Udostępnianie danych byłego pracownika a RODO – co wolno, a co narusza przepisy?

Udostępnianie danych byłego pracownika zespołowi budziło wątpliwości – czy taka praktyka narusza RODO? Wyrok Naczelnego Sądu Administracyjnego z 29 maja 2025 r. (III OSK 1018/22) rozwiewa te obawy. Wyjaśnia, kiedy pracodawca może legalnie poinformować załogę o odejściu pracownika, a kiedy takie działanie narusza przepisy o ochronie danych. Przedstawiamy kluczowe ustalenia z tego orzeczenia oraz praktyczne wskazówki dla działów HR.

Informowanie współpracowników o odejściu – działanie zgodne z RODO

W omawianej sprawie przełożony rozesłał do pracowników działu e-mail z informacją o odejściu jednego z pracowników, który zawierał imię, nazwisko oraz fakt rezygnacji z pracy. Pracownik, którego dotyczyła wiadomość złożył skargę do PUODO. NSA potwierdził, że takie udostępnienie danych wewnątrz firmy jest dopuszczalne i mieści się w granicach prawnie uzasadnionego interesu administratora danych (pracodawcy). Miało to na celu zapewnienie ciągłości pracy – informacja okazała się niezbędna do przeorganizowania grafiku po odejściu pracownika. Warunkiem zgodności z RODO jest jednak ograniczenie zakresu udostępnianych danych do minimum potrzebnego celu (w tym przypadku wystarczyły imię, nazwisko oraz fakt odejścia).

Przekazanie danych osobom trzecim – naruszenie RODO

Problem pojawia się, gdy informacje o byłym pracowniku zostaną udostępnione poza firmę. W opisywanej sprawie e-mail trafił również do klienta spółki. Takie przekazanie danych osobie nieuprawnionej nie miało podstawy prawnej (brak przesłanki z art. 6 ust. 1 RODO) i naruszało zasadę minimalizacji danych (art. 5 ust. 1 lit. c), czyli stanowiło naruszenie RODO. W efekcie UODO ograniczył się do upomnienia pracodawcy. Na szczęście firma szybko zareagowała – poprosiła klienta o usunięcie omyłkowo wysłanej wiadomości, co pomogło zniwelować skutki naruszenia.

Podsumowanie i praktyczne wskazówki dla działów HR

Wyrok NSA to ważny sygnał dla pracodawców. Informowanie pracowników o odejściu współpracownika – pod warunkiem, że przekazywane są tylko niezbędne dane i służy to organizacji pracy – nie narusza RODO. Natomiast przekazywanie takich informacji osobom postronnym (np. klientom) narusza RODO. Oto kluczowe zalecenia dla działów HR płynące z omawianego orzeczenia:

• Należy udostępniać minimalny zakres informacji – np. imię, nazwisko oraz fakt odejścia z pracy, unikając zbędnych szczegółów.
• Komunikaty powinny być kierowane wyłącznie do osób, dla których dostęp do tych danych jest niezbędny w celu realizacji ich obowiązków służbowych. Zaleca się unikanie przesyłania informacji do osób spoza organizacji oraz wszystkich osób z ogólnej listy mailingowej.
• Należy unikać komentarzy wartościujących, ograniczając się jedynie do faktów. Negatywne stwierdzenia, np. „nie podjął wyzwania”, mogą stanowić naruszenie dóbr osobistych i skutkować ewentualnymi roszczeniami sądowymi.

W przypadku pomyłkowego przesłania informacji osobie nieuprawnionej konieczne jest podjęcie natychmiastowych działań naprawczych (np. skierowanie prośby o usunięcie wiadomości) w celu zminimalizowania potencjalnych szkód. Należy także ocenić konieczność zgłoszenia naruszenia przetwarzania danych do Prezesa Urzędu Ochrony Danych Osobowych.