L’autorité polonaise de protection des données a publié une décision de sanction à l’encontre d’un huissier de justice, comprenant le prononcé d’une amende de 20 900 € (environ 97 000 PLN) pour des manquements liés à la notification tardive d’une violation de données personnelles et au défaut d’information de la personne concernée.

Cette affaire débute par la réception d’une notification d’une personne ayant reçu par erreur un courrier destiné à un tiers, contenant des données personnelles telles que nom, numéro d’identification national (PESEL), adresse et montant saisi. Cette personne a également alerté l’huissier, craignant que d’autres envois erronés aient pu avoir lieu.

L’enquête menée par l’autorité a permis de constater :

* Obligation de notification sans délai de la violation à l’autorité de contrôle (article 33 du RGPD) : L’huissier n’a pas informé le président de l’autorité de protection des données (UODO) de la violation, estimant à tort que le risque pour les droits et libertés des personnes concernées était faible, sans avoir réalisé d’analyse préalable des risques.

* Obligation d’informer la personne concernée de la violation (article 34 du RGPD) : L’huissier n’a pas non plus averti la personne dont les données ont été exposées, privant cette dernière de la possibilité de prendre des mesures de protection.

L’autorité a souligné que la notion de « faible probabilité » de risque doit être interprétée strictement, impliquant l’absence quasi totale de risque réel. En l’espèce, la divulgation du numéro PESEL exposait à un risque élevé de préjudice, notamment de fraudes financières, comme en témoignent les nombreuses tentatives d’escroquerie par crédit enregistrées en Pologne en 2023 et 2024. L’analyse des risques aurait dû être effectuée avant toute décision de non-notification.

En conséquence, l’autorité a imposé une amende de 20 900 € à l’huissier de justice.

En outre, l’autorité a ordonné à l’huissier de notifier immédiatement la personne concernée de la violation.