La Cour administrative suprême de Pologne a confirmé la décision de l'autorité polonaise de protection des données (UODO) sanctionnant une coopérative de logement pour ne pas avoir notifié une violation de données. Cette décision finale clarifie que la divulgation de données d'identité et d'adresse constitue un risque élevé pour la personne concernée et confirme qu'une coopérative de logement est considérée comme une "entreprise" pour le calcul des amendes au sens du RGPD.

Faits et contexte

L'autorité polonaise de protection des données (UODO - Urząd Ochrony Danych Osobowych) a publié une décision de la Cour administrative suprême confirmant une sanction à l'encontre d'une coopérative de logement, comprenant une amende de près de 52 000 zlotys (environ 12 000 €), pour des manquements liés à la gestion d'une violation de données personnelles.

L'affaire découle d'une violation de données au sein de la coopérative, qui a divulgué une copie d'un signalement de suspicion d'infraction contenant les données personnelles d'un de ses membres, dans le cadre d'un litige entre eux.

Motifs de la décision

Après une première annulation de la décision de l'UODO par le Tribunal administratif de voïvodie, la Cour administrative suprême a finalement donné raison à l'autorité de contrôle sur les points suivants :

• Obligation de notifier une violation de données à l'autorité de contrôle (article 33 du RGPD) : La coopérative n'a pas notifié la violation à l'UODO dans le délai de 72 heures, se contentant de l'inscrire dans son registre interne. L'autorité, dont le raisonnement a été validé par la Cour, a jugé que la divulgation de données telles que le numéro d'identification national (PESEL), le nom, le prénom et l'adresse de résidence constituait un risque élevé pour les droits et libertés de la personne concernée. Le responsable du traitement n'ayant pu présenter aucune analyse de risque documentée pour justifier sa conclusion d'un risque faible, il ne pouvait se prévaloir de l'exception à l'obligation de notification.
• Obligation de communiquer une violation de données à la personne concernée (article 34 du RGPD) : Conséquence directe de l'analyse de risque, la Cour a confirmé que la violation était susceptible d'engendrer un risque élevé pour les droits et libertés de la personne. De ce fait, le responsable du traitement aurait dû en informer la personne concernée sans délai, ce qu'il n'a pas fait.
• Principes de fixation des amendes administratives (article 83 du RGPD) : La Cour administrative suprême a infirmé le jugement de première instance qui remettait en cause la qualification de la coopérative de logement en tant qu'"entreprise" au sens du RGPD. Elle a confirmé que l'autorité de contrôle avait correctement calculé le montant de l'amende en se basant sur les plafonds prévus au paragraphe 4 de cette disposition, applicables aux entreprises.

Décision de l'autorité

En conséquence, l'amende de près de 52 000 zlotys (environ 12 000 €) imposée à la coopérative de logement a été confirmée.

En outre, la décision initiale de l'autorité, également confirmée, ordonnait à la coopérative de communiquer la violation de données à la personne concernée.

Enseignements

Cette décision rappelle que :

• La charge de la preuve de l'absence de risque justifiant une non-notification repose sur le responsable du traitement, qui doit formaliser son analyse de risque en se concentrant sur les menaces pour la personne concernée et non sur ses propres intérêts.
• La divulgation non autorisée de données d'identification de base (nom, adresse, numéro d'identification national) est susceptible de constituer un risque élevé pour la personne concernée, justifiant une notification à l'autorité et à la personne.
• La notion d'"entreprise" au sens de l'article 83 du RGPD pour le calcul des amendes peut inclure des entités telles que les coopératives de logement, indépendamment de leur statut juridique spécifique en droit national.
• L'inscription d'une violation dans le registre interne est une obligation distincte et ne dispense pas des obligations de notification externe (autorité et personne concernée) dès lors que les seuils de risque respectifs sont atteints.