Imienny adres e-mail zawiera dane z zakresu tzw. „danych zwykłych”, których przetwarzanie regulowane jest w RODO (art. 6 ust. 1). Oznacza to, że przetwarzanie takich danych osobowych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie.
Jeśli pracodawca nadal posiada aktywny adres poczty elektronicznej byłego pracownika, który był przypisany do niego w trakcie pełnienia obowiązków, to pozostaje nadal administratorem tych danych[1]. Z przepisów jednoznacznie wynika, że administratorem danych jest ten podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. W omawianym przypadku podstawą przetwarzania danych byłego pracownika zawartych w adresie mailowym może być realizacja prawnie uzasadnionego interesu administratora[2].
Polecamy: Kodeks pracy 2020. Praktyczny komentarz z przykładami
Dodatkowo proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w RODO[3]. Do zasad tych zalicza się m.in.: ograniczenie celu przetwarzania lub minimalizację przetwarzanych danych. Wspomniane zasady wymagają, by proces przetwarzania był ukierunkowany na konkretny, wyraźny i prawnie uzasadniony cel, a także by zakres danych osobowych przetwarzanych na rzecz określonego celu był ograniczony do jak najmniejszego.
Odwołując się do omawianego przypadku, trzeba zaznaczyć, że jeśli byłego pracownika łączyła z pracodawcą umowa, zgodnie z którą był odpowiedzialny m.in. za kontakt z kontrahentami, to po zakończeniu współpracy pracodawca może chcieć nadal wykorzystywać ten adres mailowy, aby nie tracić możliwości nawiązania kontaktu z kontrahentami lub klientami. Możne się to dokonać np. za pomocą automatycznej odpowiedzi kierowanej do klientów lub kontrahentów. Jeśli komunikat obejmuje informację o tym, że dany pracownik nie jest już zatrudniony oraz wskazanie, pod jakim adresem mailowym można kontaktować się z aktualnymi przedstawicielami danego podmiotu, to w ocenie Prezesa UODO tego rodzaju działanie można potraktować jako prawnie uzasadniony interes administratora danych.
Ważne, aby administrator miał świadomość, że prawnie uzasadnione interesy administratora mogą stanowić podstawę do przetwarzania tylko w sytuacji, w której mają one nadrzędny charakter w stosunku do interesów lub podstawowych praw i wolności osób, której dane dotyczą[4]. W omawianym przypadku interes realizowany przez pracodawcę ma taki charakter. Dane byłego pracownika mogą być używane przez pracodawcę jedynie w sytuacjach, gdy klient podejmuje próbę kontaktu i jedynie w celu wskazania aktualnych danych kontaktowych. Adres mailowy zawierający imię i nazwisko byłego pracownika nie może być aktywnie wykorzystywany przez administratora, np. do pozyskiwania nowych klientów.
W omawianym przypadku konieczne dla ochrony uzasadnionego interesu pracodawcy jest, by poinformować kontrahentów, podejmujących próby nawiązania kontaktu z danym podmiotem poprzez adres mailowy opatrzony danymi, o aktualnych ścieżkach kontaktu. Co więcej, trwający proces przetwarzania powinien odbywać się z poszanowaniem dla wskazanych zasad, zarówno w związku z ograniczonym celem przetwarzania, jak i ograniczeniem zakresu przetwarzanych danych byłego pracownika do adresu mailowego składającego się z imienia i nazwiska oraz informacji o tym, że nie jest już pracownikiem tego podmiotu.
[1] Artykuł 4 ust. 7 RODO
[2] Artykuł 6 ust. 1 lit. f RODO
[3] Artykuł 5 ust. 1 RODO
[4] Zgodnie z art. 6 ust. 1 lit. f oraz motywem 47 RODO