WSA: zgubienie świadectwa pracy wymaga zgłoszenia naruszenia ochrony danych

Sprawa dotyczyła zgubienia dokumentu z akt osobowych jednego z pracowników spółki. Zgubienie dokumentu zostało uznane za zawinione przez pracodawcę. Prezes UODO przeprowadził wówczas postępowanie, w wyniku którego ustalił m.in. brak zgłoszenia naruszenia ochrony danych osobowych. W efekcie spółce wymierzono karę w wysokości prawie 16 tys. zł. Organ nadzorczy uznał za nieprzekonujące argumenty spółki, która wskazywała, że brak było informacji, by zgubiony dokument wszedł w posiadanie nieuprawnionej osoby.

Spółka nie zgodziła się z decyzją Prezesa UODO i złożyła skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie. Sąd w wyroku z 22 kwietnia 2023 r. oddalił skargę, opowiadając się za stanowiskiem przyjętym przez organ nadzorczy.

Przede wszystkim sąd stwierdził, że administrator utracił kontrolę nad zgubionym dokumentem, gdyż nie wiedział, gdzie świadectwo się znajduje, czy zostało zniszczone i kto mógł uzyskać do niego dostęp.

W tym kontekście WSA przyjął, że zaniechanie zgłoszenia naruszenia ochrony danych było niewykonywaniem ciążącego na administratorze danych osobowych obowiązku. Sąd podkreślił, że obowiązek zgłoszenia naruszenia ochrony danych powstaje także wówczas, gdy ryzyko naruszenia praw i wolności osób fizycznych się nie zmaterializowało. Istotne jest już samo wystąpienie takiego ryzyka, a nie wystąpienie negatywnych konsekwencji naruszenia. W ocenie WSA zgubienie świadectwa pracy takie ryzyko powodowało, ponieważ mogło prowadzić do szkód majątkowych ale i niemajątkowych po stronie pracownika.

• wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 26 kwietnia 2023 r. II SA/Wa 127/22