Kwestia pojęcia przetwarzania danych osobowych w dalszym ciągu może budzić wątpliwości dla podmiotów je przetwarzających. Potwierdził to niedawno opublikowany wyrok Naczelnego Sądu Administracyjnego z 19.01.2024 r. (III OSK 2816/22) w sprawie dotyczącej udostępnienia przez spółdzielnię danych osobowych członka spółdzielni jego pracodawcy.
Z pozoru niewinne dołączenie „do wiadomości”.
Orzeczenie zapadło na podstawie konfliktu pomiędzy spółdzielnią mieszkaniową, a jednym z jej członków. W korespondencji pomiędzy stronami, członek spółdzielni posługiwał się adresem e-mail, obejmującym jego imię i nazwisko, ale zawierającym domenę pracodawcy, wskazującą na miejsce jego zatrudnienia. Pracownicy spółdzielni, zauważając ten szczegół, postanowili go wykorzystać. Kierując odpowiedź na jedną z wiadomości e-mail od członka spółdzielni, dołączyli oni „do wiadomości” również jego pracodawcę. Czynność ta, z pozoru niewinna, a z pewnością mająca na celu przysporzenie problemów w miejscu zatrudnienia członkowi spółdzielni, spowodowała wszczęcie postępowania w sprawie naruszenia RODO. Konsekwencją było nałożenie na spółdzielnię przez Prezesa Urzędu Ochrony Danych Osobowych decyzji udzielającej upomnienia.
Czy ma znaczenie, że adresat dane te już posiadał?
Nie ulega wątpliwości, że pracodawca posiada dane osobowe swoich pracowników takie jak imię i nazwisko, czy adres zamieszkania. Jednak, jak słusznie wskazał sąd w omawianym wyroku, nie ma znaczenia, dla ustalenia legalności przetwarzania danych, czy podmiot, któremu dane się udostępnia, był już w ich posiadaniu. Operacja przetwarzania danych osobowych jest bowiem legalna, gdy spełniona jest przynajmniej jedna z przesłanek określonych w art. 6 ust. 1 RODO. Spółdzielnia natomiast, udostępniając te dane, naruszyła prawnie uzasadniony cel, na jaki zebrała ona dane osobowe członków spółdzielni.
Jak powinien zachować się pracodawca?
Oprócz lekcji szczególnej ostrożności w udostępnianiu danych osobowych, warto zwrócić uwagę na zachowania prewencyjne od strony pracodawcy. Warto przypomnieć, że co do zasady służbowa skrzynka mailowa jest własnością pracodawcy, służącą do wykonywania wyłącznie czynności służbowych. Warto zadbać o odpowiednie zapisy i zakazy w regulaminach pracy, które regulować będą monitoring służbowej poczty elektronicznej, a także zasady przetwarzania danych osobowych pracowników w tym celu.
Autor:
Jagoda Korzeniowska
Adwokat