L'autorité polonaise de protection des données (UODO) a publié une décision de sanction à l'encontre du Commandant de la police municipale de Cracovie, comprenant le prononcé d'une amende de 78 000 PLN (environ 18 140 €), pour des manquements liés à la divulgation de données personnelles dans un communiqué de presse et à l'absence de supervision adéquate des processus de traitement.

Cette affaire a débuté par une notification de violation de données effectuée par le Commandant de la police lui-même, suivie d'une enquête d'office initiée par l'autorité.

L’enquête menée par l’autorité a permis de constater :

* Obligation de limitation des finalités et de minimisation des données (article 5 du RGPD) : Le Commandant a utilisé des données personnelles, y compris des catégories particulières de données relatives à la santé, collectées légalement dans le Système d'aide au commandement de la police (SWD) pour une finalité différente de celle d'origine. Ces informations ont été divulguées dans un communiqué de presse répondant à un reportage télévisé, alors que cette publication n'était pas nécessaire à l'accomplissement des missions légales de la police et contenait des informations excessives et sensibles qui n'étaient pas encore dans le domaine public.

* Obligation d'assurer la sécurité du traitement (article 32 du RGPD) et responsabilité du responsable du traitement (article 24 du RGPD) : L'autorité a constaté que l'équipe de presse traitait les données sans avoir préalablement réalisé d'analyse de risque pour les droits et libertés des personnes. Les mesures techniques et organisationnelles en place n'étaient ni régulièrement testées, ni évaluées quant à leur efficacité, ce qui a conduit à la violation, qualifiée par le responsable de traitement de "précipitation et inattention des employés".

En conséquence, l’autorité a imposé une amende de 78 000 PLN (environ 18 140 €) au Commandant de la police municipale de Cracovie.