Suite à une fuite de données chez un fournisseur de système de dossiers médicaux électroniques, l'autorité polonaise de protection des données (UODO) rappelle aux responsables de traitement leurs obligations en matière de notification de violation.

Cette communication intervient après des révélations médiatiques sur une fuite de données personnelles concernant près de 19 millions de Polonais chez MyDr, un fournisseur de système de Documentation Médicale Électronique. L'autorité souligne que les responsables de traitement utilisant ce sous-traitant doivent d'abord obtenir de ce dernier la confirmation que l'incident concerne bien les données qu'ils lui ont confiées. Ils doivent ensuite analyser le risque pour les droits et libertés des personnes physiques afin de déterminer si une notification à l'UODO est requise, conformément à l'article 33 paragraphe 1 du RGPD, dans un délai de 72 heures après avoir pris connaissance de la violation. Si la violation est susceptible d'engendrer un risque élevé, le responsable de traitement doit également en informer sans délai les personnes concernées, comme le prévoit l'article 34 du RGPD. Cette notification doit notamment décrire la nature de la violation, les conséquences possibles, comme le risque d'usurpation d'identité ou de discrimination, et les mesures prises ou proposées pour y remédier, telles que la recommandation de bloquer un numéro d'identification national (PESEL) ou de recourir à un soutien psychologique.