En och en halv miljon adoptionshistorier på medier ingen längre hittade

Projektet som skapade problemet

Mellan 2013 och 2022 digitaliserade myndigheten sina pappersakter om underåriga. Arbetet omfattade mer än 1,17 miljoner akter: cirka 1,14 miljoner om adopterade personer och omkring 30 000 om försvunna barn. Bland uppgifterna som behandlades fanns registreringsnummer för invånare — den koreanska motsvarigheten till ett nationellt id-nummer, men med långt större identifierande tyngd — lagrade utan kryptering.

Uppgifterna hamnade på enheter med otillräckligt skydd, och myndigheten saknade grundläggande kontroller för att spåra var enheterna fanns. Att de saknades framkom först vid kontroller som gjordes 2024 och 2026: två år mellan den ena och den nästa insikten.

Varför det här fallet väger mer än en vanlig avgift

• Det är uppgifter som följer en människa hela livet: den som söker sitt ursprung, den som lämnades bort för adoption, en familj som förlorade ett barn
• Det finns ingen bot: ett identifikationsnummer byts inte som ett lösenord, och en adoptionsakt blir inte konfidentiell igen när den väl är ute
• Personuppgiftsansvarig är ett offentligt organ — just det som dessa människor var skyldiga att lämna sina uppgifter till. Inget alternativ, ingen annan leverantör
• Digitaliseringen gjordes i ett gott syfte — att göra arkiven sökbara — och det förhindrade ingenting

Frågorna till en kund som digitaliserar

• Vem skannar faktiskt: egen personal eller en leverantör? Täcker personuppgiftsbiträdesavtalet även transport och förvaring av medierna?
• Var ligger filerna under arbetet, innan de når målsystemet? Det är det tillfälliga arkiv ingen för in i registret
• Är de flyttbara medierna krypterade? Är krypteringen verifierad, eller är det en ikryssad ruta i ett förfrågningsunderlag?
• Finns en förteckning över enheterna med en ansvarig för var och en, och hur ofta stäms den av?
• Vad händer med pappersoriginalen till slut: certifierad destruktion, eller ett magasin som glöms bort?

Avgiftens storlek — omkring 641 000 dollar — är inte det viktiga. Det viktiga är att ett offentligt organ behövde två år för att märka att enheter med över en miljon känsliga akter inte fanns där de skulle. Kontrollen som saknas här är inte teknisk: det är en förteckning som någon håller aktuell och som någon svarar för.