Nästan 34 miljoner kunder berördes av intrånget hos Coupang, i ett land med cirka 52 miljoner invånare. PIPC utdömde rekordböter på 624,68 miljarder won, motsvarande cirka 3,9 miljarder kronor. Coupang säger att känsligare uppgifter, som betal- och inloggningsuppgifter, inte påverkades och har meddelat att bolaget kommer att överklaga. Myndigheten pekar samtidigt på brister i autentiseringsnycklar, åtkomstkontroller och otillåten datainsamling riktad mot omkring 11 miljoner användare.

Beslutet från Personal Information Protection Commission, PIPC, att bötfälla Coupang med 624,68 miljarder won står i hård kontrast till företagets bild av skadans omfattning. Coupang hävdar att Betalningsuppgifter och Inloggningsuppgifter inte påverkades, medan PIPC fokuserar på systematiska brister i säkerhet och i hur data användes för marknadsföring.

1. Händelsebild och omfång

Intrånget upptäcktes i slutet av 2025 och visade sig ha exponerat personuppgifter för en mycket stor del av Sydkoreas befolkning. Enligt redovisningarna rör det sig om nästan 34 miljoner drabbade kunder, i ett land med omkring 52 miljoner invånare. De läckta kategorierna omfattade namn, e-postadresser, telefonnummer, leveransadresser och delar av kundernas orderhistorik.

Företaget uppgav att intrånget kan ha pågått sedan juni 2025 och att åtkomst skett via en server utanför Sydkorea. I spåren av händelsen avgick vd Park Dae-jun. Ett kort scenario: tänk dig en kund som ser att e-postadressen och leveransadressen cirkulerar i oönskade erbjudanden utan att betal- eller inloggningsuppgifter är synliga. Det illustrerar hur en stor utsläpp av kontakt- och transaktionsmetadata kan skapa praktiska problem även när de mest känsliga fälten sägs vara intakta.

2. Regleringens fynd

Myndigheten bedömde att Coupang brustit i grundläggande Säkerhetsrutiner. PIPC pekade på specifika tekniska och processrelaterade brister, bland annat i hanteringen av autentiseringsnycklar och åtkomstkontroller. Dessutom noterades en försenad underrättelse till drabbade användare.

PIPC fann också att ett av bolagets marknadsföringsprogram hade samlat in kundinformation utan giltigt samtycke, något som enligt myndighetens genomgång särskilt riktade sig mot omkring 11 miljoner användare. Ett kort exempel: ett program som personanpassar erbjudanden utan adekvat samtycke kan snabbt förvandla acceptabel databehandling till en integritetsöverträdelse när det kombineras med generella systembrister.

3. Sanktionsbeloppet och dess kontext

PIPC beslutade att utdöma en böter på 624,68 miljarder won, vilket motsvarar cirka 3,9 miljarder kronor. Beslutet har kallats den största sanktionsavgiften hittills i ett dataskyddsärende i Sydkorea.

Mastheads

Reuters har beräknat att bötesbeloppet motsvarar omkring 1,4 procent av Coupangs omsättning under 2025.

Myndighetens sanktionskalkyl kombinerade bedömningen av själva intrånget med överträdelsen kring otillåten datainsamling för marknadsföringssyften. I praktiken vägde PIPC företagets storlek och årsomsättning mot överträdelsens allvar för att komma fram till straffnivån. En tolkning är att kombinationen av tekniska brister och olaglig datainsamling multiplicerade ansvarsmassans tyngd i myndighetens ögon.

4. Företagets reaktion och rättsliga följd

Coupang har offentligt beklagat händelsen och meddelat att man avser att stärka sina säkerhetsrutiner. Samtidigt planerar bolaget att överklaga PIPC:s beslut och hävdar att bolagets förklaringar och efterhandsåtgärder inte beaktats fullt ut i myndighetens bedömning.

Företaget framhåller att känsligare uppgifter som betalnings- och inloggningsuppgifter inte läckt, vilket utgör en central del av deras försvar i överklagandet. I rapporteringen har det även förekommit uppgifter som pekar på en möjlig inblandning av en före detta anställd. Myndighetens skarpa fokus ligger dock på system- och processbrister snarare än på att peka ut enskilda gärningsmän.

5. Operativa konsekvenser för bolaget

Beslutet har konkreta operativa följder. För det första är den ekonomiska belastningen uppenbar i form av bötesbeloppet. För det andra pekar myndighetens kritik mot bolagets interna säkerhetsramverk och mot rutinerna för kundkommunikation vid incidenter. PIPC särskilt lyfte fram behovet av bättre åtkomstkontroller och robustare hantering av autentiseringsnycklar.

Det innebär att de åtgärder som nu krävs måste omfatta både tekniska uppgraderingar och förbättrade processer för incidenthantering. Coupang har sagt att bolaget planerar att uppgradera sina säkerhetssystem. Ett exempel på åtgärd kan vara att införa strängare nyckelhantering och flerloggade åtkomstkontroller tillsammans med snabbare och tydligare kundkommunikation vid framtida incidenter.

6. Påverkade parter och allmänintresset

Ärendet rör både konsumentskydd och konkurrensrättsliga dimensioner eftersom stora delar av befolkningen potentiellt berörs. För berörda kunder är det centralt att kunna få klarhet i exakt vilka uppgifter som exponerades och att de offentliga beskeden från företaget stämmer överens med rättsliga och tekniska klarlägganden framöver.

För andra företag, både svenska och internationella, är det en tydlig signal om att myndigheter kan väga in både tekniska brister och otillåten dataanvändning i sina sanktionskalkyler. I detta fall kombinerade PIPC tekniska säkerhetsbedömningar med en prövning av lagligheten i marknadsföringens datauppsamling, vilket ökade det totala sanktionsbeloppet. Ett kort scenario för leverantörer: om samma mönster av otillräcklig nyckelhantering och otillåten profilering hittas hos ett annat företag, kan myndighetsreaktionen bli betydligt mer kostsam än enbart kostnaden för tekniska rättningar.

Sammanfattningsvis, PIPC:s beslut skickar en dubbel signal: tekniska brister straffas och otillåten dataanvändning förstärker straffet. Det förändrar spelplanen för hur stora digitala plattformar måste prioritera både teknik och juridisk styrning för sin databehandling.

Related Articles

Det nästa konkreta steget i ärendet är att Coupang avser att överklaga PIPC:s beslut i domstol.

Den här artikeln har skapats med hjälp av AI.