Przełożony wykorzystał dane pracownika w toku prywatnej sprawy karnej — czy to naruszenie RODO?

Czy przełożony pracownika może powołać się w prywatnej sprawie na informacje pochodzące z akt pracowniczych? Czy jednak jest to sprzeczne z RODO, ponieważ prowadzona przez pracodawca dokumentacja pracownicza służy do czegoś zupełnie innego, a osoba przetwarzająca dane w imieniu administratora nie może sama decydować o sposobach ich użycia? Czy zatem za wykorzystanie danych akt z pracowniczych w celach prywatnych może odpowiadać pracodawca? (wyrok Naczelnego Sądu Administracyjnego z 9 stycznia 2025 r., III OSK 6357/21).

opis stanu faktycznego:

• sprawa zaczęła się od posłużenia się przez świadka i stronę oskarżoną w postępowaniu karnym dokumentami dotyczącymi oskarżycielki prywatnej, a pochodzącymi z jej akt osobowych (m.in. notatki służbowej, danych z rejestru czasu pracy);
• dla jasności: w tym postępowaniu karnym podwładna (urzędniczka) oskarżała swoją przełożoną (dyrektorkę wydziału w urzędzie) o pomówienie (dotyczące oceny jakości jej pracy), świadkiem obrony był sekretarz miasta, dane zostały pobrane z wewnętrznego systemu Urzędu Miasta — świadek je cytował, oskarżona przekazała (via swoja obrończyni) sądowi;

• natomiast samodzielna zmiana celu przetwarzania przez taką osobę jest incydentem bezpieczeństwa, zatem można przyjąć, iż wdrożone przez urząd miasta środki nie były właściwe, zatem prezydentowi miasta udzielono upomnienia za bezprawne udostępnienie danych;
• w skardze na tę decyzję ukarany podkreślił, że przepisy kpk nakładają na świadka i oskarżonego określone obowiązki i prawa, w tym obowiązek zeznawania szczerej prawdy oraz prawo do obrony (ergo przekazanie dokumentów legalizowały art. 6, art. 177 i art. 188 kpk), a na sąd obowiązek uwzględniania prawdziwych ustaleń faktycznych, zarazem niezależnie od tego, że akt oskarżenia dotyczył „prywatnej” osoby fizycznej, to zarzuty obejmowały zdarzenie rozgrywające się w urzędzie, a więc wykorzystanie danych mieściło się w celu ich przetwarzania przez administratora;

orzeczenie WSA:

• administratorem danych osobowych był prezydent, zatem tylko on mógł decydować o celach i sposobach ich przetwarzania — a przecież dane osobowe pracowników nie są przetwarzane przez urząd miasta w związku z prowadzonymi postępowaniami karnymi;
• sytuacja, iż pracownik mógł samodzielnie podjąć decyzję o wykorzystaniu danych osobowych w celach prywatnych narusza RODO, zaś odkąd „za nieprawidłowości dotyczące przetwarzania danych osobowych w związku z wykonywaniem zadań przez pracowników administratora danych osobowych odpowiada sam administrator” — decyzja PUODO była prawidłowa (wyrok WSA w Warszawie z 4 marca 2021 r., II SA/Wa 1254/20);

skarga kasacyjna:

• w skardze kasacyjnej od tego orzeczenia ukarany podkreślił, że skoro o wykorzystaniu danych uczestnicy postępowania karnego zdecydowali samodzielnie, to nie można uznać, iżby doszło do ich nieuprawnionego udostępnienia przez prezydenta miasta, a więc decyzja została wydana wobec wadliwie oznaczonego adresata, przez co jest nieważna;
• zaś tak czy inaczej zaprezentowana wykładnia pozbawia oskarżoną prawa do obrony oraz jest sprzeczna z obowiązkiem zeznawania prawdy przez świadka;

orzeczenie NSA:

• administratorem danych osobowych pracowników jest pracodawca, bo to on decyduje o celach i sposobach ich przetwarzania;
• obowiązkiem administratora jest kontrola nad przetwarzanymi danymi, tj. nad zgodnością z prawem, zabezpieczeniem (przed nieuprawnionym dostępem, wyciekiem, itd.), ale też nad działaniami osób przetwarzającymi dane w imieniu administratora;
• wykorzystanie danych akt pracowniczych przez osobę przetwarzającą w jej celach prywatnych — przedstawienie ich jako dowodu w postępowaniu sądowym — oznacza, iż dane osobowe były przetwarzane w sposób niezgodny z celem przetwarzania;
• pracodawca nie może się przy tym powołać na okoliczność, iż to jego pracownicy samodzielnie dopuścili się owego naruszenia — bo to administrator odpowiada za wdrożenie odpowiednich środków technicznych i organizacyjnych (art. 24 ust. 1 RODO);

Fakt, iż dane osobowe pracownika podlegały przetwarzaniu przez innych pracowników Urzędu niezgodnie z celami, dla których zostały zebrane, nie zwalnia administratora tych danych z obowiązku zapewnienia, aby dane osobowe były zbierane dla oznaczonych celów i nie były poddawane dalszemu przetwarzaniu niezgodnemu z tymi celami, stosownie do art. 5 ust. 1 lit. b RODO.

• ocena taka nie narusza konstytucyjnego prawa do obrony i sprawiedliwego procesu karnego, bo nawet te gwarancje nie mogą przekreślać zasad ochrony danych osobowych (tu NSA wyjaśnił, że zainteresowani mogli zwrócić się do swojego urzędu o zgodę na wykorzystanie informacji — ja zaś dodam, że w kpk są przecież przepisy o wydaniu dowodów przez osobę trzecią).

Sumarycznie NSA uznał, iż doszło do udostępnienia danych osobowych do celów prywatnych — a więc do incydentu, za który odpowiedzialność ponosi administrator — a więc skarga kasacyjna została oddalona.

Tekst Przełożony wykorzystał dane pracownika w toku prywatnej sprawy karnej — czy to naruszenie RODO? pojawił się poraz pierwszy w Czasopismo Lege Artis.