Czy spółka może sama skontaktować się z byłymi pracownikami innej spółki (np. sprzedanej z grupy), żeby wezwać ich jako świadków w postępowaniu wyjaśniającym?

Tylko wtedy, gdy ma własną podstawę prawną i legalne źródło danych. Jeżeli spółka przetwarzała dane tych osób jako podmiot przetwarzający (np. jako centrum usług wspólnych dla innej spółki z grupy), nie może użyć ich do własnego celu. Po zakończeniu usługi powinna je usunąć albo zwrócić (art. 28 ust. 3 lit. g RODO), a użycie ich we własnym celu czyni ją administratorem z naruszeniem przepisów (art. 28 ust. 10). Najmocniejszą podstawą jest obowiązek prawny z ustawy o ochronie sygnalistów, gdy sprawa wpłynęła jej kanałem zgłoszeń wewnętrznych (art. 6 ust. 1 lit. c RODO). Prawnie uzasadniony interes (lit. f) wymaga konkretnego, a nie hipotetycznego roszczenia i testu równowagi. CEIDG czy LinkedIn rozwiązują problem źródła danych, nie podstawy. Przy pierwszym kontakcie trzeba wykonać obowiązek informacyjny z art. 14 RODO.