In breve
La Personal Information Protection Commission coreana ha sanzionato il National Center for the Rights of the Child, ente pubblico, per una serie di violazioni relative a dati personali particolarmente delicati. Il totale è di 885,2 milioni di won: 863 milioni di penalità e 22,2 milioni di sanzioni amministrative.
Il progetto che ha generato il problema
Fra il 2013 e il 2022 l'ente ha digitalizzato gli archivi cartacei relativi ai minori. Il lavoro ha riguardato oltre 1,17 milioni di schede: circa 1,14 milioni su persone adottate e circa 30.000 su bambini scomparsi. Fra i dati trattati figuravano numeri di registrazione dei residenti — l'equivalente coreano del codice fiscale, ma con un peso identificativo molto maggiore — conservati senza cifratura.
I dati sono finiti su dispositivi con protezioni inadeguate, e l'ente non aveva controlli di base per tracciare dove quei dispositivi si trovassero. L'assenza dei supporti è emersa soltanto in occasione di verifiche svolte nel 2024 e nel 2026: due anni di distanza fra un accorgersi e l'altro.
Perché questo caso vale più di una sanzione qualunque
- Sono dati che accompagnano una persona per tutta la vita: chi cerca le proprie origini, chi è stato dato in adozione, una famiglia che ha perso un figlio
- Non c'è modo di rimediare: un numero identificativo non si cambia come una password, e un fascicolo di adozione non si può rendere di nuovo riservato una volta uscito
- Il titolare è un ente pubblico, cioè il soggetto a cui quelle persone erano obbligate a consegnare i dati: non c'era alternativa, non c'era un altro fornitore
- La digitalizzazione è stata fatta per una finalità buona — rendere gli archivi consultabili — e questo non ha impedito nulla
Il progetto di digitalizzazione è il momento di rischio, non l'archivio
Un archivio cartaceo chiuso in un magazzino è lento e scomodo, ma è anche difficile da portare via in blocco. Nel momento in cui lo si digitalizza, tutto il contenuto passa su supporti che si copiano, si spostano e si perdono. Il progetto di digitalizzazione va trattato come un trattamento a sé: valutazione d'impatto, cifratura dei supporti, inventario nominativo dei dispositivi, e una riconciliazione periodica che non aspetti due anni.
Le domande da fare a un cliente che sta digitalizzando
- Chi materialmente esegue la scansione: personale interno o un fornitore? Se è un fornitore, c'è un accordo art. 28 che copre anche il trasporto e la custodia dei supporti?
- Dove risiedono i file durante la lavorazione, prima di finire nel sistema di destinazione? Quello è l'archivio temporaneo che nessuno mette nel registro
- I supporti mobili sono cifrati? La cifratura è verificata, o è una casella spuntata in un capitolato?
- Esiste un inventario dei dispositivi con un responsabile per ciascuno, e ogni quanto viene riconciliato?
- Cosa succede agli originali cartacei a fine progetto: distruzione certificata, o restano in un magazzino di cui si perde memoria?
L'entità economica della sanzione — circa 641.000 dollari — non è la parte importante. La parte importante è che un ente pubblico ha impiegato due anni per accorgersi che dei dispositivi con oltre un milione di fascicoli sensibili non erano dove dovevano essere. Il controllo che manca qui non è tecnologico: è un elenco tenuto aggiornato da qualcuno che risponde.
Fonte ufficiale:Personal Information Protection Commission (Corea del Sud) - comunicati e decisioniStai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
