UODO Poljska: Vise GDPR kazni nego Francuska
Azurirano za 2026.
Poljska nadmasuje svoju velicinu
Poljska agencija za podatke je Urzad Ochrony Danych Osobowych (UODO). Izdala je 47 GDPR kazni u 2023. Ukupno: 2,8 milijuna eura. Iste godine obradila je 8.234 prituzbi. Per capita, ta stopa kazni premasa Francusku, Njemacku i vecinu zapadnih kolega.
Za tvrtke u Poljskoj, ovo je zivi rizik -- ne samo papirologika.
Zasto Poljska provodi vise od zapada
Kultura prituzbi. Poljska ima 38 milijuna ljudi sa jakom svijescu o digitalnim pravima. Grupe za privatnost podnose velike volumene prituzbi. Tijelo svake godine obraduje tisuce slucajeva.
Izlozenost BPO sektora. Poljska je vrhunski EU outsourcing centar. Poljski call centri obradjuju podatke za klijente u Njemackoj, Francuskoj, Velikoj Britaniji i Nizozemskoj. Svaki tok podataka stvara dva rizika: akciju poljskog DPA-a i akciju vodeceg DPA-a pogodjenih gradana.
Zdravstvene povrede. Izvjestaji o zdravstvenim podacima porasli su za 45% u 2024. Zdravstveni zapisi su podaci posebne kategorije prema clanku 9. GDPR-a. To znaci visi rizik kazne za zdravstvene obradivace.
Nedostajuci zapisi. 34% poljskih tvrtki nema Evidenciju aktivnosti obrade (ROPA). Revizori ovo traze prvo. Nedostajuca ROPA vodi do dublje revizije.
Problem PESEL-a
PESEL je poljski 11-znamenkasti nacionalni ID broj. Znamenke 1.-6. kodiraju datum rodenja. Znamenke 7.-10. su slijedni broj. Zadnja znamenka je kontrolna znamenka. Koristi vaganu formulu Ministarstva digitalnih poslova Poljske.
Genericki PII alati ne uspijevaju s PESEL-om na dva nacina.
Propust uzorka. Vecina alata poznaje US ili UK ID formate. Americki SSN ima 9 znamenki. Britanski NI broj je alfanumericki. Format PESEL-a od 11 znamenki nije u njihovim podacima. Propustaju ga.
Propust provjere valjanosti. Cak i kada alat prepozna 11 znamenki, ne moze potvrditi kontrolnu znamenku. Ovo stvara lazno pozitivne i lazno negativne. Pravi PESEL-i sa zamijenjenim znamenkama prolaze.
PESEL se pojavljuje u gotovo svakom poljskom dokumentu: zdravstvenim zapisima, datotekama o poslu, poreznim obrascima i policama osiguranja. Propustanje ga ostavlja vrhovni identifikator izlozen.
89% PII alata testiranih na poljskim dokumentima ne uspijeva ispravno otkriti PESEL.
Ostali poljski identifikatori koje alati propustaju
NIP (Numer Identyfikacji Podatkowej). 10-znamenkasti porezni ID s vagenom kontrolnom sumom. Pojavljuje se na racunima, ugovorima i radnim zapisima.
REGON. 9-znamenkasti ili 14-znamenkasti poslovni broj za sve poljske tvrtke. Pojavljuje se u dokumentima dobavljaca i kupaca.
Dowod osobisty. Poljska osobna iskaznica u formatu XXX NNNNNN -- tri slova, zatim sest znamenki -- s vlastitim pravilom kontrolne znamenke. Potrebna za bankarstvo, zdravstvo i vladine provjere identiteta.
Sve tri pokazuju slicne praznine kao PESEL.
Prioriteti provedbe 2024.-2025.
Zdravstveni podaci. Izvjestaji o povredama od zdravstvenih davatelja porasli su za 45% u 2024. Proaktivne revizije su u tijeku. Uobicajeni nalazi: slabe kontrole pristupa, nema enkripcije i nedostaju Procjene utjecaja na zastitu podataka (DPIA).
Pracenje zaposlenika. Rad na daljinu naveo je mnoge tvrtke da dodaju biljeske tipkovnice i snimanje zaslona. Vecina od toga krsava pravila GDPR-a o ogranicenju svrhe. Slucajevi podataka zaposlenika cine 28% akcija provedbe.
Lanci podizvodaca. Outsourcing sektor Poljske koristi slozene mreze dobavljaca. Revizije pronalaze nedostajuce Ugovore o obradi podataka (DPA) izmedju glavnih obradivaca i podizvodaca. Alati podizvodaca takodje moraju zadovoljiti standarde clanka 32. GDPR-a.
Tehnicke mjere koje prolaze reviziju
Odluke o provedbi ukazuju na tri potrebne kontrole.
Enkripcija. Svi osobni podaci moraju biti sifrirani u mirovanju i u prijenosu. Same kontrole pristupa nisu dovoljne. Tvrtke koje se oslanjaju samo na pravila pristupa bile su kaznjene.
Dokumentirana anonimizacija. Tvrtke koje tvrde da su podaci anonimizirani moraju to dokazati. Tijelo zeli tehnicke dokaze da re-identifikacija nije izvediva.
Pokrivenost PII detekcije. Zastitne mjere moraju pokrivati poljske ID-ove. PESEL s provjerom kontrolne sume, NIP, REGON i dowod osobisty moraju biti otkrivljivi. Alati trenirani na engleskom ne zadovoljavaju ovaj standard.
Poljski BPO sektor obradjuje 2,3 milijuna EU korisnickih zapisa svaki dan. Tvrtke bez PII detekcije specificne za Poljsku nose teske kaznene rizike -- od nacionalnog DPA-a i od vodecih DPA-a diljem EU-a.
Nas vodic za GDPR sukladnost pokriva dokumentacijske potrebe. Nas pregled sigurnosne sukladnosti objasnjava tehnicke kontrole. Za visejezicnu PII detekciju pogledajte nas visejezicni vodic za PII detekciju.