L'autorité polonaise de protection des données (UODO) a rappelé les critères déterminant l'obligation pour un responsable de traitement de notifier une violation de données personnelles.

Suite à des incidents récents d'accès non autorisé à des bases de données de sous-traitants et à des systèmes de facturation, l'autorité précise que l'obligation de notification d'une violation, conformément à l'article 33, paragraphe 1 du RGPD, dépend d'une évaluation des risques au cas par cas. Une notification n'est généralement pas requise si la violation concerne uniquement des données d'entrepreneurs individuels déjà publiquement accessibles dans des registres officiels, comme le Registre central des activités économiques (CEIDG). En revanche, elle devient obligatoire si la violation peut engendrer un risque pour les droits et libertés, notamment par la divulgation d'informations sensibles telles que le numéro d'identification national (PESEL), des détails sur des achats révélant des données de santé, ou des informations financières, qui pourraient mener à des fraudes ou des usurpations d'identité. Si le risque est élevé, une communication aux personnes concernées est également requise en vertu de l'article 34 du RGPD. L'autorité souligne que même en l'absence de notification, le responsable du traitement doit documenter l'incident et sa décision dans son registre interne des violations.