UODO Polonia: Mes multes del GDPR que Franca
Actualitzat per al 2026
Polonia supera les expectatives
L'autoritat de dades de Polonia es l'Urzad Ochrony Danych Osobowych (UODO). Va emetre 47 multes del GDPR el 2023. Total: 2,8 milions d'euros. Va gestionar 8.234 queixes aquell mateix any. En termes per capita, aquesta taxa de multes supera la de Franca, Alemanya i la majoria dels companys occidentals.
Per a les empreses a Polonia, aquest es un risc real, no nomes tramits burocracies.
Per que Polonia aplica mes que l'Occident
Cultura de la queixa. Polonia te 38 milions de persones amb una forta consciencia dels drets digitals. Els grups de privacitat presenten grans volums de queixes. L'autoritat gestiona milers de casos cada any.
Exposicio del sector BPO. Polonia es un dels principals centres d'externalitzacio de la UE. Els centres d'atencio al client polonesos processen dades per a clients d'Alemanya, Franca, el Regne Unit i els Pasos Baixos. Cada flux de dades crea dos riscos: l'accio de l'APD polonesa i l'accio de l'APD principal dels ciutadans afectats.
Violacions de dades de salut. Els informes de dades sanitaries van augmentar un 45% el 2024. Els registres sanitaris son dades de categoria especial sous l'article 9 del GDPR. Aixo significa un risc de multa mes alt per als processadors de salut.
Registres inexistents. El 34% de les empreses poloneses no tenen un Registre d'activitats de tractament (RAT). Els auditors busquen aixo primer. Un RAT absent dona lloc a una revisio mes profunda.
El problema del PESEL
El PESEL es el numero d'identitat nacional polonesa de 11 digits. Els digits 1 a 6 codifiquen la data de naixement. Els digits 7 a 10 son un numero de sequencia. L'ultim digit es un digit de verificacio. Utilitza una formula ponderada del Ministeri d'Afers Digitals de Polonia.
Les eines de DCP generiques fallen amb el PESEL de dues maneres.
Fallada de patro. La majoria de les eines coneixen els formats d'ID dels EUA o del Regne Unit. Un numero de la Seguretat Social dels EUA te 9 digits. Un numero de NI del Regne Unit es alfanumeric. El format d'11 digits del PESEL no esta a les seves dades. Se'l passen per alt.
Fallada de validacio. Fins i tot quan una eina coincideix amb 11 digits, no pot confirmar el digit de verificacio. Aixo crea falsos positius i falsos negatius. Els PESELs reals amb digits intercanviats passen pel filtre.
El PESEL apareix en gairebe tots els documents polonesos: registres medics, arxius de treball, formularis fiscals i polisses d'asseguranca. No detectar-lo deixa el principal identificador exposat.
El 89% de les eines de DCP provades en documents polonesos no detecten correctament el PESEL.
Altres identificadors polonesos que les eines passen per alt
NIP (Numer Identyfikacji Podatkowej). ID fiscal de 10 digits amb una suma de comprovacio ponderada. Es troba en factures, contractes i registres de treball.
REGON. Numero d'empresa de 9 o 14 digits per a totes les empreses poloneses. Apareix en documents de proveïdors i compradors.
Dowod osobisty. Document d'identitat polones en format XXX NNNNNN: tres lletres, despres sis digits, amb la seva propia norma de digit de verificacio. Necessari per a la banca, la sanitat i les comprovacions d'identitat governamental.
Els tres mostren mancances similars al PESEL.
Prioritats d'aplicacio del 2024-2025
Dades sanitaries. Els informes de violacions de proveïdors de salut van augmentar un 45% el 2024. S'estan duent a terme auditories proactives. Conclusions habituals: controls d'acces febles, sense xifratge i sense Avaluacions d'impacte sobre la proteccio de dades (EIPD).
Seguiment dels treballadors. El treball a distancia va portar moltes empreses a afegir registres de pulsacions de tecles i captures de pantalla. La majoria d'aquests infringeixen les normes de limitacio de finalitat del GDPR. Els casos de dades dels empleats constitueixen el 28% de les accions d'aplicacio.
Cadenes de subprocessadors. El sector d'externalitzacio de Polonia utilitza xarxes de proveïdors complexes. Les auditories troben Acords de tractament de dades (APD) inexistents entre els processadors principals i els subprocessadors. Les eines de subprocessadors tambe han de complir els estandards de l'article 32 del GDPR.
Mesures tecniques que superen l'auditoria
Les decisions d'aplicacio apunten a tres controls necessaris.
Xifratge. Totes les dades personals han d'estar xifrades en repose i en transit. Els controls d'acces sols no son suficients. Les empreses que nomes confien en les normes d'acces han estat multades.
Anonimitzacio documentada. Les empreses que afirmen que les dades estan anonimitzades han de demostrar-ho. L'autoritat vol evidencia tecnica que la re-identificacio no es factible.
Cobertura de deteccio de DCP. Les salvaguardes han de cobrir els ID polonesos. El PESEL amb validacio de la suma de comprovacio, el NIP, el REGON i el dowod osobisty han de ser tots detectables. Les eines entrenades en angles no compleixen aquest estandard.
El sector BPO polonesa processa 2,3 milions de registres de clients de la UE cada dia. Les empreses sense deteccio de DCP especifica per a Polonia carreguen un alt risc de multa, tant del DPA nacional com dels DPA principals de tota la UE.
La nostra guia de compliment del GDPR cobreix les necessitats de documentacio. El nostre resum de compliment de seguretat explica els controls tecnics. Per a la deteccio de DCP multilingue, vegeu la nostra guia de deteccio de DCP multilingue.