TL;DR para o EPD
Três casos, três erros que se encontram em toda a parte: usar dados recolhidos para uma finalidade pública noutra diferente, copiar documentos de identificação sem demonstrar que era preciso, e deixar expostos os dados do próprio pessoal. Nenhum dos três exige tecnologia sofisticada.
Os números
Em 2025 o Presidente do Gabinete de Proteção de Dados Pessoais adotou dezasseis decisões sancionatórias contra dezoito entidades, num total superior a sessenta e quatro milhões de zlótis. No ano anterior o total rondava os catorze milhões. Não é um aumento gradual: é uma mudança de escala, e as três coimas mais altas alguma vez aplicadas na Polónia caem nesses doze meses.
Correios: vinte e sete milhões por dados usados para outra finalidade
A coima mais alta respeita ao operador postal nacional e aos dados de cerca de trinta milhões de cidadãos extraídos do registo da população PESEL com vista às eleições por correspondência de 2020, tratados sem fundamento adequado. É o caso de manual da limitação das finalidades: dados que estão licitamente num registo público não passam por isso a poder ser usados para outro fim, nem sequer quando esse fim é também público.
Banco: dezoito vírgula quatro milhões por cópias de documentos de identificação
Uma instituição de crédito foi sancionada por copiar e digitalizar os documentos de identificação dos clientes sem demonstrar que era necessário para cumprir os deveres de branqueamento de capitais. É o ponto que toca o maior número de empresas: as regras obrigam a identificar, não obrigam automaticamente a fotocopiar. A necessidade dessa cópia prova-se, não se presume — e quase ninguém conserva a avaliação que a justifica.
Restauração: dezasseis vírgula nove milhões pelos dados do próprio pessoal
A terceira decisão atingiu uma cadeia de restauração após um incidente em que informação sobre trabalhadores ficou publicamente acessível. Vale a pena reparar de quem eram os dados: não de clientes, mas de quem lá trabalha — a categoria que as análises de risco tratam sistematicamente como menos exposta e que na realidade produz as coimas mais altas, porque a relação laboral não deixa ao titular alternativa alguma.
O que fazer agora, se tem clientes com presença na Polónia
1) Verifique se alguém copia documentos de identificação e pergunte onde está escrito porque é necessário; 2) confirme que os dados recebidos de registos ou entidades públicas não são reutilizados para finalidades distintas da recolha; 3) trate o arquivo de pessoal com o mesmo cuidado que o dos clientes, porque a autoridade assim faz.
Looking for a workspace for your DPO work?
DPO Workspace is built by a certified DPO. 30-day free trial.
Start free
