O zagubieniu świadectwa pracy trzeba informować UODO

Decyzja Urzędu Ochrony Danych Osobowych w tej sprawie zapadła 6.06.2022 r. (DKN.5110.12.2021).

Spółka, która zgubiła świadectwo pracy, nie zgłosiła tego w UODO, ponieważ uznała, że nie wiązało się to z ryzykiem naruszenia praw lub wolności osoby, której te dane dotyczą. UODO o potencjalnych nieprawidłowościach w prowadzeniu akt osobowych pracowników dowiedział się od komendanta powiatowego policji. Na jego wezwanie do złożenia wyjaśnień spółka przyznała, że faktycznie zgubiła ten dokument. Pracownik, którego dotyczyła sprawa, wiedział o zagubieniu świadectwa, ale nie zgłaszał w związku z tym żadnych roszczeń.

Zdaniem UODO uznanie przez spółkę, że ten incydent nie stanowił naruszenia ochrony danych osobowych, nie miało podstaw faktycznych ani prawnych. Informacje w treści świadectwa pracy stanowią dane osobowe. Oprócz podstawowych danych, takich jak imię, nazwisko, miejsce zamieszkania czy data urodzenia, w treści tego dokumentu podaje się informacje szczególnie istotne z punktu widzenia praw lub wolności osoby, której dane dotyczą. W szczególności chodzi o tryb i podstawę prawną rozwiązania bądź wygaśnięcia stosunku pracy, a także ew. zajęcia egzekucyjne wynagrodzenia. Takie dane mogą w sposób bezpośredni lub pośredni ujawniać informacje o życiu osobistym pracownika, jego problemach natury prawnej oraz statusie majątkowym.

W opinii UODO z uwagi na zakres danych znajdujących się na zagubionym świadectwie pracy wystąpiło ryzyko naruszenia praw lub wolności podmiotu danych. W konsekwencji spółka jako administrator danych powinna zgłosić to naruszenie do organu nadzorczego. Ponieważ tego nie zrobiła, nie spełniła obowiązków wynikających z ogólnego rozporządzenia o ochronie danych osobowych (RODO).

Już samo ryzyko, że z danymi mogła się zapoznać nieuprawniona osoba, było podstawą, aby dokonać zgłoszenia naruszenia do UODO. Nie jest przy tym istotne, czy ktokolwiek miał wgląd w dokument i czy zapoznał się z zawartymi w nim informacjami.

Brak powiadomienia urząd uznał za świadome działanie spółki. To wpłynęło na wysokość kary wymierzonej w kwocie 15 994 zł. Dokument nie odnalazł się do dnia wydania przez UODO decyzji. Fakt zawiadomienia pracownika o utracie jego świadectwa pracy i to, że nie zgłaszał z tego tytułu roszczeń wobec spółki, nie uwolniły jej od obowiązku zgłoszenia tego naruszenia do organu nadzoru.

Każdy administrator danych ma obowiązek zgłaszać takie incydenty organowi nadzorczemu bez zbędnej zwłoki, nie później niż w ciągu 72 godz. po stwierdzeniu naruszenia ochrony danych. Czas reakcji jest bardzo ważny szczególnie w przypadku poważnych naruszeń. Gdyby się bowiem okazało, że administrator powinien powiadomić nie tylko Prezesa UODO, lecz także osoby, których dane są przedmiotem naruszenia, a tego wcześniej nie zrobił, może szybko uzyskać informację o takiej konieczności. Bardzo ważne jest też, aby osoby, których dane zostały np. ujawnione, skradzione albo w inny sposób dotknięte naruszeniem, mogły po takim powiadomieniu jak najszybciej same podjąć działania, które zabezpieczą je przed zagrożeniami związanymi z incydentem.