Un empleado del Servicio Nacional de Seguro de Salud de Corea del Sur (NHIS) fue despedido por vender ilegalmente datos personales de afiliados a terceros, pero las víctimas no recibieron ninguna notificación durante al menos tres meses tras el descubrimiento del incidente.
El caso salió a la luz durante una auditoría parlamentaria, cuando el legislador Kim Ki-woong, del Partido del Poder del Pueblo, reveló que el empleado había comercializado información de asegurados con partes externas no identificadas. El NHIS, organismo estatal que gestiona la cobertura de salud de prácticamente toda la población surcoreana, confirmó la desvinculación del funcionario, pero según se informó, los afectados aún no habían sido contactados al momento de hacerse público el caso. La denuncia fue reportada por la periodista Kim Ji-won.
Datos confirmados sobre el incidente en el NHIS
- Actor del incidente: empleado interno del NHIS, ya despedido.
- Tipo de dato comprometido: información personal de suscriptores del seguro de salud estatal.
- Destino de los datos: terceros externos; identidad no divulgada públicamente.
- Tiempo sin notificación a víctimas: al menos tres meses desde el descubrimiento.
- Canal de revelación: auditoría parlamentaria, no comunicación oficial del organismo.
Qué se sabe y qué falta confirmar
Está confirmado el despido del empleado y la existencia de la venta de datos, así como la omisión de notificación a los afectados durante el período señalado. Lo que permanece sin confirmar incluye el volumen exacto de registros comprometidos, la identidad de los compradores, el tipo específico de información de salud involucrada y si existe una investigación penal en curso. Tampoco se informó si el NHIS emitió algún plan de notificación posterior a la auditoría parlamentaria.
El patrón es relevante para la región: en América Latina, marcos como la Ley General de Protección de Datos de Brasil (LGPD) y la Ley 25.326 de Argentina establecen plazos de notificación a la autoridad de control —la ANPD en Brasil y la AAIP en Argentina— ante incidentes que puedan acarrear riesgo a los titulares. La LGPD fija un plazo de dos días hábiles para reportar a la ANPD desde el conocimiento del incidente, y en Argentina la Disposición AAIP 4/2019 exige comunicación “en el menor tiempo posible”. Un silencio de tres meses como el documentado en Corea habilitaría sanciones administrativas en ambos países. México, bajo la LFPDPPP, también impone al responsable el deber de informar a los titulares afectados de forma inmediata.
El próximo hito a seguir es si el NHIS emite una notificación formal a los afectados o si la auditoría parlamentaria deriva en una investigación regulatoria con plazo definido por la Comisión de Protección de Información Personal de Corea del Sur (PIPC).
