L'autorité polonaise de protection des données (UODO) a publié une décision de sanction à l'encontre de la Fondation Lumus, comprenant le prononcé d'une amende de 22 920 PLN (environ 5 270 €), pour des manquements liés à la gestion d'une violation de données et à la désignation de son délégué à la protection des données. Cette affaire débute par une enquête d'office de l'autorité, initiée suite à des signalements d'organismes publics ayant reçu des documents non anonymisés contenant les données de bénéficiaires et de collaborateurs de la fondation dans le cadre d'une demande d'inscription sur une liste d'organisations autorisées à fournir une aide juridique gratuite.

L’enquête menée par l’autorité a permis de constater :
* Obligation de notifier une violation de données à l'autorité de contrôle (article 33, paragraphe 1 du RGPD) : La fondation n'a pas notifié dans le délai de 72 heures la divulgation non autorisée de données personnelles de 29 personnes, incluant des catégories particulières de données, à des administrations publiques. L'autorité a rejeté l'argument selon lequel le risque était faible car les destinataires étaient des institutions publiques, estimant que la fondation avait procédé à une évaluation subjective du risque sans considérer objectivement les conséquences pour les personnes concernées.

* Obligation de communiquer une violation de données à la personne concernée (article 34, paragraphe 1 du RGPD) : La fondation n'a pas informé sans retard injustifié les 29 personnes concernées par la violation de données. Cette communication n'a été effectuée que tardivement, suite aux interventions de l'autorité de contrôle au cours de la procédure.

* Obligation de garantir l'absence de conflit d'intérêts pour le délégué à la protection des données (article 38, paragraphe 6 du RGPD) : La fonction de délégué à la protection des données était exercée par un membre du conseil d'administration, devenu par la suite président de ce même conseil. L'autorité a considéré que cette situation créait un conflit d'intérêts, la personne en charge du contrôle de la conformité ne pouvant être la même que celle qui détermine les finalités et les moyens du traitement. L'analyse du conflit d'intérêts, validée par la personne concernée elle-même, a été jugée comme une preuve de ce manque d'indépendance.

* Obligation de publier les coordonnées du délégué et de notifier sa désignation (article 37, paragraphe 7 du RGPD) : La fondation n'a pas publié les coordonnées de son délégué à la protection des données et n'a pas notifié sa désignation à l'autorité de contrôle dans le délai légal de 14 jours. Ces obligations n'ont été remplies qu'en août 2025, après l'intervention de l'autorité.

En conséquence, l’autorité a imposé une amende de 22 920 PLN (environ 5 270 €) à la Fondation Lumus.

En outre, l’autorité a adressé un avertissement à la fondation pour le manquement à l'obligation d'informer les personnes concernées de la violation.