波兰 GDPR 违规的刑事后果

GDPR 违规是指违反有关个人数据合法处理、安全保障、保存、披露或使用规则的行为。在波兰，大多数违规行为会由个人数据保护局局长（UODO）启动行政程序处理。但某些故意或未经授权的行为也可能构成刑事犯罪。这-区分对企业尤为重要，因为单-的数据保护事件可能同时引发监管、民事、刑事及声誉风险。

因此，波兰 GDPR 刑事处罚的法律框架并非仅载于 GDPR 本身。GDPR 规定了行政处罚，并要求成员国设立有效的处罚机制。波兰的刑事后果主要受2018年5月10日《个人数据保护法》以及（视具体行为而定）《波兰刑法典》规制。[1][2]

波兰 GDPR 行政罚款与刑事责任的区别

并非每-项数据保护违规都会构成数据泄露犯罪。例如，企业未提供适当的信息告知条款、保存数据的期限超过必要范围、采用错误的处理法律依据，或未与处理者签订数据处理协议，都可能违反 GDPR。这类情形可能导致监管纠正措施、责令变更数据处理方式、警告或行政罚款。

根据 GDPR 第83条，罚款最高可达2,000万欧元，或企业上-财年全球年度营业总额的4%，以金额较高者为准。具体适用的罚款上限取决于违规类型。UODO 在作出评估时，必须考虑违规行为的性质、严重程度、持续时间及故意性、减轻损害的措施、既往违规记录以及与主管机关合作的程度等因素。[1]

刑事责任通常不仅仅基于程序或组织管理上的缺陷。关键在于：个人数据是否在未经授权的情况下被处理，或者相关行为是否涉及非法访问、干扰系统、披露数据、欺诈或其他被禁止的行为。

非法处理个人数据的刑事犯罪

波兰《个人数据保护法》第107条规定了与非法处理数据直接相关的主要犯罪。任何人在无权处理个人数据的情况下处理该等数据，或者在法律不允许处理的情形下进行处理的，可被处以罚金、限制自由或者最高两年监禁。[2]

如非法处理涉及特殊类别的个人数据，处罚将更为严厉。此类数据包括揭示种族或民族血统、政治观点、宗教或哲学信仰、工会会员身份的信息，以及遗传数据、用于身份识别的生物识别数据、健康数据、性生活或性取向数据。在此类情况下，最高刑期可达三年。[2]

第107条适用于自然人。在商业环境中，可能承担责任的人员包括雇员、管理人员、IT 管理员、承包商或其他未经授权行事的个人。董事会成员是否须承担个人责任，取决于具体事实，包括其知情程度、决策权限、主观故意及职责范围。

数据泄露何时可能构成网络犯罪

个人数据泄露是指因安全事件导致个人数据遭到意外或非法毁损、丢失、篡改、未经授权披露或访问的情形。数据泄露并不自动意味着已构成犯罪。例如，电子邮件误发给错误收件人，可能属于需要报告的 GDPR 事件，但未必满足刑事犯罪的构成要件。

如果事件源于故意行为，产生刑事风险的可能性更高。《波兰刑法典》的相关规定可能包括：

• 第267条–非法获取信息，包括破解或绕过电子、磁性、信息技术或其他特殊安全保护措施；
• 第268条–毁坏、损坏、删除或篡改信息，或阻止他人访问该等信息；
• 第268a条–干扰信息技术数据，包括严重妨碍数据的自动化处理、收集或传输；
• 第269a条–干扰信息技术系统或网络，并对其运行造成重大妨碍。

这些规定尤其适用于勒索软件、凭证窃取、内部人员提取数据、未经授权访问数据库及蓄意破坏等案件。有关数字事件在刑法实践中的更多信息，请参阅 KKZ 的网络犯罪业务概览。

与刑事风险评估相关的三项 GDPR 适用范围例外

在评估 GDPR 违规之前，必须先确认该条例是否适用。GDPR 第2条规定了若干可能影响 GDPR 义务适用性的例外情形。以下三种实务情形尤其值得关注：

1. 自然人在纯粹个人或家庭活动过程中进行的数据处理，不属于 GDPR 的适用范围。
2. 主管机关为预防、调查、侦查或起诉刑事犯罪而进行的数据处理，通常适用独立的执法数据保护制度。
3. 在欧盟法律适用范围之外的活动中进行的数据处理，不适用 GDPR。

