L'autorité polonaise de protection des données (UODO) a sanctionné une entreprise de pompes funèbres d'une amende totale de 33 000 PLN (environ 7 674 €) pour des manquements liés à la sécurité des données et à la notification d'une violation, une décision qui a été confirmée par le tribunal administratif de Varsovie. Cette affaire débute suite à la découverte par la police de documents appartenant à l'entreprise sur le bord d'une route et qui étaient tout à fait compréhensibles.

Le tribunal administratif a confirmé :
* Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'entreprise n'a pas mis en œuvre les mesures techniques et organisationnelles appropriées, ce qui a conduit à la perte de documents lors de leur transport dans un véhicule ouvert. L'analyse de risques de l'entreprise n'incluait pas les menaces liées au transport de documents. De plus, les documents étaient stockés avant le transport dans un local non sécurisé, et l'opération a été confiée à un employé non habilité, en contradiction avec les procédures internes qui n'étaient pas appliquées.

* Obligation de notifier une violation de données à l'autorité de contrôle (article 33 du RGPD) : L'entreprise n'a pas notifié la perte des documents à l'autorité de contrôle, manquant ainsi à l'obligation qui lui incombait suite à l'incident.

En conséquence, le tribunal administratif a confirmé la sanction infligée par l'UODO.