L'autorité polonaise de protection des données (UODO) a publié une décision de sanction à l'encontre de DPD Polska sp. z o.o., comprenant le prononcé d'une amende de 11 460 000 PLN (environ 2 677 570 €), pour des manquements en lien avec la gestion de ses sous-traitants et l'habilitation de ses employés au traitement des données. Cette affaire débute par une procédure administrative initiée d'office par l'autorité, faisant suite à un contrôle mené dans les locaux de la société.

L’enquête menée par l’autorité a permis de constater :
* Obligation de recourir à des sous-traitants présentant des garanties suffisantes (article 28 du RGPD) : La société a fait appel à des transporteurs externes pour acheminer des colis entre ses agences sans conclure avec eux de contrat de sous-traitance. L'entreprise estimait que la prestation de transport n'impliquait pas de traitement de données, mais l'autorité a jugé que ces transporteurs avaient accès aux données personnelles figurant sur les étiquettes d'adresse lors du chargement et du déchargement des colis, et qu'ils effectuaient le transport dans des véhicules sur lesquels la société n'avait aucun droit d'usage.

* Obligation de traiter les données sur instruction du responsable du traitement et d'assurer la sécurité du traitement (articles 29, 32 et 24 du RGPD) : La société n'a pas correctement habilité ses employés à traiter des données personnelles. Le processus reposait sur un système automatisé qui, après une formation en ligne et la réussite d'un test, générait un fichier. L'autorité a considéré que ce document ne constituait pas une habilitation valide car il ne contenait ni le nom de l'employé, ni la signature de la personne accordant l'autorisation, en violation de la propre politique de protection des données de l'entreprise.

En conséquence, l’autorité a imposé une amende de 11 460 000 PLN (environ 2 677 570 €) à DPD Polska sp. z o.o.