Kort fortalt
Den koreanske Personal Information Protection Commission har sanksjonert National Center for the Rights of the Child, et offentlig organ, for en rekke brudd som gjelder særlig følsomme personopplysninger. Til sammen 885,2 millioner won: 863 millioner i overtredelsesgebyr og 22,2 millioner i administrative bøter.
Prosjektet som skapte problemet
Mellom 2013 og 2022 digitaliserte etaten papirarkivene om mindreårige. Arbeidet omfattet mer enn 1,17 millioner mapper: rundt 1,14 millioner om adopterte og om lag 30 000 om savnede barn. Blant opplysningene som ble behandlet var registreringsnumre for innbyggere — det koreanske motstykket til et nasjonalt ID-nummer, men med langt større identifiserende kraft — lagret uten kryptering.
Opplysningene havnet på enheter med utilstrekkelig beskyttelse, og etaten manglet grunnleggende kontroller for å spore hvor enhetene var. At de manglet, kom først fram under kontroller i 2024 og i 2026: to år mellom den ene og den neste erkjennelsen.
Hvorfor denne saken veier mer enn et vanlig gebyr
- Dette er opplysninger som følger et menneske hele livet: den som leter etter sitt opphav, den som ble adoptert bort, en familie som mistet et barn
- Det finnes ingen bot: et identifikasjonsnummer byttes ikke som et passord, og en adopsjonsmappe blir ikke fortrolig igjen når den først er ute
- Behandlingsansvarlig er et offentlig organ — nettopp det disse menneskene var forpliktet til å gi opplysningene sine til. Ingen alternativ, ingen annen leverandør
- Digitaliseringen ble gjort i et godt formål — å gjøre arkivene tilgjengelige — og det hindret ingenting
Digitaliseringsprosjektet er risikoøyeblikket, ikke arkivet
Et papirarkiv innelåst i et lager er tregt og upraktisk, men også vanskelig å bære bort i sin helhet. I det øyeblikket det digitaliseres, flyttes hele innholdet over på medier som kopieres, flyttes og mistes. Digitaliseringsprosjektet bør behandles som en egen behandling: personvernkonsekvensvurdering, krypterte medier, en navngitt oversikt over enhetene, og en jevnlig avstemming som ikke venter i to år.
Spørsmålene til en kunde som digitaliserer
- Hvem skanner faktisk: egne ansatte eller en leverandør? Dekker databehandleravtalen også transport og oppbevaring av mediene?
- Hvor ligger filene under arbeidet, før de når målsystemet? Det er det midlertidige arkivet ingen fører i protokollen
- Er de flyttbare mediene krypterte? Er krypteringen verifisert, eller er det en avkrysset rute i en kravspesifikasjon?
- Finnes det en oversikt over enhetene med en ansvarlig for hver, og hvor ofte avstemmes den?
- Hva skjer med papiroriginalene til slutt: sertifisert destruksjon, eller et lager man glemmer?
Gebyrets størrelse — omkring 641 000 dollar — er ikke det viktige. Det viktige er at et offentlig organ brukte to år på å oppdage at enheter med over en million sensitive mapper ikke var der de skulle være. Kontrollen som mangler her, er ikke teknologisk: det er en liste noen holder oppdatert, og som noen svarer for.
Official source:Personal Information Protection Commission (Corea del Sud) - comunicati e decisioniLooking for a workspace for your DPO work?
DPO Workspace is built by a certified DPO. 30-day free trial.
Start free
