Czy wysłanie przez pracodawcę informacji o odejściu pracownika z pracy narusza RODO? Jeśli w treści wiadomości były dane osobowe ex-pracownika, a jej adresatem byli inni pracownicy i kontrahent firmy? Czy w takim przypadku PUODO powinien się zainteresować także motywacją pracodawcy, w tym ocenić na ile chodziło o mobbing lub naruszenie dóbr osobistych? (wyrok Naczelnego Sądu Administracyjnego z 29 maja 2025 r., III OSK 1018/22)
opis stanu faktycznego:
- sprawa dotyczyła wysłanego przez przełożonego (ściśle: ex-przełożonego) do pracowników i klienta firmy listela o treści „w związku z rezygnacją z pracy [imię i nazwisko skarżącego] na rzecz własnego pomysłu na życie, proszę o uwzględnienie powyższego w grafiku”, w wiadomości znalazło się także zdanie, iż ex-pracownik „nie podjął wyzwania”;
- w skardze do PUODO zainteresowany zarzucił, że wiadomość została rozesłana w celu postawienia go w negatywnym świetle, przy czym doszło też do naruszenia zasad przetwarzania danych osobowych;
- (pracodawca wyjaśnił, że wysłana informacja miała na celu zapewnienie ciągłości pracy spółki — do kontrahenta trafiła przez pomyłkę, ten jednak usunął wiadomość po otrzymaniu takiej prośby);
art. 6 ust. 1 lit f RODO
Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią […].
- w wydanej decyzji urząd uznał, że udostępnienie danych osobowych ex-pracownika załodze miało podstawę w art. 6 ust. 1 lit f RODO, natomiast wysłanie informacji do osoby trzeciej było sprzeczne z zasadą minimalizacji danych, zaś w takim przypadku pracodawca zasługuje na sankcję w postaci upomnienia; jeśli jednak skarżący chce dochodzić roszczeń wynikających z naruszenia jego dóbr osobistych, to powinien wystąpić z powództwem cywilnym;
wyrok WSA:
- odnosząc się do skargi zainteresowanego na częściowo korzystną dlań decyzję WSA stwierdził, że pracodawca ma prawo poinformować pracowników o odejściu jakiejś osoby z pracy, a takie działanie nie jest sprzeczne z RODO;
- jeśli ex-pracownik zamierza podnosić roszczenia wynikające z naruszenia dóbr osobistych lub mobbingu, to powinien się zwrócić do odpowiednich instancji, ponieważ kwestie są zupełnie poza zakresem kompetencji PUODO;
- a oddalając skargę przypomniał, iż nawet w przypadku stwierdzenia naruszenia nałożenie na administratora kary pieniężnej nie jest obligatoryjne — bo przecież taką karę nakłada się „oprócz lub zamiast” innych środków wynikających z uprawnień naprawczych (wyrok WSA w Warszawie z 29 września 2021 r., II SA/Wa 1724/21);
skarga kasacyjna:
- w skardze kasacyjnej ex-pracownik zarzucił, iż żaden interes pracodawcy nie usprawiedliwia informowania wszystkich o rozstaniu się pracownika z firmą i udostępniania danych w postaci imienia i nazwiska oraz adresu e-mail;
- (i tu argumentacja, że pracodawca nie ma prawa wysyłać ocen dotyczących pracownika innym osobom, a PUODO powinien zająć się mobbingiem „poprzez” dane osobowe);
- ponadto spółka nie tylko nie wykazała, że adresatami rozesłanej wiadomości były tylko osoby zatrudnione (brak kopii umów o pracę, zgłoszeń do ZUS, świadectw pracy…), ale też nie zawiadomiła go o naruszeniu — a organ bezpodstawnie przyjął, iż bezprawne wysłanie informacji o odejściu pracownika z pracy zasługuje wyłącznie na upomnienie;
wyrok NSA:
- chociaż udostępnienie osobie postronnej danych ex-pracownika z pracy jest sprzeczne z RODO, to wysłanie do innych pracowników firmy listela o odejściu z pracy ich kolegi mieści się w prawnie uzasadnionym interesie pracodawcy-administratora danych;
- sęk w tym, że pracodawca ma prawo i obowiązek organizacji pracy oraz ustalenia grafików w dziale, co czego uzasadnione jest przekazanie odpowiednich informacji;
- nie można mieć też pretensji, iż w wysłanej wiadomości podany był służbowy adres email zainteresowanego — albowiem we współczesnym świecie komunikacja elektroniczna jest oczywistą oczywistością (można dośpiewać: podobnie jak to, że identyfikatorem w adresie są dane osobowe użytkownika);
- czy sformułowanie, iż zwalniający się pracownik „nie podjął wyzwania” narusza dobra osobiste? na tak postawione pytanie NSA nie odpowiedział — przecież rolą sądu administracyjnego jest kontrola decyzji organu nadzorczego, a skoro PUODO ochroną dóbr osobistych się nie zajmuje, to nie zajmuje się nimi i WSA/NSA;
- wysłanie takiej wiadomości do kontrahenta, choć sprzeczne z RODO, nie skutkuje wysokim naruszeniem praw i wolności osoby, przeto pracodawca nie miał obowiązku zawiadomienia zainteresowanego (zastępczo potwierdza to brak konsekwencji w przeciągu 6 lat od zdarzenia do orzeczenia).
Uznając, nie każde naruszenie RODO tworzy obowiązek nałożenia na administratora kary pieniężnej — w tym zakresie PUODO ma określony zakres swobody — NSA oddalił skargę kasacyjną.