En resumen
La Personal Information Protection Commission coreana sancionó al National Center for the Rights of the Child, un organismo público, por una serie de infracciones relativas a datos personales especialmente delicados. El total es de 885,2 millones de wones: 863 millones en penalidades y 22,2 millones en sanciones administrativas.
El proyecto que generó el problema
Entre 2013 y 2022 el organismo digitalizó los archivos en papel relativos a menores. El trabajo abarcó más de 1,17 millones de fichas: unos 1,14 millones sobre personas adoptadas y unas 30.000 sobre niños desaparecidos. Entre los datos tratados figuraban números de registro de residentes —el equivalente coreano del número nacional de identidad, pero con un peso identificativo mucho mayor— conservados sin cifrar.
Los datos acabaron en dispositivos con protecciones inadecuadas, y el organismo carecía de controles básicos para rastrear dónde estaban esos dispositivos. La ausencia de los soportes emergió solo con motivo de verificaciones realizadas en 2024 y en 2026: dos años de distancia entre un darse cuenta y el siguiente.
Por qué este caso vale más que una sanción cualquiera
- Son datos que acompañan a una persona toda la vida: quien busca sus orígenes, quien fue dado en adopción, una familia que perdió a un hijo
- No hay forma de remediarlo: un número identificativo no se cambia como una contraseña, y un expediente de adopción no vuelve a ser reservado una vez que ha salido
- El responsable es un organismo público, es decir, aquel al que esas personas estaban obligadas a entregar sus datos: no había alternativa, no había otro proveedor
- La digitalización se hizo con una finalidad buena —hacer consultables los archivos— y eso no impidió nada
El proyecto de digitalización es el momento de riesgo, no el archivo
Un archivo en papel cerrado en un almacén es lento e incómodo, pero también es difícil de llevarse en bloque. En el momento en que se digitaliza, todo el contenido pasa a soportes que se copian, se mueven y se pierden. El proyecto de digitalización debe tratarse como un tratamiento propio: evaluación de impacto, cifrado de los soportes, inventario nominativo de los dispositivos y una reconciliación periódica que no espere dos años.
Las preguntas para un cliente que está digitalizando
- ¿Quién ejecuta materialmente el escaneo: personal interno o un proveedor? Si es un proveedor, ¿el acuerdo del art. 28 cubre también el transporte y la custodia de los soportes?
- ¿Dónde residen los archivos durante el proceso, antes de llegar al sistema de destino? Ese es el archivo temporal que nadie pone en el registro
- ¿Los soportes extraíbles están cifrados? ¿El cifrado está verificado o es una casilla marcada en un pliego?
- ¿Existe un inventario de los dispositivos con un responsable para cada uno, y cada cuánto se reconcilia?
- ¿Qué ocurre con los originales en papel al final: destrucción certificada, o un almacén del que se pierde memoria?
La cuantía de la sanción —unos 641.000 dólares— no es lo importante. Lo importante es que un organismo público tardó dos años en advertir que unos dispositivos con más de un millón de expedientes sensibles no estaban donde debían. El control que falta aquí no es tecnológico: es una lista mantenida al día por alguien que responde.
Fuente oficial:Personal Information Protection Commission (Corea del Sud) - comunicati e decisioni¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
