I korthet
Den koreanska Personal Information Protection Commission har sanktionerat National Center for the Rights of the Child, ett offentligt organ, för en rad överträdelser som rör särskilt känsliga personuppgifter. Totalt 885,2 miljoner won: 863 miljoner i sanktionsavgifter och 22,2 miljoner i administrativa böter.
Projektet som skapade problemet
Mellan 2013 och 2022 digitaliserade myndigheten sina pappersakter om underåriga. Arbetet omfattade mer än 1,17 miljoner akter: cirka 1,14 miljoner om adopterade personer och omkring 30 000 om försvunna barn. Bland uppgifterna som behandlades fanns registreringsnummer för invånare — den koreanska motsvarigheten till ett nationellt id-nummer, men med långt större identifierande tyngd — lagrade utan kryptering.
Uppgifterna hamnade på enheter med otillräckligt skydd, och myndigheten saknade grundläggande kontroller för att spåra var enheterna fanns. Att de saknades framkom först vid kontroller som gjordes 2024 och 2026: två år mellan den ena och den nästa insikten.
Varför det här fallet väger mer än en vanlig avgift
- Det är uppgifter som följer en människa hela livet: den som söker sitt ursprung, den som lämnades bort för adoption, en familj som förlorade ett barn
- Det finns ingen bot: ett identifikationsnummer byts inte som ett lösenord, och en adoptionsakt blir inte konfidentiell igen när den väl är ute
- Personuppgiftsansvarig är ett offentligt organ — just det som dessa människor var skyldiga att lämna sina uppgifter till. Inget alternativ, ingen annan leverantör
- Digitaliseringen gjordes i ett gott syfte — att göra arkiven sökbara — och det förhindrade ingenting
Digitaliseringsprojektet är riskögonblicket, inte arkivet
Ett pappersarkiv inlåst i ett magasin är långsamt och obekvämt, men också svårt att bära bort i sin helhet. I samma stund det digitaliseras flyttas hela innehållet till medier som kopieras, flyttas och tappas bort. Digitaliseringsprojektet bör behandlas som en egen behandling: konsekvensbedömning, krypterade medier, en namngiven förteckning över enheterna, och en återkommande avstämning som inte väntar i två år.
Frågorna till en kund som digitaliserar
- Vem skannar faktiskt: egen personal eller en leverantör? Täcker personuppgiftsbiträdesavtalet även transport och förvaring av medierna?
- Var ligger filerna under arbetet, innan de når målsystemet? Det är det tillfälliga arkiv ingen för in i registret
- Är de flyttbara medierna krypterade? Är krypteringen verifierad, eller är det en ikryssad ruta i ett förfrågningsunderlag?
- Finns en förteckning över enheterna med en ansvarig för var och en, och hur ofta stäms den av?
- Vad händer med pappersoriginalen till slut: certifierad destruktion, eller ett magasin som glöms bort?
Avgiftens storlek — omkring 641 000 dollar — är inte det viktiga. Det viktiga är att ett offentligt organ behövde två år för att märka att enheter med över en miljon känsliga akter inte fanns där de skulle. Kontrollen som saknas här är inte teknisk: det är en förteckning som någon håller aktuell och som någon svarar för.
Officiell källa:Personal Information Protection Commission (Corea del Sud) - comunicati e decisioniSöker du ett verktyg för ditt arbete som dataskyddsombud?
DPO Workspace är byggt av ett certifierat dataskyddsombud. 30 dagar gratis.
Börja gratis
