L'Autorité polonaise de protection des données personnelles (UODO) a aujourd'hui publié une décision de sanction à l'encontre de la société Gyncentrum (comprenant le prononcé d'une amende de 40 000 zł, soit environ 9 250 €) pour des manquements en lien avec la gestion d'une violation de données personnelles.

Cette affaire trouve son origine dans l'envoi erroné, par un employé du centre médical de traitement contre l'infertilité, d'une confirmation de virement bancaire à une autre patiente portant le même prénom.

L’enquête menée par l’autorité a permis de constater :

* Obligation de notifier une violation de données à l'autorité de contrôle (article 33 du RGPD) : La société a transmis par erreur une confirmation de virement à une mauvaise destinataire. Ce document contenait des données d'identification (nom, prénom, numéro de compte bancaire, adresse) ainsi que des informations sur la santé de la patiente, à savoir le nom d'un examen génétique prénatal. L'autorité a estimé que le responsable du traitement avait mal évalué l'incident en considérant qu'il n'entraînait pas de risque pour les droits et libertés des personnes, alors que la divulgation de données de santé sensibles constituait une violation de la confidentialité présentant un risque élevé.

* Obligation de communiquer une violation de données à la personne concernée (article 34 du RGPD) : La patiente dont les données ont été divulguées n'a pas été informée de l'incident par le centre médical, mais par la personne ayant reçu le document par erreur. L'autorité a conclu que, le risque pour les droits et libertés étant jugé élevé, la société aurait dû communiquer la violation à la personne concernée sans retard excessif.

En conséquence, l’autorité a imposé une amende de 40 000 zł (soit environ 9 250 €) à Gyncentrum.

En outre, l’autorité a adressé un avertissement à la société pour ne pas avoir informé la personne concernée de la violation.