Naruszenie bezpieczeństwa danych osobowych

Pytanie: Firma zajmuje się sprzedażą detaliczną, umożliwia także swoim klientom zakupy w systemach ratalnych. W grudniu ub. r. jeden z pracowników pisał tradycyjnie umowy dla klientów. Niestety, w dwóch przypadkach w umowie znalazł się błąd, więc po wspólnym ustaleniu z klientami, umowy bez jakichkolwiek pieczęci i podpisów znalazły się w koszu na śmieci (firmowym), oczywiście wcześniej starannie podarte na dość drobne kawałki, a następnie w ciągu kilku następnych dni systematycznie przykrywane innymi kartkami oraz odpadami biologicznymi typu ogryzki z jabłek czy zużyte chusteczki do nosa. Po zapełnieniu worka na śmieci został on zawiązany i wyniesiony do zbiorczego kubła na śmieci znajdującego się przed firmą. Przechodzący przypadkiem - a może nie? - funkcjonariusz straży miejskiej zauważył wystający nieco worek i zainteresował się jego zawartością. Do tego stopnia, iż rozwiązał go, rozsypał całości na chodniku (łącznie z nieco już cuchnącymi ogryzkami z jabłek) i zaczął grzebać w niej, aż doszukał się owych nieszczęsnych strzępków umów. Z poświęceniem godnym naprawdę lepszej sprawy spędził upojne jakieś 3-4 godziny dopasowując i sklejając kawałki. Następnie zaniósł to wszystko (razem z cuchnącymi ogryzkami z jabłek) na Policję, gdzie zainteresowała się tym prokuratura. Wszczęto postępowanie wyjaśniające, a od pracodawcy handlowców zażądano potwierdzonej kopii obowiązków pracowników, wykonując polecenia z art. 15 par.1 kpk, 217 par. 1 i 297 par.1 pkt 5 kpk. Proszę o wyjaśnienie, jak się może mieć zakres obowiązków pracowników do tej sprawy, skoro są oni zobowiązani do utrzymywania w stanie ładu swojego miejsca pracy oraz sprzedaży towarów handlowych także dostarczania dokumentów do księgowości? Co oznacza termin "przetwarzanie danych osobowych swoich klientów"? Dane są przechowywane w systemie obsługującym sprzedaż, wraz z dokumentami sprzedaży musza być przechowywane co najmniej 5 lat, ze względu na wymóg Urzędu Skarbowego. Dostęp do nich jest ograniczony przez przydzielanie odpowiedniej grupy dostępu w profilu stworzonym indywidualnie dla każdego z pracowników, dodatkowo komputery są zabezpieczone hasłem oraz system operacyjny posiada również indywidualne profile, każdy ma swoje hasło dostępu. Rozumiem pośpiech prokuratury w chęci rozwiązania tej sprawy (ogryzki śmierdzą coraz bardziej!), ale kto w obecnej sytuacji jest bardziej widziany jako winny przestępstwa (i będzie podlegał ewentualnej karze) z art. 51 ust. 2 ustawy z dnia 29.08.1997 o ochronie danych osobowych - czy pracownik, który zniszczył najwyraźniej dość mało starannie umowy (ogrzewanie w sklepie jest centralne, pieca żadnego nie ma), czy pracodawca, który w ogóle sprzedaje na raty?