韩国PIPC对儿童权利中心处以8.852亿韩元罚款：117万条个人数据因外包数字化项目失管

调查起因是NCRC在2013年至2022年间开展的档案数字化项目。该项目将收养记录与失踪儿童受理卡转换为电子格式，由第三方承包商具体实施。PIPC查明，项目期间发生多起数据泄露与存储介质外流，累计涉及超过117万条个人数据记录，数据主体包括被收养人与失踪儿童及其亲属，属于高度敏感群体。

监管机构认定的违法点集中在三条主线：一是未落实必要的物理与技术安全措施，未对居民登记号等唯一识别信息加密，也未对移动存储介质采取访问控制；二是未对第三方承包商实施有效监督，外包环节成为数据保护责任链条的断点；三是发现泄露后未在法定期限内通知受影响的数据主体，违反PIPA项下的泄露通报义务。

除罚款外，PIPC还要求NCRC建立覆盖外包项目的个人信息处理台账、完善存储介质领用与销毁流程，并定期开展员工个人信息保护培训。此案对承接公共部门数字化项目的外包服务商具有直接警示意义：委托处理不转移合规责任，公共机构仍须对承包商的访问控制、加密与事件报告承担监督责任。