L'autorité polonaise de protection des données (UODO) a formé un pourvoi en cassation contre une décision du Tribunal administratif de Varsovie annulant sa sanction à l'encontre du Ministère de la Santé pour la divulgation de données de santé par le ministre.

L'affaire fait suite à la publication en août 2023, sur le portail X, de données de santé concernant un médecin par le Ministre de la Santé de l'époque. Ces informations, qualifiées de catégories particulières de données au sens du RGPD, provenaient du Système d'Information Médical. En décembre 2023, l'UODO avait infligé une amende administrative de 100 000 zł (environ 23 000 €) au Ministère de la Santé. Le 2 mars 2026, le tribunal administratif a annulé cette sanction, se basant sur une condamnation pénale de septembre 2025 qui reconnaissait la culpabilité de la personne physique du ministre pour abus de pouvoir. Le tribunal a ainsi jugé que la responsabilité du manquement incombait à l'individu et non à l'organe administratif.

Dans son pourvoi, le Président de l'UODO conteste cette analyse, arguant que le tribunal a confondu la responsabilité pénale d'une personne physique avec la responsabilité administrative du responsable de traitement, deux régimes distincts et parallèles. Il soutient que le Ministère de la Santé demeure le responsable de traitement au sens de l'article 4 point 7 du RGPD, et que la condamnation pénale de son représentant n'exonère pas l'entité de sa propre responsabilité pour la violation de l'article 9 du RGPD. L'UODO souligne que cette responsabilité couvre l'ensemble du traitement, y compris les mesures de sécurité et la réponse à l'incident. Accepter la position du tribunal créerait une brèche systémique, permettant aux organismes publics d'éluder leurs obligations en matière de protection des données en se défaussant sur les actions individuelles de leurs agents.