En bref
La Personal Information Protection Commission coréenne a sanctionné le National Center for the Rights of the Child, un organisme public, pour une série de manquements portant sur des données personnelles particulièrement délicates. Le total s'élève à 885,2 millions de wons : 863 millions de pénalités et 22,2 millions d'amendes administratives.
Le projet à l'origine du problème
Entre 2013 et 2022, l'organisme a numérisé ses archives papier relatives aux mineurs. Le chantier a porté sur plus de 1,17 million de dossiers : environ 1,14 million sur des personnes adoptées et quelque 30 000 sur des enfants disparus. Parmi les données traitées figuraient des numéros d'enregistrement des résidents — l'équivalent coréen d'un numéro national d'identité, mais au pouvoir identifiant bien supérieur — conservés sans chiffrement.
Les données ont fini sur des supports insuffisamment protégés, et l'organisme n'avait pas de contrôles élémentaires pour savoir où ces supports se trouvaient. Leur absence n'est apparue qu'à l'occasion de vérifications menées en 2024 puis en 2026 : deux ans entre une prise de conscience et la suivante.
Pourquoi ce dossier vaut plus qu'une sanction ordinaire
- Ce sont des données qui accompagnent une personne toute sa vie : celui qui cherche ses origines, celui qui a été confié à l'adoption, une famille qui a perdu un enfant
- Il n'y a pas de remède : un numéro d'identification ne se change pas comme un mot de passe, et un dossier d'adoption ne redevient pas confidentiel une fois sorti
- Le responsable est un organisme public, c'est-à-dire celui à qui ces personnes étaient obligées de remettre leurs données : pas d'alternative, pas d'autre fournisseur
- La numérisation a été faite dans un but louable — rendre les archives consultables — et cela n'a rien empêché
Le projet de numérisation est le moment du risque, pas l'archive
Une archive papier enfermée dans un entrepôt est lente et malcommode, mais elle est aussi difficile à emporter en bloc. Dès qu'on la numérise, tout le contenu passe sur des supports qui se copient, se déplacent et se perdent. Le projet de numérisation doit être traité comme un traitement à part entière : analyse d'impact, chiffrement des supports, inventaire nominatif des appareils et une réconciliation périodique qui n'attende pas deux ans.
Les questions à poser à un client qui numérise
- Qui exécute matériellement la numérisation : du personnel interne ou un prestataire ? Si c'est un prestataire, l'accord de l'art. 28 couvre-t-il aussi le transport et la garde des supports ?
- Où résident les fichiers pendant le traitement, avant d'arriver dans le système de destination ? C'est l'archive temporaire que personne ne met au registre
- Les supports amovibles sont-ils chiffrés ? Le chiffrement est-il vérifié, ou est-ce une case cochée dans un cahier des charges ?
- Existe-t-il un inventaire des appareils avec un responsable pour chacun, et à quelle fréquence est-il réconcilié ?
- Que deviennent les originaux papier à la fin : destruction certifiée, ou un entrepôt dont on perd la mémoire ?
Le montant de l'amende — environ 641 000 dollars — n'est pas l'essentiel. L'essentiel, c'est qu'un organisme public ait mis deux ans à s'apercevoir que des supports contenant plus d'un million de dossiers sensibles n'étaient pas là où ils devaient être. Le contrôle qui manque ici n'est pas technologique : c'est une liste tenue à jour par quelqu'un qui en répond.
Source officielle:Personal Information Protection Commission (Corea del Sud) - comunicati e decisioniVous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
