La décision de l'autorité polonaise de protection des données de sanctionner un député d'un rappel à l'ordre pour divulgation illicite de données personnelles a été confirmée par la justice, soulignant que l'exercice d'un mandat public n'exempte pas du respect du principe de nécessité.

Faits et contexte

Le Tribunal administratif de voïvodie de Varsovie a confirmé, par un jugement du 3 septembre 2026, une décision de l'autorité polonaise de protection des données (Urząd Ochrony Danych Osobowych - UODO) du 7 octobre 2025. Cette décision prononçait un rappel à l'ordre à l'encontre du député Kazimierz Smoliński pour un traitement de données personnelles jugé illicite.

L'affaire est née de la divulgation par le député de données personnelles identifiant le propriétaire d'un logement, lors d'une inspection parlementaire concernant ce bien et retransmise en direct pendant la campagne présidentielle de 2025.

Motifs de la décision

• Obligation de licéité du traitement (article 6 du RGPD) : L'autorité, suivie par le tribunal, a considéré que le député ne disposait d'aucune base juridique pour la divulgation publique des données de la personne concernée. Il a été jugé que cette divulgation n'était pas nécessaire à la réalisation de l'objectif déclaré, à savoir la conduite d'une inspection parlementaire. L'UODO a souligné que le député aurait pu exercer son mandat par des moyens moins attentatoires à la vie privée de la personne, sans rendre publiques des informations permettant de l'identifier.

Décision de l'autorité

En conséquence, l'autorité a prononcé un rappel à l'ordre à l'encontre du député.

Enseignements

Cette décision rappelle que :

• L'exercice d'un mandat public ou d'une mission d'intérêt public ne constitue pas une autorisation générale pour tout traitement de données ; chaque action, notamment la divulgation, doit être strictement nécessaire à l'objectif poursuivi.
• Le principe de minimisation des données s'applique rigoureusement, même lorsque le traitement est fondé sur l'intérêt public ; il convient de toujours privilégier les méthodes les moins intrusives pour la vie privée des personnes.
• La retransmission en direct d'une intervention impliquant le traitement de données personnelles augmente considérablement les risques pour les droits et libertés des personnes et exige une évaluation particulièrement stricte de la nécessité et de la proportionnalité de la divulgation.