Prezes Urzędu Ochrony Danych decyzją z 6 czerwca 2022 r. nałożył karę na Esselmann Technika Pojazdowa spółka z ograniczoną odpowiedzialnością sp. k. w wysokości 16 tys. zł za naruszenie art. 33 i 34 RODO. Komendant Powiatowej Policji powiadomił organ nadzorczy o nieprawidłowościach związanych z prowadzeniem pracowniczych akt osobowych w spółce. Po przeprowadzeniu postępowania wyjaśniającego okazało się, że na etapie kompletowania teczek osobowych pracowników zagubiono świadectwo pracy jednego z nich. O incydencie nie poinformowano organu nadzorczego. Z wyjaśnień Esselmann wynika, że przyczyną niepowiadomienia był brak ryzyka naruszenia praw lub wolności pracownika, zaś sam pracownik został właściwie zawiadomiony o naruszeniu i nie zgłosił żadnych roszczeń z tym związanych. Prowadząc postępowanie, Prezes UODO nie otrzymał żadnego dowodu potwierdzającego stanowisko spółki, w związku z czym stwierdził naruszenie zarówno w zakresie braku powiadomienia organu o naruszeniu, jak i braku zawiadomienia pracownika o naruszeniu.
Zdaniem organu nadzorczego w świadectwie pracy znajduje się wiele istotnych informacji o zatrudnionym. Oprócz takich danych jak imię i nazwisko czy adres zamieszkania, świadectwo pracy może obejmować numery dokumentów tożsamości, a nawet dane wrażliwe. Ponadto z dokumentu można odczytać informację na temat stanu majątkowego konkretnej osoby np. w postaci zajęcia wynagrodzenia z tytułu postępowania egzekucyjnego. Obowiązek poinformowania organu nadzorczego, wynikający z art. 33 RODO, pojawia się już w momencie powstania ryzyka naruszenia praw lub wolności, nie jest zatem konieczne, aby osoba nieuprawniona faktycznie zapoznała się z danymi. Z kolei pojawienie się takiego ryzyka jednoznacznie przesądza o konieczności zawiadomienia zainteresowanych osób (art. 34 RODO). Administrator w pełni świadomie nie sprostał wymaganiom określonym w RODO, dlatego organ nadzorczy zdecydował się na nałożenie pieniężnej kary administracyjnej.