- Amende élevée (≈EUR 220’000) pour non-respect de l’obligation de transparence (art. 14 RGPD) après traitement commercial de données issues de registres publics (6 millions de personnes concernées).
- Mesures d’information insuffisantes : Seulement ~90’000 personnes informées par e‑mail, argument de coût pour l’absence de notification individuelle rejeté ; l’autorité a pris en compte l’intention et le manque de transparence continu.
Selon les médias, l’autorité polonaise de surveillance de la protection des données a infligé une amende d’environ EUR 220’000 de pénalités. Le responsable a apparemment obtenu des informations de registres publics et les a utilisées pour un produit commercial. Le traitement concernait environ 6 millions de personnes concernées.
Le responsable n’a toutefois informé activement que les quelque 90 000 personnes dont il connaissait l’adresse électronique. Pour des raisons de coûts, il a renoncé à informer individuellement les autres personnes concernées, par exemple en leur envoyant une lettre à leur adresse postale ou en les appelant par téléphone, et la déclaration de protection des données sur son site web a été jugée insuffisante. En particulier, selon l’autorité, le responsable n’aurait pas été obligé d’envoyer une déclaration de confidentialité par courrier recommandé, ce que le responsable avait fait valoir.
Les facteurs suivants semblent avoir joué un rôle dans le calcul des amendes :
- L’intention du responsable, qui était conscient de son devoir d’information ;
- la gravité de l’infraction, car une violation de l’obligation de transparence (art. 14 RGPD) a pour effet d’empêcher les personnes concernées d’exercer leurs droits ;
- le fait que sur les 90 000 personnes informées, environ 12 000 se sont opposées au traitement, ce qui montre la mauvaise acceptation du traitement ;
- que le responsable n’a pas mis fin au traitement non transparent pendant l’enquête et qu’il n’a apparemment pas non plus déclaré vouloir cesser la violation
La question de savoir si une déclaration de protection des données sur le site web aurait été suffisante si le responsable n’avait pas disposé des adresses des personnes concernées reste ouverte.