La Cour administrative suprême de Pologne a annulé un jugement de première instance qui avait invalidé une amende de 159 176 zlotys (environ 37 190 €) infligée par l'autorité de protection des données (UODO) à la compagnie d'assurance Ergo Hestia SA pour des manquements liés à la notification d'une violation de données.

Cette affaire débute par l'envoi d'un courriel contenant une offre d'assurance en pièce jointe non chiffrée au mauvais destinataire.

L’enquête menée par l’autorité a permis de constater :

* Obligation de notifier une violation de données à l'autorité de contrôle (article 33 du RGPD) : La compagnie d'assurance n'a pas notifié à l'UODO la violation, qui concernait la divulgation de données personnelles (nom, prénom, numéro d'identification national polonais (PESEL)) et d'informations financières. L'autorité a considéré que cette violation aurait dû être notifiée car les données permettaient d'identifier une personne physique.

* Obligation de communiquer une violation de données à la personne concernée (article 34 du RGPD) : La société n'a pas informé la personne concernée, estimant que le risque n'était pas élevé. La Cour administrative suprême, suivant l'analyse de l'UODO, a précisé que l'évaluation du risque doit combiner la probabilité d'un dommage et la gravité de son impact potentiel. Elle a jugé que la divulgation d'un numéro PESEL [équivalent du NIR] avec un nom et d'autres données crée un risque élevé de préjudices graves, comme l'usurpation d'identité ou la souscription de crédits, justifiant la notification à la personne, même si le risque ne s'est pas matérialisé.

En conséquence, la structure s'est vue sanctionner de l'amende mentionnée ci-dessus.

En outre, la Cour administrative suprême a renvoyé l'affaire devant le tribunal administratif de voïvodie pour qu'il la réexamine en tenant compte de cette interprétation.