Półtora miliona historii adopcyjnych na nośnikach, których nikt już nie potrafił zlokalizować

Projekt, który wygenerował problem

W latach 2013–2022 instytucja zdigitalizowała papierowe archiwa dotyczące małoletnich. Prace objęły ponad 1,17 miliona akt: około 1,14 miliona o osobach adoptowanych i około 30 000 o zaginionych dzieciach. Wśród przetwarzanych danych były numery rejestru mieszkańców — koreański odpowiednik krajowego numeru identyfikacyjnego, lecz o znacznie większej sile identyfikującej — przechowywane bez szyfrowania.

Dane trafiły na urządzenia o niewystarczających zabezpieczeniach, a instytucja nie miała podstawowych mechanizmów śledzenia, gdzie te urządzenia się znajdują. Brak nośników wyszedł na jaw dopiero przy kontrolach przeprowadzonych w 2024 i 2026 r.: dwa lata odstępu między jednym a drugim odkryciem.

Dlaczego ta sprawa waży więcej niż zwykła kara

• To dane, które towarzyszą człowiekowi całe życie: ktoś szukający swoich korzeni, ktoś oddany do adopcji, rodzina, która straciła dziecko
• Nie da się tego naprawić: numeru identyfikacyjnego nie zmienia się jak hasła, a akta adopcyjne raz ujawnione nie wracają do poufności
• Administratorem jest instytucja publiczna, czyli ta, której te osoby musiały przekazać dane: nie było alternatywy ani innego dostawcy
• Digitalizację przeprowadzono w dobrym celu — by archiwa dały się przeglądać — i to niczemu nie zapobiegło

Pytania do klienta, który właśnie digitalizuje

• Kto fizycznie skanuje: personel wewnętrzny czy dostawca? Jeśli dostawca, czy umowa z art. 28 obejmuje też transport i przechowywanie nośników?
• Gdzie znajdują się pliki w trakcie obróbki, zanim trafią do systemu docelowego? To właśnie to archiwum tymczasowe, którego nikt nie wpisuje do rejestru
• Czy nośniki wymienne są szyfrowane? Czy szyfrowanie jest zweryfikowane, czy to odhaczona rubryka w specyfikacji?
• Czy istnieje ewidencja urządzeń z osobą odpowiedzialną za każde i jak często jest uzgadniana?
• Co dzieje się z papierowymi oryginałami po zakończeniu: certyfikowane zniszczenie, czy magazyn, o którym się zapomina?

Wysokość kary — około 641 000 dolarów — nie jest tu najważniejsza. Najważniejsze jest, że instytucji publicznej zajęło dwa lata zauważenie, że urządzenia z ponad milionem wrażliwych akt nie są tam, gdzie powinny. Brakująca kontrola nie jest tu technologiczna: to lista utrzymywana na bieżąco przez kogoś, kto za nią odpowiada.