Em resumo
A Personal Information Protection Commission coreana sancionou o National Center for the Rights of the Child, entidade pública, por uma série de violações relativas a dados pessoais particularmente delicados. O total é de 885,2 milhões de wons: 863 milhões de penalidades e 22,2 milhões de coimas administrativas.
O projeto que gerou o problema
Entre 2013 e 2022 a entidade digitalizou os arquivos em papel relativos a menores. O trabalho abrangeu mais de 1,17 milhões de fichas: cerca de 1,14 milhões sobre pessoas adotadas e cerca de 30.000 sobre crianças desaparecidas. Entre os dados tratados constavam números de registo de residentes — o equivalente coreano de um número nacional de identificação, mas com peso identificativo muito maior — conservados sem cifragem.
Os dados foram parar a dispositivos com proteções inadequadas, e a entidade não tinha controlos básicos para saber onde esses dispositivos estavam. A ausência dos suportes só emergiu por ocasião de verificações realizadas em 2024 e em 2026: dois anos de distância entre um dar-se conta e o seguinte.
Porque este caso vale mais do que uma coima qualquer
- São dados que acompanham uma pessoa a vida inteira: quem procura as suas origens, quem foi dado para adoção, uma família que perdeu um filho
- Não há forma de remediar: um número identificativo não se muda como uma palavra-passe, e um processo de adoção não volta a ser reservado depois de sair
- O responsável é uma entidade pública, ou seja, aquela a quem essas pessoas eram obrigadas a entregar os dados: não havia alternativa, não havia outro fornecedor
- A digitalização foi feita com uma finalidade boa — tornar os arquivos consultáveis — e isso não impediu nada
O projeto de digitalização é o momento de risco, não o arquivo
Um arquivo em papel fechado num armazém é lento e incómodo, mas também é difícil de levar em bloco. No momento em que se digitaliza, todo o conteúdo passa para suportes que se copiam, se deslocam e se perdem. O projeto de digitalização deve ser tratado como um tratamento próprio: avaliação de impacto, cifragem dos suportes, inventário nominativo dos dispositivos e uma reconciliação periódica que não espere dois anos.
As perguntas a fazer a um cliente que está a digitalizar
- Quem executa materialmente a digitalização: pessoal interno ou um fornecedor? Se for fornecedor, o acordo do art. 28.º cobre também o transporte e a guarda dos suportes?
- Onde residem os ficheiros durante o processamento, antes de chegarem ao sistema de destino? Esse é o arquivo temporário que ninguém põe no registo
- Os suportes amovíveis estão cifrados? A cifragem está verificada, ou é uma quadrícula assinalada num caderno de encargos?
- Existe um inventário dos dispositivos com um responsável por cada um, e de quanto em quanto tempo é reconciliado?
- O que acontece aos originais em papel no fim: destruição certificada, ou um armazém de que se perde a memória?
O montante da coima — cerca de 641.000 dólares — não é o essencial. O essencial é que uma entidade pública demorou dois anos a dar-se conta de que dispositivos com mais de um milhão de processos sensíveis não estavam onde deviam. O controlo que falta aqui não é tecnológico: é uma lista mantida atualizada por alguém que responde por ela.
Official source:Personal Information Protection Commission (Corea del Sud) - comunicati e decisioniLooking for a workspace for your DPO work?
DPO Workspace is built by a certified DPO. 30-day free trial.
Start free
