Udostępnienie danych osobowych zawartych w skardze o mobbing w opisanej sytuacji może naruszać przepisy RODO w zależności od spełnienia przesłanek legalności przetwarzania danych osobowych.
Zgodnie z art. 6 ust. 1 RODO, przetwarzanie danych osobowych jest legalne wyłącznie wtedy, gdy spełniona jest jedna z określonych przesłanek. W tym przypadku mogłaby to być:
- zgoda osoby, której dane dotyczą – jeżeli pracownicy wyrazili świadomą zgodę na udostępnienie ich danych, przetwarzanie może być uznane za zgodne z prawem;
- obowiązek prawny ciążący na administratorze – gdy prawo wymaga udostępnienia danych, np. w ramach postępowania wyjaśniającego;
- prawnie uzasadniony interes administratora – jeżeli udostępnienie danych kierownikom miało na celu realizację uzasadnionych interesów, takich jak zapobieganie mobbingowi.
W przypadku braku jednej z powyższych podstaw przetwarzanie może być uznane za naruszenie RODO.
Ponadto, RODO wymaga, aby dane przetwarzane były adekwatne, stosowne i ograniczone do tego, co jest niezbędne (art. 5 ust. 1 lit. c RODO). Ujawnienie imion i nazwisk wszystkich skarżących mogło być nieproporcjonalne do celu, jakim było rozpatrzenie skargi. Udostępnienie danych wszystkim kierownikom, a nie tylko osobom bezpośrednio zaangażowanym w wyjaśnienie sprawy, może być uznane za naruszenie zasad celowości i proporcjonalności przetwarzania danych.
Związki zawodowe są niezależnymi administratorami danych osobowych i przetwarzają je w oparciu o swoje zadania statutowe. Przekazanie danych do organów zewnętrznych bez odpowiednich podstaw także może naruszać przepisy RODO.
W przypadku naruszenia zasad przetwarzania danych osobowych, Prezes Urzędu Ochrony Danych Osobowych może wszcząć postępowanie i nałożyć administracyjne kary pieniężne. Możliwe jest również dochodzenie odszkodowania przez osoby, których dane zostały bezprawnie przetworzone (art. 82 RODO).
W tej sytuacji administrator (pracodawca) powinien przeprowadzić analizę ryzyka w zakresie przetwarzania danych osobowych związanych z postępowaniem wyjaśniającym. Zaleca się anonimizację danych pracowników, o ile ich identyfikacja nie jest niezbędna dla wyjaśnienia sprawy. Ponadto, administrator (pracodawca) w przypadku stwierdzenia naruszenia RODO powinien również zawiadomić PUODO i ewentualnie pracowników, których dane wyciekły.
Każdy może zgłosić sprawę do inspektora ochrony danych w celu dokładnej analizy i ustalenia dalszych działań, a także bezpośrednio do PUODO.