这些例外并不会自动排除刑事风险。未经授权访问他人数据、披露机密信息或干扰系统的行为，仍可能依据《刑法典》或其他法律受到审查。法律定性取决于数据来源、行为目的、访问方式及造成的损害。

涉嫌数据泄露犯罪对企业的影响

面临涉嫌数据泄露犯罪的企业必须迅速但审慎地采取行动。失控的内部沟通、篡改日志记录，或过早指控员工，都可能损害证据并增加法律风险。首要步骤应是制止事件、保全证据并查明事实。

-套结构化的应对措施通常包括：

• 保护受影响的系统、账户、设备及访问日志；
• 识别所涉个人数据的类别和数量；
• 评估事件是否对个人的权利和自由构成风险；
• 考虑是否应根据 GDPR 第33条在72小时内向 UODO 报告；
• 考虑是否应根据 GDPR 第34条通知受影响的个人；
• 评估是否有理由向执法机关报案；
• 记录决策过程、证据保全措施及补救措施。

当个人数据泄露可能对自然人的权利和自由造成风险时，GDPR 规定的72小时期限才适用。该期限并非适用于每-次技术事件的自动报告义务。因此，形成书面评估记录至关重要。如果泄露不太可能造成此类风险，则可能无须向 UODO 报告，但控制者仍必须记录该数据泄露事件。[1]

管理层责任与内部调查

数据保护事件往往揭示更广泛的公司治理缺陷，例如权限过度授予、缺乏离职交接程序、供应商管理不善、培训不足或监控机制无效。这些缺陷可能增加被处以行政罚款的可能性，也会使企业难以证明其已按照 GDPR 第32条实施适当的技术和组织措施。

取证审查应当将已确认的事实与推测区分开来。调查应确定谁访问了数据、何时发生访问、复制或披露了哪些内容、数据是否流出组织，以及相关行为是否具有故意性。如内部调查显示可能存在犯罪行为，从-开始便应考虑法律保密特权、员工权利、举报义务以及证据处理规则。

Kopeć & Zaborowski（KKZ）为企业提供网络事件刑法评估、内部调查、监管应对及危机沟通支持，尤其适用于数据保护违规可能产生刑事后果的情形。

本文仅供参考，不构成法律意见。每项评估均取决于具体事实情况，包括数据性质、访问范围及相关人员的行为。

如果案件还涉及与个人数据处理有关的刑事指控，建议咨询律师并获得针对具体情况的法律评估。尽早沟通有助于识别可能的程序步骤及与证据有关的风险。

常见问题 – 波兰 GDPR 违规的刑事后果

在波兰，违反 GDPR 会被判处监禁吗？

会。根据波兰《个人数据保护法》第107条，非法处理个人数据最高可判处两年监禁；如果涉及特殊类别的个人数据，最高可判处三年监禁。[2]

每-次个人数据泄露都是刑事犯罪吗？

不是。数据泄露可能由错误、疏忽或技术故障造成。刑事责任要求符合特定犯罪的构成要件，例如非法处理数据、未经授权访问或干扰信息技术数据。

UODO 会实施刑事处罚吗？

不会。UODO 负责实施行政措施和行政罚款。刑事责任则由执法机关和法院在刑事程序中进行审查和认定。

每-次数据泄露都必须在72小时内向 UODO 报告吗？

不是。仅当泄露可能对自然人的权利和自由造成风险时，才需要进行报告。不过，控制者仍必须记录对每-次数据泄露所作出的评估。[1]

员工复制客户数据会承担刑事责任吗？

存在这种可能。责任取决于员工是否有权访问和使用该数据、复制数据的目的、后续使用的性质以及其他具体事实情况。

公司本身会因数据保护违法行为承担刑事责任吗？

刑事犯罪通常归责于自然人。若满足法定条件，法人或其他集体实体可能根据《关于集体实体对受处罚禁止行为承担责任的法案》面临独立后果。[3]

参考资料

• [1] 欧洲议会和欧盟理事会2016年4月27日第（EU）2016/679号条例（GDPR）。
• [2] 2018年5月10日《个人数据保护法》，2018年《法律公报》第1000项，经修订。
• [3] 2002年10月28日《关于集体实体对受处罚禁止行为承担责任的法案》，2002年《法律公报》第197号、第1661项，经修订。
• [4] 1997年6月6日《刑法典》，1997年《法律公报》第88号、第553项，经修订。
• [5] 个人数据保护局局长（UODO）：官方指引与决定。