L'autorité polonaise de protection des données (UODO) a organisé une conférence portant sur les interactions entre le RGPD, la directive NIS2 et le système national de cybersécurité (KSC).
Le 20 juillet, une conférence organisée par l'autorité polonaise de protection des données (UODO) a réuni près de 1 500 participants pour discuter des relations entre le RGPD, la directive NIS2 et le système national de cybersécurité (KSC). Le vice-président de l'UODO a souligné que la Pologne est le pays le plus visé par les cyberattaques en Europe, avec 270 000 incidents signalés l'année dernière, soit une augmentation de 150 % par rapport à 2024. Il a rappelé que la protection des données est indissociable de la cybersécurité et que la directive NIS2 instaure une responsabilité directe pour les dirigeants des entités concernées.

Un premier débat a porté sur la vérification des antécédents judiciaires des candidats et employés. Les experts ont relevé l'ambiguïté des articles 8 et 11 de la loi sur le KSC, qui autorisent cette vérification pour les personnes effectuant des tâches spécifiques. Il est donc nécessaire pour les entités concernées de cartographier précisément ces tâches et le personnel associé avant de collecter de telles données. La discussion a également soulevé des questions sur le degré d'implication requis pour justifier cette vérification et sur l'équilibre à trouver entre le RGPD, le KSC et le code du travail.

La gestion des incidents a fait l'objet d'un deuxième panel, qui a mis en lumière la faible sensibilisation aux obligations de cybersécurité dans le secteur de l'énergie, malgré la sensibilité des données traitées. Il a été rappelé qu'un incident de cybersécurité constitue souvent une violation de données au sens du RGPD, et que le Centre national de réponse aux incidents de cybersécurité (CSIRT NASK) incite les notifiants à évaluer cet aspect. L'importance de signaler également les cyberattaques aux autorités pénales a été soulignée.

Un troisième échange a traité de la cyber-résilience comme un effort collectif. Les intervenants ont insisté sur le fait que la cybersécurité ne doit pas être déléguée uniquement aux services informatiques mais doit impliquer l'ensemble de l'organisation, en particulier la direction. Il a été recommandé de présenter la cybersécurité comme un investissement plutôt qu'un coût, et de renforcer le facteur humain par la formation et des procédures claires et appliquées.

Le dernier panel s'est concentré sur la position du délégué à la protection des données (DPD). Face aux nouvelles réglementations du paquet numérique, les DPD font face à des défis croissants nécessitant des ressources supplémentaires. Les participants ont convenu que la conformité au KSC exige des équipes interdisciplinaires et que le DPD ne devrait pas coordonner ces équipes pour éviter tout conflit d'intérêts, son rôle devant rester consultatif.