Czy dopuszczalne jest wysłanie informacji o odejściu kolegi z pracy — do pracowników, przez pracodawcę? Czy udostępnienie kontrahentowi danych osobowych byłego pracownika narusza RODO? Czy naruszenie przepisów o ochronie danych osobowych powinno wiązać się z nałożeniem kary pieniężnej, czy jednak dlatego RODO przewiduje dość szeroki wachlarz sankcji, żeby organ mógł korzystać z różnych możliwości? I przy okazji: czy naruszenie przepisów o ochronie danych osobowych może naruszać dobra osobiste, co powinien wziąć pod uwagę także PUODO? (nieprawomocny wyrok WSA w Warszawie z 29 września 2021 r., II SA/Wa 1724/21).
Sprawa zaczęła się od wysłanego przez przełożonego listela informującego o odejściu z pracy jednego z pracowników. Wiadomość zawierająca imię i nazwisko — w ocenie zainteresowanego nastąpiło to „w celu postawienia go w negatywnym świetle”, o czym świadczy fakt, że w treści pojawiło się sformułowanie, że „nie podjął wyzwania” — trafiła na skrzynki pracowników firmy oraz (omyłkowo, za co zarząd zmył głowę komu trzeba) do jednego z kontrahentów, zatem złożył do PUODO skargę.
W wydanej decyzji PUODO stwierdził, że pracodawca miał prawo przekazać informację o rezygnacji z pracy ogółowi zatrudnionych w firmie, albowiem było to niezbędne dla ustalenia grafiku pracy i zapewnienia ciągłości wykonywania obowiązków. Nieuprawnione było natomiast udostępnienie danych osobowych byłego pracownika kontrahentowi spółki, zatem działanie pracodawcy naruszyło zasadę minimalizacji danych, za co udzielono mu upomnienia (art. 58 ust. 2 lit. b) RODO).
Zdaniem ex-pracownika sankcja w postaci upomnienia była zbyt łagodna, zatem wniósł skargę na decyzję do sądu administracyjnego. W treści skargi podkreślił, że nie można usprawiedliwiać interesem pracodawcy wysyłania wieczorową porą korespondencji, której treść narusza dobra osobiste, podobnie jak żaden przepis prawa nie pozwala na wysyłanie osobom postronnym ocen pracownika. Rozesłanie takiego listela stanowi mobbing i naruszenie ochrony danych osobowych, o czym administrator powinien powiadomić osobę, której dane zostały bezprawnie ujawnione, co sumarycznie oznacza, że PUODO powinien nałożyć na ex-pracodawcę karę pieniężną za naruszenie RODO.
Wojewódzki Sąd Administracyjny nie podzielił tych zarzutów: zgodne z prawem było ujawnienie danych personalnych, wraz z informacją o odejściu z pracy, innym pracownikom firmy. Uprawnienie to wynika ze spoczywającego na pracodawcy obowiązkach w zakresie organizacji pracy (art. 94 pkt 2 kp), które stanowią wystarczającą przesłankę legalizującą przetwarzanie danych osobowych byłego pracownika (art. 6 ust. 1 lit. f) RODO). Prawidłowo natomiast oceniono, że udostępnienie przez pracodawcę danych osobowych byłego pracownika kontrahentowi było nieuzasadnione i naruszało art. 5 ust. 1 lit. c) RODO. Jednakże nie każde złamanie przepisów RODO musi wiązać się z nałożeniem administracyjnej kary pieniężnej — środek taki może być stosowany „oprócz lub zamiast” innych uprawnień naprawczych, do których należy także upomnienie, toteż organ nie ma obowiązku stosowania kar finansowych w każdym przypadku.
WSA nie podzielił także zarzutów odnoszących się do braku poinformowania o naruszeniu danych osobowych — owszem, obowiązek taki istnieje, jednak wyłącznie wówczas, kiedy może powodować wysokie ryzyko dla zainteresowanego, a tymczasem kontrahent otrzymaną wiadomość usunął zaraz po jej utrzymaniu (por. „Kara za brak zgłoszenia naruszenia ochrony danych osobowych”). Odnośnie natomiast zarzutu naruszenia dóbr osobistych, sąd podkreślił, iż sprawy tego rodzaju podlegają rozpatrzeniu przez sąd powszechny, w postępowaniu cywilnym, zatem zainteresowany powinien wystąpić ze stosownym powództwem (por. „Ujawnienie danych osobowych pracownika nie musi oznaczać naruszenia dóbr osobistych”).
Z tego względu skarga na decyzję PUODO została oddalona.