Marek A. (dane zmienione) złożył do Prezesa Urzędu Ochrony Danych Osobowych skargę na nieprawidłowości w procesie przetwarzania jego danych przez byłego pracodawcę. Chodziło o sytuację, w której przełożony wysłał wiadomość mailową zawierającą imię i nazwisko pracownika oraz informację o jego rezygnacji z pracy. Konkretnie wskazał, że w związku z odejściem Marka A. z pracy na rzecz własnego pomysłu na życie, prosi o uwzględnienie tej okoliczności w grafiku. Wiadomość trafiła do pracowników spółki i omyłkowo do jednego z klientów. W ocenie Marka A. działanie to miało postawić go w negatywnym świetle. Pracodawca tłumaczył jednak, że wiadomość miała na celu zabezpieczanie ciągłości pracy spółki. Natomiast klient, który dostał maila przez pomyłkę, skasował go na prośbę spółki.
Upomnienie za wysłanie maila do klienta
Prezes UODO udzielił spółce upomnienia. Organ stwierdził, że udostępnienie danych osobowych skarżącego osobie trzeciej, niebędącej pracownikiem spółki, stanowiło naruszenie zasady minimalizacji danych (art. 5 ust. 1 lit. c) oraz było niezgodne z art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej jako: RODO). Natomiast udostępnienie spornych danych pracownikom spółki znajdowało oparcie w art. 6 ust. 1 lit. f RODO. Przepis ten stanowi, że przetwarzanie danych jest zgodne z prawem, jeżeli jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub stronę trzecią. Nie zakończyło to jednak sporu, ponieważ Marek A. postanowił wnieść skargę.
PROCEDURA Uzyskiwania zgody na przetwarzanie danych osobowych >>
Czytaj także:
WSA: UODO nie zajmie się monitoringiem w klinice weterynaryjnej >>
Indywidualny monitoring pracownika – zagadnienie monitorowania pracowników i ich danych >>
Spółka miała interes, by powiadomić współpracowników
Sprawą zajął się WSA, który wskazał, że spółka miała prawnie uzasadniony interes w powiadomieniu współpracowników skarżącego o jego odejściu z pracy. Z wyjaśnień przełożonego wynikało, że wysłanie maila było podyktowane potrzebą przeorganizowania pracy. Zgodnie bowiem z art. 22 par. 1 i art. 94 pkt 2 ustawy - Kodeks pracy, do podstawowych kompetencji pracodawcy, należy organizowanie i kierowanie pracą pracowników. Skarżący wytknął też organowi naruszenie art. 22(1), 94 pkt 9 i 94(3) par. 1 kp. Sąd uznał jednak, że zarzuty te okazały się całkowicie nieuzasadnione, ponieważ art. 22(1) kp jasno określa dane osobowe, których może żądać pracodawca od pracownika i jest wśród nich imię i nazwisko. Natomiast pozostałe przepisy dotyczą obowiązków pracodawcy związanych ze stosowaniem obiektywnych i sprawiedliwych kryteriów oceny pracowników i wyników ich pracy oraz przeciwdziałania mobbingowi. Tymczasem kwestia ich przestrzegania nie była objęta niniejszym postępowaniem.
Czytaj też:
Praktyczne problemy związane z przetwarzaniem danych pracowników >
Tajemnica wynagrodzeń - obowiązki pracodawcy i pracownika >
Cena promocyjna: 119 zł
|Cena regularna: 119 zł
|Najniższa cena w ostatnich 30 dniach: 83.3 zł
Udzielenie upomnienia było wystarczające
WSA nie podzielił stanowiska skarżącego, że udzielenie przez organ jedynie upomnienia było nieadekwatne do przewinienia. Zgodnie bowiem z motywem 148 preambuły RODO, środek ten może być stosowany w przypadku, gdy naruszenie przepisów jest niewielkie. W tym kontekście sąd zwrócił uwagę, że spółka zareagowała natychmiast po ustaleniu, że doszło do naruszenia, a sporna wiadomość została usunięta przez osobę, która nie powinna być jej adresatem. Bezskuteczny okazał się też zarzut dotyczący niepoinformowania skarżącego o naruszeniu jego danych osobowych. Artykuł 34 ust. 1 RODO stanowi bowiem, że administrator danych osobowych jest obowiązany zawiadomić osobę, której dotyczy naruszenie wówczas, gdy może ono powodować wysokie ryzyko naruszenia jej praw lub wolności. Mając powyższe na uwadze, WSA oddalił skargę.
Wyrok WSA w Warszawie z 29 września 2021 r., sygn. akt II SA/Wa 1724/21
-------------------------------------------------------------------------------------------------------------------
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji.
