L'Office de Protection des Données Personnelles polonais (UODO) a publié une décision de sanction à l'encontre de l'Inspection Sanitaire du District de Police, comprenant le prononcé d'une amende de 20 000 zlotys (environ 4 600 €), pour des manquements liés à la mise en œuvre et au contrôle des mesures de sécurité des données.

Cette affaire débute par la notification d'une violation de données par l'organisme lui-même en 2023, signalant la perte par un employé d'une clé USB privée, non chiffrée et non protégée par un mot de passe, contenant les données de 4 200 personnes, y compris des données de santé collectées jusqu'en 2021, ainsi que des informations relatives à 300 procédures administratives.

L’enquête menée par l’autorité a permis de constater :

* Obligation de garantir l'intégrité, la confidentialité et la responsabilité (article 5, paragraphe 1, point f) et paragraphe 2 du RGPD) : L'organisme avait interdit l'utilisation de supports de données externes privés, mais son analyse des risques, jugée trop générale, avait incorrectement estimé comme faible la probabilité qu'un employé enfreigne cette règle, n'entraînant aucune mesure de sécurité supplémentaire. L'autorité a estimé que cette analyse défaillante et l'absence de tests réguliers ont empêché la mise en place de mesures techniques appropriées, comme le blocage des ports USB, ce qui a directement conduit à l'incident. L'autorité a considéré cette négligence comme grave, soulignant que le responsable du traitement n'avait pas agi intentionnellement mais avait fait preuve d'omissions significatives.

En conséquence, l’autorité a imposé une amende de 20 000 zlotys (environ 4 600 €) à l'Inspection Sanitaire du District de Police.