avait pas approuvé l’envoi et les utilisateurs ne disposaient pas de l’information ou de l’occasion de vérification requise.
- La période s’étend du 25 mai 2022 au 3 avril 2026.
- Environ 8,03 millions d’enregistrements sont concernés, dont 7,52 millions liés à des utilisateurs au Japon.
- Le document public ne conclut ni à une vente, ni à l’exposition de mots de passe, de messages ou de données de paiement.
Quatre années révèlent un problème de détection
Un appel réseau non autorisé peut apparaître à la suite d’une erreur de configuration. Le laisser fonctionner du 25 mai 2022 au 3 avril 2026 met aussi en cause l’inventaire des composants, la revue du code, la surveillance des sorties et les contrôles périodiques.
Le ministère ne précise ni la fréquence des transmissions, ni le moment de leur découverte, ni un usage abusif par le fournisseur d’analyse. Il faut conserver ces inconnues.
La durée suffit néanmoins à montrer qu’un audit effectué avant le lancement ne protège pas les versions suivantes. Les bibliothèques, points de terminaison et finalités publicitaires évoluent après la mise en production.
Sous-traiter le code ne sous-traite pas l’obligation
Treenod aurait agi de sa propre initiative. Le ministère considère pourtant que LY Corporation, opérateur désigné au titre de l’article 27-5, restait responsable du traitement approprié des informations déterminées.
Le contrat avec un partenaire distribue le travail, pas le devoir réglementaire. LY Corporation doit savoir quels modules expédient quelles données, vers quel destinataire et pour quelle finalité.
Cela demande un registre des SDK, une liste technique de destinations autorisées et des essais indépendants. Une clause contractuelle ne bloque pas un appel réseau non prévu.
Huit millions d’enregistrements ne signifient pas huit millions de personnes
Le nombre publié est d’environ 8,03 millions d’enregistrements, dont 7,52 millions pour le Japon. Le ministère ne dit pas que chaque ligne correspond à un utilisateur unique.
Il parle de MID et d’autres informations déterminées sans dresser, sur la page publique, la liste complète des champs. Rien n’autorise à y ajouter des conversations, des identifiants de connexion ou des paiements.
Une information rigoureuse maintient ces dénominateurs. Transformer des enregistrements en personnes ou un identifiant en mot de passe dramatiserait au-delà de la preuve.
L’article 27-12 relie l’interface au trafic réel
La règle japonaise sur les transmissions externes exige que l’utilisateur puisse vérifier l’information envoyée, sa finalité et son destinataire. Le ministère juge que ce mécanisme a manqué.
La conformité doit donc exister dans l’application, et pas seulement dans une politique générale. Le texte présenté à l’utilisateur doit correspondre au point de terminaison réellement contacté.
Quand un partenaire modifie un outil d’analyse, le contrôle technique et l’information utilisateur doivent évoluer dans la même opération. Sinon, l’interface décrit un système qui n’existe plus.
Une instruction écrite n’est pas une amende
Le ministère demande une gestion appropriée, le respect de la règle de transmission externe, des mesures de prévention et un rapport sur leur exécution. Il n’annonce pas de sanction pécuniaire sur la page publiée.
La mesure reste importante : elle fixe les manquements et crée une base de suivi. Elle distingue la responsabilité de gestion de l’article 27-5 et l’obligation de transparence de l’article 27-12.
Il faut néanmoins nommer la décision correctement. Le prochain enjeu est la preuve de correction, non un montant financier inexistant.
La réparation doit être vérifiable dans le réseau
LY Corporation devra pouvoir rapprocher chaque jeu, SDK, identifiant, finalité et destination. Les points de terminaison non autorisés devraient être bloqués et toute modification soumise à une nouvelle approbation.
Des journaux d’envoi, des exceptions documentées et des contrôles sur échantillon donneraient plus de poids qu’une simple mise à jour de procédure. Le groupe doit aussi tester ses partenaires plutôt que recueillir uniquement leurs déclarations.
Le ministère a défini l’échelle et la durée du défaut. La fermeture du dossier dépendra de la capacité de l’opérateur à voir le prochain trajet avant qu’il ne devienne une nouvelle série d’enregistrements.