La Personal Information Protection Commission (PIPC), l'autorità sudcoreana per la protezione dei dati personali, ha inflitto a Coupang una sanzione record di 624,6 miliardi di won, circa 409 milioni di dollari, per il massiccio data breach che ha coinvolto oltre 37 milioni di clienti. Si tratta della multa privacy più alta mai comminata nel Paese, di un ordine di grandezza paragonabile alle maggiori sanzioni GDPR europee.
Coupang è un colosso dell'e-commerce di proprietà americana che domina il mercato sudcoreano, con 95.000 dipendenti e ricavi annui superiori ai 30 miliardi di dollari. Sanzionata anche la controllata Coupang Fulfillment Service, con una multa aggiuntiva per raccolta e trattamento illeciti di dati personali e sensibili dei clienti.
Le contestazioni dell'autorità
Secondo gli investigatori, i dati personali di circa 37,55 milioni di persone sono stati esposti a causa di carenze di sicurezza di base: gestione negligente delle chiavi di autenticazione e controlli di accesso inadeguati. Ma le violazioni contestate vanno oltre il piano tecnico. La PIPC ha rilevato anche il mancato rispetto degli obblighi di cancellazione dei dati e di notifica della violazione, interferenze con l'indipendenza del responsabile della protezione dei dati e persino comportamenti di ostruzione durante l'indagine.
Oltre alla sanzione economica, l'autorità ha imposto ordini correttivi e obblighi di pubblicazione del provvedimento.
Un breach scoperto con cinque mesi di ritardo
La violazione, una delle peggiori nella storia della Corea del Sud, risale alla fine di giugno 2025 ma è stata scoperta solo a metà novembre. Il principale sospettato è un ex dipendente del reparto IT, un cittadino cinese di 43 anni che aveva lavorato in azienda tra il 2022 e il 2024 e che avrebbe conservato gli accessi ai sistemi anche dopo la fine del rapporto di lavoro. L'uomo avrebbe poi restituito diversi hard disk contenenti dati sensibili, dopo aver tentato di disfarsi di un laptop gettandolo in un fiume per distruggere le prove.
Coupang ha annunciato a dicembre un piano di risarcimento da circa 1,17 miliardi di dollari, con voucher monouso da circa 34 dollari per ciascuno degli oltre 33 milioni di clienti coinvolti.
Una lezione che vale anche in Europa
Il caso Coupang riassume in un'unica vicenda molti dei temi al centro delle normative privacy moderne: la gestione degli accessi degli ex dipendenti, troppo spesso trascurata; i tempi di rilevamento delle violazioni, qui dilatati a cinque mesi; l'indipendenza del responsabile della protezione dei dati, che le aziende non possono comprimere; e la collaborazione con le autorità durante le indagini. Principi che il GDPR europeo condivide pienamente e che il Garante italiano richiama con regolarità nei propri provvedimenti: la sicurezza dei dati non è solo una questione di tecnologia, ma di processi e governance.
