UODO Lengyelország: több GDPR-bírság, mint Franciaország
Frissítve 2026-ra
Lengyelország felülmúlja súlyát
Lengyelország adatvédelmi hatósága az Urząd Ochrony Danych Osobowych (UODO). 2023-ban 47 GDPR-bírságot szabott ki. Összesen 2,8 millió eurót. Ugyanabban az évben 8234 panaszt kezelt. Egy főre vetítve ez a bírságolási arány felülmúlja Franciaországot, Németországot és a legtöbb nyugati társát.
A lengyelországi vállalatok számára ez élő kockázat — nem csupán papírmunka.
Miért érvényesít Lengyelország többet, mint Nyugat
Panaszkultúra. Lengyelországban 38 millió ember él erős digitális jogismerettel. Adatvédelmi szervezetek nagy mennyiségű panaszt nyújtanak be. A hatóság évente ezreket kezel.
BPO-szektori kitettség. Lengyelország az EU egyik vezető kiszervező központja. A lengyel call centerek Németország, Franciaország, az Egyesült Királyság és Hollandia ügyfeleinek adatait dolgozzák fel. Minden adatfolyam kétféle kockázatot teremt: Lengyelország adatvédelmi hatóságának intézkedési lehetőségét és az érintett polgárok vezető adatvédelmi hatóságának intézkedési lehetőségét.
Egészségügyi adatvédelmi incidensek. Az egészségügyi adatokkal kapcsolatos incidensjelentések 45%-kal emelkedtek 2024-ben. Az egészségügyi nyilvántartások különleges kategóriájú adatok a GDPR 9. cikke szerint. Ez magasabb bírságkockázatot jelent az egészségügyi adatfeldolgozók számára.
Hiányzó nyilvántartások. A lengyel vállalatok 34%-ának hiányzik az Adatkezelési Tevékenységek Nyilvántartása (ROPA). Az auditorok ezzel kezdik. Egy hiányzó ROPA mélyebb vizsgálatot von maga után.
A PESEL-probléma
A PESEL Lengyelország 11 jegyű nemzeti azonosítója. Az 1–6. számjegyek a születési dátumot kódolják. A 7–10. számjegyek sorszámok. Az utolsó számjegy egy ellenőrző jegyű. A Lengyel Digitalizációs Minisztérium súlyozási képletét alkalmazza.
Az általános személyesadat-felismerő eszközök kétféleképpen vétik el a PESEL-t.
Mintafelismerési hiba. A legtöbb eszköz az USA-ban vagy az Egyesült Királyságban alkalmazott azonosítóformátumokat ismeri. Az USA-ban a társadalombiztosítási szám 9 jegyű. Az Egyesült Királyságban a nemzeti biztosítási szám alfanumerikus. A PESEL 11 jegyű formátuma nincs benne az adatbázisukban. Elmulasztják.
Validálási hiba. Még ha egy eszköz meg is talál 11 számjegyet, nem tudja megerősíteni az ellenőrző jegyet. Ez hamis pozitív és hamis negatív eredményeket okoz. A felcserélt számjegyű valódi PESEL-ek átcsúsznak.
A PESEL szinte minden lengyel dokumentumban megjelenik: egészségügyi nyilvántartásokban, munkaügyi aktákban, adónyomtatványokon és biztosítási kötvényeken. Ha nem ismerik fel, a fő azonosító kitett marad.
A lengyel dokumentumokon tesztelt személyesadat-felismerő eszközök 89%-a nem képes helyesen felismerni a PESEL-t.
Más lengyel azonosítók, amelyeket az eszközök elmulasztanak
NIP (Numer Identyfikacji Podatkowej). 10 jegyű adóazonosító súlyozási ellenőrzőösszeggel. Megtalálható számlákon, szerződésekben és munkaügyi nyilvántartásokban.
REGON. 9 vagy 14 jegyű vállalati szám az összes lengyel vállalat számára. Megjelenik szállítói és vevői dokumentumokban.
Dowód osobisty. Lengyel személyi igazolvány XXX NNNNNN formátumban — három betű, majd hat szám — saját ellenőrző jeggyel. Banki, egészségügyi és kormányzati személyazonosítás-ellenőrzésekhez szükséges.
Mindhárom hasonló hiányosságokat mutat, mint a PESEL.
2024–2025-ös érvényesítési prioritások
Egészségügyi adatok. Az egészségügyi szolgáltatóktól érkező incidensjelentések 45%-kal emelkedtek 2024-ben. Proaktív auditok folynak. Általános megállapítások: gyenge hozzáférési vezérlők, titkosítás hiánya és hiányzó adatvédelmi hatásvizsgálatok.
Munkavállalói megfigyelés. A távmunka sok vállalatot arra késztetett, hogy billentyűzetfigyelőket és képernyőrögzítőket vezessen be. Ezek többsége sérti a GDPR célhoz kötöttségi szabályait. A munkavállalói adatokkal kapcsolatos esetek az érvényesítési intézkedések 28%-át teszik ki.
Alfeldolgozói láncok. Lengyelország kiszervező szektora összetett szállítói hálózatokat alkalmaz. Az auditok hiányzó adatfeldolgozási megállapodásokat találnak a főfeldolgozók és az alfeldolgozók között. Az alfeldolgozói eszközöknek szintén meg kell felelniük a GDPR 32. cikke szerinti szabványoknak.
Technikai intézkedések, amelyek átmennek az auditoron
A végrehajtási határozatok három szükséges vezérlőre mutatnak rá.
Titkosítás. Minden személyes adatot titkosítani kell tárolásban és átvitel közben egyaránt. A hozzáférési vezérlők önmagukban nem elegendők. Azokat a vállalatokat, amelyek kizárólag hozzáférési szabályokra támaszkodnak, megbírságolták.
Dokumentált anonimizálás. Az anonimizálást állító vállalatoknak igazolniuk kell azt. A hatóság technikai bizonyítékot kér arról, hogy az újra-azonosítás nem lehetséges.
Személyesadat-felismerési lefedettség. A biztosítékoknak le kell fedniük a lengyel azonosítókat. A PESEL ellenőrzőösszeg-validálással, a NIP, a REGON és a dowód osobisty mindegyikének felismerhetőnek kell lennie. Az angolra tanított eszközök nem felelnek meg ennek a követelménynek.
Lengyelország BPO-szektora naponta 2,3 millió EU-s ügyféladatot dolgoz fel. A lengyel-specifikus személyesadat-felismerés nélküli vállalatok súlyos bírságkockázatot hordoznak — mind a nemzeti adatvédelmi hatóságtól, mind az EU-szerte működő vezető adatvédelmi hatóságoktól.
A GDPR megfelelőségi útmutatónk lefedi a dokumentációs igényeket. A biztonsági megfelelőségi áttekintőnk magyarázza a technikai vezérlőket. A többnyelvű személyesadat-felismeréshez lásd a többnyelvű személyesadat-felismerési útmutatónkat.