Kurz gefasst
Die koreanische Personal Information Protection Commission hat das National Center for the Rights of the Child, eine öffentliche Stelle, wegen einer Reihe von Verstößen im Umgang mit besonders sensiblen personenbezogenen Daten sanktioniert. Insgesamt 885,2 Millionen Won: 863 Millionen an Strafzahlungen und 22,2 Millionen an Bußgeldern.
Das Projekt, das das Problem erzeugt hat
Zwischen 2013 und 2022 digitalisierte die Stelle ihre Papierakten zu Minderjährigen. Betroffen waren mehr als 1,17 Millionen Akten: rund 1,14 Millionen zu adoptierten Personen und etwa 30.000 zu vermissten Kindern. Zu den verarbeiteten Daten zählten Einwohnerregisternummern — das koreanische Gegenstück zu einer nationalen Kennnummer, jedoch mit weit größerer Identifikationskraft — unverschlüsselt gespeichert.
Die Daten landeten auf unzureichend geschützten Geräten, und die Stelle hatte keine grundlegenden Kontrollen, um den Verbleib dieser Geräte nachzuvollziehen. Dass sie fehlten, trat erst bei Prüfungen 2024 und 2026 zutage: zwei Jahre zwischen der einen und der nächsten Erkenntnis.
Warum dieser Fall mehr wiegt als ein gewöhnliches Bußgeld
- Es sind Daten, die einen Menschen lebenslang begleiten: wer seine Herkunft sucht, wer zur Adoption freigegeben wurde, eine Familie, die ein Kind verloren hat
- Es gibt keine Abhilfe: eine Kennnummer lässt sich nicht wie ein Passwort ändern, und eine Adoptionsakte wird nicht wieder vertraulich, wenn sie einmal draußen ist
- Verantwortlich ist eine öffentliche Stelle — genau jene, der diese Menschen ihre Daten geben mussten. Keine Alternative, kein anderer Anbieter
- Die Digitalisierung erfolgte zu einem guten Zweck — die Archive nutzbar zu machen — und verhindert hat das nichts
Das Digitalisierungsprojekt ist der Risikomoment, nicht das Archiv
Ein im Lager verschlossenes Papierarchiv ist langsam und unbequem, aber auch schwer im Ganzen fortzuschaffen. Sobald man es digitalisiert, wandert der gesamte Inhalt auf Medien, die kopiert, bewegt und verloren werden. Das Digitalisierungsprojekt gehört als eigene Verarbeitung behandelt: Folgenabschätzung, verschlüsselte Datenträger, ein namentliches Geräteverzeichnis und ein regelmäßiger Abgleich, der nicht zwei Jahre wartet.
Fragen an einen Mandanten, der gerade digitalisiert
- Wer scannt tatsächlich: eigenes Personal oder ein Dienstleister? Deckt der Vertrag nach Art. 28 auch Transport und Verwahrung der Datenträger ab?
- Wo liegen die Dateien während der Bearbeitung, bevor sie im Zielsystem ankommen? Das ist das temporäre Archiv, das niemand ins Verzeichnis schreibt
- Sind die Wechseldatenträger verschlüsselt? Ist die Verschlüsselung geprüft, oder ein Kreuzchen im Leistungsverzeichnis?
- Gibt es ein Geräteverzeichnis mit je einer verantwortlichen Person, und wie oft wird es abgeglichen?
- Was geschieht am Ende mit den Papieroriginalen: zertifizierte Vernichtung, oder ein Lager, das in Vergessenheit gerät?
Die Höhe des Bußgelds — rund 641.000 US-Dollar — ist nicht das Entscheidende. Entscheidend ist, dass eine öffentliche Stelle zwei Jahre brauchte, um zu bemerken, dass Datenträger mit über einer Million sensibler Akten nicht dort waren, wo sie sein sollten. Die fehlende Kontrolle ist hier keine technische: Es ist eine Liste, die jemand aktuell hält und für die jemand geradesteht.
Offizielle Quelle:Personal Information Protection Commission (Corea del Sud) - comunicati e decisioniSuchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
