Fin 2025, le site sud-coréen de commerce en ligne Coupang a été victime d’un accès illégal à des données d’utilisateurs. L’entreprise avait initialement affirmé qu’aucun utilisateur taïwanais n’était concerné, mais une expertise numérique menée par une tierce partie à la demande du ministère du Numérique a établi que les données de plus de 200 000 personnes à Taïwan avaient été exposées. L’enquête a notamment révélé que les bases de données de Coupang en Corée du Sud et à Taïwan, pourtant présentées comme séparées, utilisaient la même clé de sauvegarde, rendant cette séparation largement inefficace.

La Fondation des consommateurs de Taïwan (消基會) estime que l’incident met en évidence trois failles majeures : les clés de sauvegarde partagées entre régions, les droits d’accès d’anciens employés et les procédures de notification des fuites. Selon la réglementation actuelle, les entreprises doivent signaler une fuite au ministère du Numérique dans les 72 heures, mais les autorités taïwanaises disposent de moyens limités pour agir directement contre une société basée en Corée du Sud.

La secrétaire générale de la Fondation, Chen Ya-ping (陳雅萍), estime qu’une autorité indépendante permettrait d’unifier les contrôles, les audits et les sanctions en matière de protection des données :  « Si l’on dispose d’un organisme spécialisé et indépendant, celui-ci sera plus compétent pour protéger, contrôler, auditionner voire imposer des sanctions. Mais actuellement, ce sont les différentes autorités compétentes qui régissent leurs propres secteurs d’activité. Il n’existe pas de système de supervision complet, ce qui conduit à des niveaux de gestion des données et de rigueur variables selon les secteurs, et entraîne de nombreux cas de fuites de données personnelles. » 

La Fondation demande au gouvernement d’accélérer la création de la Commission de protection des données personnelles et recommande aux entreprises de stocker les données à Taïwan ; elle préconise également une communication transparente en cas de fuite, des indemnisations concrètes, des mécanismes de réponse rapide et une formation renforcée du personnel à la cybersécurité.
Enfin, elle conseille aux consommateurs de vérifier les politiques de confidentialité et conditions d’utilisation avant de fournir leurs données, et de tenir compte des difficultés de recours lorsque l’entreprise ne possède pas de filiale physique à Taïwan.

Aujourd’hui, Coupang a répondu dans un communiqué de presse apportant des précisions sur la gestion de l’incident, et affirmant que la clé de la protection des droits des consommateurs réside dans la capacité de l’entreprise à assumer une responsabilité juridique claire à Taïwan, et non dans le lieu physique de stockage des données. Coupang estime que la création d’une entité juridique physique à Taïwan par les entreprises multinationales permet aux consommateurs, lorsque leurs droits sont lésés, de disposer d’un sujet de responsabilité clair auprès duquel ils peuvent déposer plainte et faire valoir leurs droits ; elle permet également aux autorités compétentes, en cas d’incident, d’avoir un interlocuteur précis qu’elles peuvent contrôler et tenir pour responsable conformément à la loi.