TL;DR
Le 5 octobre 2026, le Président de l'UODO a publié des indications sur le seuil de notification de l'article 33, paragraphe 1, après une série d'incidents d'accès non autorisés à des bases de cocontractants et à des systèmes de facturation. Si seules des données d'entrepreneurs déjà publiques au registre CEIDG ont été exposées (nom, dénomination, NIP, adresse officielle), le risque est en principe improbable et la notification peut ne pas être nécessaire. Si le PESEL, des détails d'achats révélant la santé ou d'autres catégories particulières, ou des informations financières ont fuité avec elles, la notification est due ; en cas de risque élevé, il faut aussi informer les personnes (article 34). Toujours : une analyse de risque documentée et les motifs de non-notification au registre interne.
Le contexte
Lors des derniers incidents signalés en Pologne, l'accès illicite n'a pas visé des fichiers de clients consommateurs mais des bases de cocontractants et des systèmes de facturation : des listes d'entreprises et de professionnels avec lesquels on travaille. L'UODO demande à chaque responsable une analyse de risque sérieuse, au cas par cas, dont le résultat détermine si la notification est due.
Quand la notification peut ne pas être nécessaire
Le cas typique est celui des entrepreneurs individuels dont les données exposées correspondent à celles librement consultables au registre public CEIDG : nom et prénom, dénomination, NIP, adresse officielle de l'activité. Selon l'autorité, la perte de confidentialité de ces données n'offre en principe aucune possibilité nouvelle de nuire à la personne concernée. D'autres pays ont des registres d'entreprises équivalents, mais l'analyse doit toujours porter sur le cas concret.
Quand elle est due
- PESEL, le numéro national d'identification polonais : risque d'usurpation d'identité, de fraude et de dettes contractées au nom de la personne.
- DÉTAILS D'ACHATS OU DE SERVICES révélant la santé ou d'autres catégories particulières : risque pour la vie privée, discrimination, profilage non autorisé.
- INFORMATIONS FINANCIÈRES : risque de fraude et de fausses factures ou faux paiements.
Ne pas notifier n'est pas ne pas documenter
Même lorsque le responsable conclut que la notification n'est pas nécessaire, il reste tenu de réaliser et documenter l'analyse de risque et d'indiquer au registre interne des violations les raisons de la non-notification. Le RGPD impose de documenter toutes les violations, notifiées ou non (article 33, paragraphe 5). Une décision de ne pas notifier sans trace écrite est indéfendable lors d'un contrôle.
Ce que cela signifie pour le DPO
Cinq réflexes face à un incident sur le logiciel de facturation
Un : reconstituer précisément les champs exposés, enregistrement par enregistrement, au lieu de raisonner sur « la base » en général. Deux : séparer les données déjà publiques de tout le reste (IBAN, montants, descriptions des prestations, coordonnées personnelles, notes). Trois : rédiger l'analyse avec date, auteur, critères et conclusion, et la rouvrir si des faits nouveaux apparaissent. Quatre : surveiller les 72 heures, qui courent à partir de la connaissance de la violation et non de la fin de l'analyse. Cinq : si l'incident a eu lieu chez un prestataire, vérifier qu'il a informé le responsable dans les meilleurs délais (article 33, paragraphe 2) et que le contrat le prévoit.
La lecture de l'UODO est cohérente avec les lignes directrices 9/2022 du CEPD sur la notification des violations : le seuil n'est pas la gravité ressentie de l'incident, mais le risque pour les personnes. L'intérêt pratique de l'indication polonaise tient à ses exemples, qui montrent ce qui transforme une liste de cocontractants en problème à notifier.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
