[disklajmer: ten tekst jest największą wtopą na tutejszych łamach — orzeczenie było omawiane na tutejszych łamach pięć miesięcy wcześniej, por. „Czy wysłanie do pracowników informacji o odejściu pracownika narusza RODO?”. To kolejny dowód, że powinienem nie tylko więcej czytać to, co sam napisałem, ale też stosować do siebie samego zasadę „ufaj, ale sprawdzaj!”!]
Czy przekazanie przez pracodawcę, innym pracownikom, informacji o odejściu pracy, ich kolegi z pracy, stanowi naruszenie ochrony danych osobowych? Czy jednak firma powinna zadbać o ciągłość wykonywanych zadań, a więc ujawnienie takiego faktu nie jest sprzeczne z RODO? A jeśli chlebodawca powiadomi także jednego z kontrahentów — czy to można traktować jako złośliwe naruszenie prywatności ex-pracownika? I, wcale nie na marginesie: czy każde naruszenie RODO powinno wiązać się z nałożeniem kary pieniężnej na administratora?
wyrok Naczelnego Sądu Administracyjnego z 29 maja 2025 r. (III OSK 1018/22)
Kary pieniężne mogą być stosowane — jak stanowi art. 83 ust. 2 RODO — „oprócz lub zamiast” innych uprawnień naprawczych. Oznacza to, że organ nadzorczy nie jest zobligowany do nałożenia kary w każdym przypadku naruszenia przepisów rozporządzenia. Może bowiem uznać, że nałożenie kary pieniężnej jest sankcją nieproporcjonalną do rodzaju naruszenia i poprzestać na zastosowaniu innych środków nadzorczych.
opis stanu faktycznego:
- sprawa zaczęła się od przesłania przez przełożonego listela o zwolnieniu się pracownika z pracy — do kolegów i koleżanek z pracy, a także (przypadkowo) do jednego z kontrahentów („w związku z rezygnacją z pracy na stanowisku [skarżącego] na rzecz własnego pomysłu na życie, proszę o uwzględnienie powyższego w grafiku na marzec 2019”);
- kontrahent wiadomość usunął, a przynajmniej oświadczył, że skasował…
- …aczkolwiek, ponieważ w listelu padły także słowa, iż ów pracownik „nie podjął wyzwania”, zainteresowany wniósł skargę na naruszenie RODO;
- PUODO uznał, że pracodawca jest uprawniony do informowania pracowników o zmianach kadrowych w firmie, ale udostępnienie danych na zewnątrz nie znajdowało podstawy w przepisach, więc w wydanej decyzji udzielił firmie upomnienia;
art. 58 ust. 2 lit b RODO
Każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia naprawcze:
b) udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania;
art. 83 ust. 2 RODO
Administracyjne kary pieniężne nakłada się, zależnie od okoliczności każdego indywidualnego przypadku, oprócz lub zamiast środków, o których mowa w art. 58 ust. 2 lit. a)–h) oraz j). […]
motyw 148 RODO
[…] Jeżeli naruszenie jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie, można zamiast tego udzielić upomnienia. […]
- zdaniem pracownika taka sankcja za była zbyt łagodna, jednak WSA nie podzielił jego zarzutów: obowiązki w zakresie ciągłości organizacji pracy uzasadniają przekazanie informacji o odejściu jednego z pracowników, a chociaż przekazanie kontrahentowi informacji o odejściu pracownika z pracy było nieuprawnione, to przecież nie każde naruszenie musi wiązać się z nałożeniem kary pieniężnej („Udostępnienie kontrahentowi danych osobowych ex-pracownika narusza RODO”);
skarga kasacyjna:
- w skardze kasacyjnej pod tego wyroku pracownik podkreślił, że rozesłanie negatywnej oceny jego osoby mogło powodować wysokie ryzyko naruszenia praw i wolności, a więc firma powinna była zawiadomić go o naruszeniu;
- zarazem chociaż administracyjne kary pieniężne nakłada się „oprócz lub zamiast” środków naprawczych, to przecież PUODO nie ma dowolności w stosowaniu sankcji, a raczej powinien kierować się oceną konkretnego przypadku;
wyrok NSA:
- przekazanie pracownikom informacji o odejściu z pracy jednego z kolegów jest usprawiedliwione potrzebną prawidłowego ustawienia zadań, a więc mieści się w pojęciu uzasadnionego interesu pracodawcy (art. 6 ust. 1 lit f RODO);
- bezsporne jest natomiast, iż ujawnienie informacji o zwolnieniu się pracownika na zewnątrz nastąpiło z naruszeniem zasady minimalizacji danych; nie da się też zaprzeczyć, iż ujawnione dane stanowiły dane zwykłe;
- jednakże podjęte przez spółkę działania po wycieku — szybki kontakt z klientem i zobowiązanie go do usunięcia danych — należy uznać za adekwatne i wystarczające, zaś o braku ryzyka naruszenia praw i wolności przekonuje fakt, iż w ciągu kolejnych 6 lat skarżącego nie spotkała jakakolwiek szkoda;
- (tu warto przypomnieć, że w innym orzeczeniu NSA uznał, że nie można oceniać ryzyka po następstwach — ale też nie można pomijać, że chodziło o inny zestaw danych — jak też nie można zauważać, że NSA niejako przyjął za dobrą monetę zapewnienie przypadkowego odbiorcy);
- czy naruszenie danych zawsze powinno wiązać się z nałożeniem przez PUODO kary pieniężnej? tutaj NSA zwrócił uwagę, iż zgodnie z prawem decyzja o sankcji finansowej musi uwzględniać indywidualne okoliczności sprawy, zaś kara jest nakładana „oprócz lub zamiast” zwykłych uprawnień naprawczych.
Oddalając skargę kasacyjną NSA przypomniał, iż RODO wyraźnie mówi, że nikłość naruszenia jest przesłanką zastosowanie wyłącznie środka naprawczego w postaci upomnienia, zatem organ ma prawo zastosować wyłącznie sankcję niefinansową.