Une fuite de données massive, concernant plus de 1,17 million de dossiers d'enfants disparus et de personnes adoptées, a été causée par une gestion défaillante de supports de stockage amovibles par un organisme public. L'absence de chiffrement des données et le manquement aux obligations de notification ont aggravé la situation.

Faits et contexte

L'autorité sud-coréenne, la Commission de protection des informations personnelles (PIPC), a publié le 27 août 2026 une décision de sanction à l'encontre du Centre national pour les droits de l'enfant (CNDE), comprenant le prononcé d'une amende de 832 700 000 wons sud-coréens (environ 562 600 €), pour de multiples manquements ayant conduit à la fuite de données de plus d'un million de personnes.

L'affaire a débuté suite à une enquête interne au sein du CNDE, menée en raison de soupçons sur la gestion de ses projets de numérisation, qui a révélé la disparition de supports de stockage contenant des données personnelles.

Motifs de la décision

L'autorité a retenu plusieurs violations de la loi sur la protection des informations personnelles :

• Obligation de sécurité des données (équivalent de l'article 32 du RGPD) : Le CNDE a manqué à son obligation d'assurer la sécurité des données en ne mettant en place aucune mesure de sécurité physique adéquate pour les supports de stockage amovibles (disques durs externes, CD) qui étaient simplement conservés dans des armoires ou des tiroirs de bureau. De plus, les numéros d'identification nationaux, stockés sur ces supports, n'étaient pas chiffrés, ce qui rendait les données facilement accessibles en cas de perte ou de vol.
• Obligation d'encadrer le traitement par un sous-traitant (équivalent de l'article 28 du RGPD) : L'autorité a constaté que le CNDE avait manqué à son devoir de supervision et de contrôle du sous-traitant chargé des opérations de numérisation des dossiers. Cette négligence, notamment dans la gestion des livrables contenant les données numérisées, a directement contribué aux failles de sécurité.
• Obligation de notification des violations de données (équivalent de l'article 33 du RGPD) : Bien qu'ayant pris connaissance de la perte d'un CD contenant les données numérisées entre 2013 et 2018 et d'un disque dur externe contenant celles de 2020, le CNDE n'a pas procédé à la notification de ces violations à l'autorité de contrôle et aux personnes concernées dans le délai légal de 72 heures.
• Obligation de garantir la sécurité via le contrôle d'accès : Il a été établi que le CNDE avait partagé les comptes d'accès au système de ses propres employés avec le personnel du sous-traitant, ce qui constitue une violation des mesures de sécurité fondamentales en matière de gestion des accès.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 832 700 000 wons sud-coréens (environ 562 600 €) au Centre national pour les droits de l'enfant.

En outre, l'autorité a ordonné au CNDE de prendre des mesures correctives, a recommandé l'engagement de procédures disciplinaires à l'encontre des responsables et a ordonné la publication de la décision. Une recommandation a également été adressée au Ministère de la Santé et de la Protection sociale pour qu'il améliore sa supervision du CNDE.

Enseignements

Cette décision rappelle que :

• La gestion des supports de stockage amovibles (clés USB, disques durs externes, CD) doit faire l'objet d'une politique de sécurité stricte, incluant un registre des entrées/sorties, la désignation de responsables et des conditions de stockage physiques sécurisées.
• Le chiffrement des données personnelles, en particulier des données sensibles ou des identifiants uniques, stockées sur des supports amovibles ou portables, constitue une mesure de sécurité technique essentielle.
• La supervision d'un sous-traitant ne se limite pas à la signature d'un contrat ; elle impose un contrôle effectif et régulier de ses pratiques de sécurité, y compris la gestion des accès qu'il a aux systèmes d'information du responsable de traitement.
• Le partage de comptes d'accès nominatifs entre le personnel interne et des prestataires externes est une pratique à proscrire, car elle anéantit la traçabilité des actions et constitue une faille de sécurité critique.