TL;DR per il DPO
Tre casi, tre errori che si ritrovano ovunque: usare dati raccolti per una finalità pubblica per un'altra, copiare documenti d'identità senza dimostrare che serviva davvero, e lasciare esposti i dati del proprio personale. Nessuno dei tre richiede una tecnologia sofisticata per essere commesso.
I numeri
Nel 2025 il Presidente dell'Ufficio per la protezione dei dati personali ha adottato sedici decisioni sanzionatorie nei confronti di diciotto soggetti, per un totale superiore a sessantaquattro milioni di zloty. L'anno precedente il totale sfiorava i quattordici milioni. Non è un aumento graduale: è un cambio di scala, e le tre sanzioni più alte mai irrogate in Polonia sono tutte concentrate in quei dodici mesi.
Poste: ventisette milioni per dati usati per un'altra finalità
La sanzione più alta riguarda l'operatore postale nazionale e i dati di circa trenta milioni di cittadini estratti dal registro anagrafico PESEL in vista delle elezioni per corrispondenza del 2020, trattati senza un fondamento adeguato. È il caso di scuola della limitazione della finalità: dati legittimamente esistenti in un registro pubblico non diventano per questo utilizzabili per uno scopo diverso, nemmeno quando lo scopo è pubblico.
Banca: diciotto milioni e quattro per copie di documenti d'identità
Un istituto di credito è stato sanzionato per aver copiato e scansionato i documenti d'identità della clientela senza dimostrare che l'operazione fosse necessaria ad adempiere agli obblighi antiriciclaggio. È il punto che riguarda il numero maggiore di aziende: la normativa antiriciclaggio impone di identificare, non impone automaticamente di fotocopiare. La necessità di quella copia va provata, non presunta, e quasi nessuno conserva la valutazione che la giustifica.
Ristorazione: sedici milioni e nove per i dati del proprio personale
La terza decisione ha colpito una catena di ristorazione dopo un incidente in cui informazioni sui dipendenti sono diventate pubblicamente accessibili. Vale la pena notare quali dati fossero: non quelli dei clienti, ma quelli di chi ci lavora — la categoria che nelle analisi del rischio viene sistematicamente considerata meno esposta e che invece produce le sanzioni più alte, perché il rapporto di lavoro non lascia all'interessato alcuna alternativa.
Cosa fare adesso, se hai clienti con presenza in Polonia
1) Verifica se qualcuno copia documenti d'identità e chiedi dove sta scritto perché è necessario; 2) controlla che i dati ricevuti da registri o enti pubblici non vengano riusati per finalità diverse da quella della raccolta; 3) tratta l'archivio del personale con lo stesso livello di attenzione di quello dei clienti, perché l'autorità lo fa.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
