La Cour administrative suprême polonaise a confirmé une décision de l'autorité polonaise de protection des données (UODO) à l'encontre de la banque Santander Bank Polska S.A. pour un manquement lié à la notification d'une violation de données personnelles. Cette affaire débute par la notification de la violation par la banque elle-même, après avoir constaté qu'un ancien employé n'avait pas vu ses accès révoqués.

L’enquête menée par l’autorité a permis de constater :
* Obligation de communiquer une violation de données aux personnes concernées (article 34 du RGPD) : Un ancien employé a conservé son accès à la Plateforme de services électroniques de l'Institut d'assurances sociales (ZUS) et s'y est connecté à cinq reprises sur une période de huit mois après la fin de son contrat de travail. Cet accès lui donnait la possibilité de consulter les données d'autres employés, notamment leurs noms, numéros d'identification PESEL, adresses et informations sur les congés maladie, qui sont des données de santé. La banque a estimé que le risque pour les droits et libertés n'était pas élevé et n'a pas notifié individuellement les personnes concernées, se contentant d'une communication générale sur une plateforme interne. L'autorité, dont la décision a été confirmée par la Cour, a jugé que la simple possibilité d'accès à un tel périmètre de données, incluant des catégories particulières, suffisait à constituer un risque élevé, justifiant la notification, et ce, indépendamment du fait que l'accès ait été le fait d'une personne considérée comme "de confiance" ou que les données aient été effectivement consultées.

En conséquence, la banque s'est vue ordonner de notifier la violation aux personnes concernées.

En outre, l’autorité a ordonné que cette notification décrive les conséquences potentielles de l'incident et les mesures que les personnes peuvent prendre pour se prémunir contre ses effets négatifs.