UODOポーランド：フランスより多いGDPR制裁
2026年更新
ポーランドの存在感
ポーランドのデータ保護機関はUrząd Ochrony Danych Osobowych（UODO）です。2023年に47件のGDPR制裁を科しました。合計額は280万ユーロです。同年、8,234件の申し立てを処理しました。一人当たりの制裁率は、フランス、ドイツ、および西欧の大部分の国を上回ります。
ポーランドで事業を行う企業にとって、これは現実のリスクです。単なる書類手続きではありません。
ポーランドが西欧より多く執行する理由
申し立て文化。 ポーランドには3,800万人のデジタル権利意識の高い国民がいます。プライバシー団体が大量の申し立てを提出します。当局は毎年数千件の案件を処理します。
BPOセクターのリスク。 ポーランドはEUの主要アウトソーシング拠点の一つです。ポーランドのコールセンターは、ドイツ、フランス、英国、オランダのクライアントのデータを処理します。各データフローは2つのリスクを生みます。ポーランド当局による措置と、影響を受けるEU市民の主管当局による措置です。
医療データ侵害。 医療データの通知件数は2024年に45%増加しました。医療データはGDPR第9条の特別カテゴリーデータです。医療処理業者はより高い制裁リスクを負います。
記録の欠如。 ポーランド企業の34%が処理活動記録（ROPA）を保有していません。監査担当者は最初にこれを確認します。ROPAが欠如していると、より詳細な審査に進みます。
PESELの問題
PESELはポーランドの11桁の国民識別番号です。第1〜6桁は生年月日をコードします。第7〜10桁はシーケンス番号です。最後の桁はチェックデジットです。ポーランドのデジタル省が定める重み付け計算式を使用します。
汎用PIIツールはPESELに対して2つの方法で失敗します。
パターン認識の失敗。 ほとんどのツールは米国や英国の識別番号形式を認識します。米国社会保障番号は9桁です。英国NI番号は英数字です。PESELの11桁形式はトレーニングデータに含まれていません。見逃されます。
検証の失敗。 ツールが11桁を一致させても、チェックデジットを確認できません。これにより偽陽性と偽陰性が生じます。桁が入れ替わった本物のPESELが通過してしまいます。
PESELはほぼすべてのポーランド文書に現れます。医療記録、雇用ファイル、税務書類、保険証書などです。見逃すと最重要識別子が露出します。
ポーランド文書でテストしたPIIツールの89%がPESELを正確に検出できません。
ツールが見逃す他のポーランド識別子
NIP（Numer Identyfikacji Podatkowej）。 重み付きチェックサムを持つ10桁の納税者番号。請求書、契約書、業務記録に存在します。
REGON。 すべてのポーランド企業に付与される9桁または14桁の事業統計番号。サプライヤーおよびバイヤー文書に現れます。
Dowód osobisty。 XXX NNNNNNの形式（英字3文字と数字6桁）のポーランド身分証明書。独自のチェックデジット規則があります。銀行、医療、行政の身元確認に必要です。
3つともPESELと同様の検出上の欠陥を示します。
2024〜2025年の執行優先事項
医療データ。 医療提供者からの侵害報告は2024年に45%増加しました。積極的な監査が進行中です。よく見られる所見：アクセス制御の脆弱性、暗号化の欠如、データ保護影響評価（DPIA）の不備。
従業員監視。 リモートワークにより多くの企業がキーストロークログや画面キャプチャを導入しました。これらの多くはGDPRの目的制限規則に違反します。従業員データ案件は執行措置全体の28%を占めます。
サブプロセッサーチェーン。 ポーランドのアウトソーシングセクターは複雑なベンダーネットワークを使用します。監査では、主要処理業者とサブプロセッサー間のデータ処理契約（DPA）が欠如していることが判明します。サブプロセッサーのツールもGDPR第32条を満たす必要があります。
監査に通過する技術的対策
執行判断は3つの必須コントロールを指摘しています。
暗号化。 すべての個人データは保存時と転送中に暗号化する必要があります。アクセス制御だけでは不十分です。アクセスルールのみに依存した企業が制裁を受けています。
文書化された匿名化。 データが匿名化されていると主張する企業はそれを証明しなければなりません。当局は再識別が実行不可能であることの技術的証拠を要求します。
PII検出のカバレッジ。 セキュリティ対策はポーランドの識別子をカバーする必要があります。チェックサム検証付きのPESEL、NIP、REGON、dowód osobistyがすべて検出可能でなければなりません。英語で訓練されたツールはこの基準を満たしません。
ポーランドのBPOセクターは毎日230万件のEU顧客記録を処理します。ポーランド固有のPII検出なしの企業は、国内当局とEU全体の主管当局から重大な制裁リスクを負います。
GDPR準拠ガイドで文書要件を確認できます。セキュリティコンプライアンス概要では技術的コントロールを説明しています。多言語PII検出については、多言語PII検出ガイドをご覧ください。