UODO פולין: יותר קנסות GDPR מצרפת
עודכן לשנת 2026
פולין מתעלה על גודלה
רשות הנתונים של פולין היא Urząd Ochrony Danych Osobowych (UODO). היא הוציאה 47 קנסות GDPR ב-2023. סה"כ: €2.8 מיליון. היא טיפלה ב-8,234 תלונות אותה שנה. לנפש, שיעור הקנסות הזה עולה על צרפת, גרמניה ורוב עמיתיהם המערביים.
עבור חברות בפולין, זהו סיכון חי — לא רק ניירת.
מדוע פולין אוכפת יותר מהמערב
תרבות תלונות. לפולין יש 38 מיליון תושבים עם מודעות חזקה לזכויות דיגיטליות. קבוצות פרטיות מגישות נפחי תלונות גדולים. הרשות מטפלת באלפי מקרים בשנה.
חשיפת סקטור BPO. פולין היא מרכז מיקור חוץ מוביל ב-EU. מרכזי שיחות פולניים מעבדים נתונים עבור לקוחות בגרמניה, צרפת, בריטניה והולנד. כל זרימת נתונים יוצרת שני סיכונים: פעולה על ידי DPA של פולין ופעולה על ידי DPA המובילה של אזרחים שנפגעו.
פרצות בריאות. דיווחי נתוני בריאות עלו ב-45% ב-2024. רשומות בריאות הן נתונים מקטגוריה מיוחדת לפי סעיף 9 של GDPR. זה אומר סיכון קנסות גבוה יותר למעבדי בריאות.
רשומות חסרות. 34% מהחברות הפולניות חסרות רשומת פעילויות עיבוד (ROPA). בודקים מחפשים זאת תחילה. ROPA חסרה מובילה לבדיקה מעמיקה יותר.
בעיית ה-PESEL
PESEL הוא מספר זיהוי לאומי פולני בן 11 ספרות. ספרות 1–6 מקודדות תאריך לידה. ספרות 7–10 הן מספר סידורי. הספרה האחרונה היא ספרת בדיקה. היא משתמשת בנוסחה משוקללת ממשרד הדיגיטציה הפולני.
כלי PII גנריים נכשלים עם PESEL בשתי דרכים.
כישלון תבנית. רוב הכלים מכירים פורמטי זיהוי של ארה"ב או בריטניה. מספר ביטוח לאומי אמריקאי כולל 9 ספרות. מספר NI בריטי הוא אלפאנומרי. פורמט ה-11 ספרות של PESEL אינו בנתוניהם. הם מחמיצים אותו.
כישלון אימות. אפילו כשכלי מתאים ל-11 ספרות, הוא לא יכול לאשר את ספרת הבדיקה. זה יוצר חיובי ושליליים כוזבים. PESELים אמיתיים עם ספרות מוחלפות עוברים.
PESEL מופיע כמעט בכל מסמך פולני: רשומות בריאות, תיקי עבודה, טפסי מס ופוליסות ביטוח. פספוסו משאיר את המזהה העיקרי חשוף.
89% מכלי ה-PII שנבדקו על מסמכים פולניים נכשלים באיתור PESEL בצורה נכונה.
מזהים פולניים אחרים שכלים מחמיצים
NIP (Numer Identyfikacji Podatkowej). מזהה מס בן 10 ספרות עם סכום בדיקה משוקלל. נמצא בחשבוניות, חוזים ורשומות עבודה.
REGON. מספר עסקי בן 9 ספרות או 14 ספרות לכל החברות הפולניות. מופיע במסמכי ספקים וקונים.
Dowód osobisty. תעודת זהות פולנית בפורמט XXX NNNNNN — שלוש אותיות, ואחריהן שש ספרות — עם כלל ספרת בדיקה משלה. נדרשת לעסקאות בנקאיות, בריאות ובדיקות זיהוי ממשלתיות.
כל שלושתן מציגות פערים דומים ל-PESEL.
עדיפויות אכיפה 2024–2025
נתוני בריאות. דיווחי פרצות ממספקי בריאות עלו ב-45% ב-2024. ביקורות יזומות מתנהלות. ממצאים נפוצים: בקרות גישה חלשות, אין הצפנה ומסמכי הערכת השפעת הגנת נתונים (DPIAs) חסרים.
מעקב עובדים. עבודה מרחוק גרמה לחברות רבות להוסיף יומני הקשות ולכידת מסך. רובן מפרות כללי הגבלת מטרה של GDPR. מקרי נתוני עובדים מהווים 28% מפעולות האכיפה.
שרשראות ספק-משנה. סקטור המיקור החוץ של פולין משתמש ברשתות ספקים מורכבות. ביקורות מוצאות הסכמי עיבוד נתונים (DPAs) חסרים בין מעבדים ראשיים לספקי-משנה. כלי ספק-משנה גם חייבים לעמוד בתקני סעיף 32 של GDPR.
אמצעים טכניים שעומדים בביקורת
החלטות אכיפה מצביעות על שלושה בקרות נדרשות.
הצפנה. כל הנתונים האישיים חייבים להיות מוצפנים במנוחה ובמעבר. בקרות גישה לבדן אינן מספיקות. חברות הסומכות רק על כללי גישה קיבלו קנסות.
אנונימיזציה מתועדת. חברות הטוענות שנתונים מאונונמים חייבות להוכיח זאת. הרשות רוצה ראיות טכניות שזיהוי מחדש אינו אפשרי.
כיסוי זיהוי PII. אמצעי הגנה חייבים לכסות זיהויים פולניים. PESEL עם אימות ספרת בדיקה, NIP, REGON ו-dowód osobisty — כולם חייבים להיות ניתנים לאיתור. כלים שאומנו על אנגלית אינם עומדים בדרישה זו.
סקטור BPO של פולין מעבד 2.3 מיליון רשומות לקוחות EU בכל יום. חברות ללא זיהוי PII ספציפי לפולין נושאות סיכון קנסות כבד — מה-DPA הלאומית ומה-DPAs המובילות ברחבי ה-EU.
מדריך תאימות GDPR שלנו מכסה צרכי תיעוד. סקירת תאימות האבטחה שלנו מסבירה בקרות טכניות. לזיהוי PII רב-לשוני, ראו את מדריך זיהוי PII רב-לשוני שלנו.