Sanction RGPD Polish National Personal Data Protection Office (UODO) — DPD Polska sp. z o.o. : 2,7 M€ (2026)
Le 5 février 2026, Polish National Personal Data Protection Office (UODO) a prononcé une sanction RGPD de 2,7 M€ à l'encontre de DPD Polska sp. z o.o. (secteur : Transports et énergie), sur le fondement de Art. 5 (1) a), f), (2), Art. 24 (1), (2), Art. 29, Art. 32 (1), (4), pour contrat de sous-traitance insuffisant. Référence de décision : dco-sanc-3063.
- Autorité de contrôle
- Polish National Personal Data Protection Office (UODO)
- Pays
- Pologne
- Entreprise / secteur
- DPD Polska sp. z o.o.
- Montant de l'amende
- 2,7 M€
- Date de la décision
- 5 février 2026
- Fondement juridique
- Art. 5 (1) a), f), (2), Art. 24 (1), (2), Art. 29, Art. 32 (1), (4)
- Manquement
- Contrat de sous-traitance insuffisant
- Référence de décision
- dco-sanc-3063
Résumé des faits
The Polish DPA has imposed a fine of EUR 2,682,000 on DPD Polska sp. z.o.o. The controller offers postal services and uses subcontractors for certain transport services. As they are processing data to fulfil their obligations, the subcontractors are therefore processors. However, the controller failed to enter into a data processing agreement with the subcontractors. The controller also failed to ensure that the processors only processed the data according to their instructions.
Décision officielle
Polish National Personal Data Protection Office (UODO) — dco-sanc-3063