In het kort
De Koreaanse Personal Information Protection Commission heeft het National Center for the Rights of the Child, een overheidsinstantie, gesanctioneerd voor een reeks inbreuken met bijzonder gevoelige persoonsgegevens. Het totaal bedraagt 885,2 miljoen won: 863 miljoen aan boetes en 22,2 miljoen aan administratieve sancties.
Het project dat het probleem veroorzaakte
Tussen 2013 en 2022 digitaliseerde de instantie haar papieren dossiers over minderjarigen. Het werk betrof meer dan 1,17 miljoen dossiers: ongeveer 1,14 miljoen over geadopteerde personen en zo'n 30.000 over vermiste kinderen. Onder de verwerkte gegevens zaten bewonersregistratienummers — het Koreaanse equivalent van een nationaal identificatienummer, maar met veel groter identificerend gewicht — onversleuteld bewaard.
De gegevens belandden op onvoldoende beveiligde apparaten, en de instantie had geen basale controles om te volgen waar die apparaten zich bevonden. Dat ze ontbraken kwam pas aan het licht bij controles in 2024 en in 2026: twee jaar tussen het ene en het volgende inzicht.
Waarom deze zaak meer weegt dan een gewone boete
- Het zijn gegevens die iemand een leven lang volgen: wie zijn afkomst zoekt, wie ter adoptie is afgestaan, een gezin dat een kind verloor
- Er is geen herstel mogelijk: een identificatienummer verander je niet zoals een wachtwoord, en een adoptiedossier wordt niet opnieuw vertrouwelijk zodra het buiten is
- De verwerkingsverantwoordelijke is een overheidsinstantie — juist degene aan wie die mensen hun gegevens moesten afgeven. Geen alternatief, geen andere leverancier
- De digitalisering gebeurde met een goed doel — archieven raadpleegbaar maken — en dat heeft niets voorkomen
Het digitaliseringsproject is het risicomoment, niet het archief
Een papieren archief achter slot in een magazijn is traag en onhandig, maar ook moeilijk in zijn geheel weg te dragen. Zodra je het digitaliseert, gaat de hele inhoud over op dragers die gekopieerd, verplaatst en verloren worden. Behandel het digitaliseringsproject als een verwerking op zich: effectbeoordeling, versleutelde dragers, een inventaris van apparaten op naam, en een periodieke afstemming die geen twee jaar wacht.
Vragen voor een klant die aan het digitaliseren is
- Wie scant er feitelijk: eigen personeel of een leverancier? Dekt de verwerkersovereenkomst dan ook transport en bewaring van de dragers?
- Waar staan de bestanden tijdens de verwerking, vóór het doelsysteem? Dat is het tijdelijke archief dat niemand in het register zet
- Zijn de verwisselbare dragers versleuteld? Is die versleuteling geverifieerd, of is het een vinkje in een bestek?
- Bestaat er een apparateninventaris met per apparaat een verantwoordelijke, en hoe vaak wordt die afgestemd?
- Wat gebeurt er aan het eind met de papieren originelen: gecertificeerde vernietiging, of een magazijn dat men vergeet?
De omvang van de boete — zo'n 641.000 dollar — is niet het belangrijkste. Het belangrijkste is dat een overheidsinstantie er twee jaar over deed om te merken dat dragers met meer dan een miljoen gevoelige dossiers niet lagen waar ze hoorden. De ontbrekende controle is hier niet technologisch: het is een lijst die iemand bijhoudt en waarvoor iemand instaat.
Officiële bron:Personal Information Protection Commission (Corea del Sud) - comunicati e decisioniZoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
