Przepisy Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), zwanego dalej „RODO” ze swej natury mają charakter niekategoryczny. Rodzi ono zatem szereg pytań, w tym pytanie znajdujące się w tytule niniejszego artykułu. Należy je sobie zadać celem prawidłowego zdefiniowania roli pracodawcy w konkretnym procesie przetwarzania danych osobowych.

W tym artykule postaram się przybliżyć role podmiotu organizującego staż, bądź praktykę absolwencką (szkoły bądź Urzędu Pracy) oraz pracodawcy i obowiązki tychże podmiotów związanych z ich obowiązkami wynikającymi z tychże ról na gruncie RODO.

Rola pracodawcy i szkoły średniej jako administratorów danych praktykantów

Zgodnie z treścią art. 120 ustawy z dnia 14.12.2016 r. Prawo Oświatowe (Dz.U. 2020 poz. 910 tj.), a także zgodnie z przepisami wykonawczymi w postaci Rozporządzenia Ministra Edukacji Narodowej z dnia 24 sierpnia 2017 r. w sprawie praktycznej nauki zawodu nie ulega wątpliwości, iż administratorem danych, który przetwarza we własnym zakresie dane osobowe praktykanta skierowanego przez publiczną szkołę ponadpodstawową prowadzącą kształcenie zawodowe, czyli technikum, branżową szkołę I stopnia, branżową szkołę II stopnia bądź szkołę policealną na tzw. praktyki absolwenckie jest zarówno jest jedna z wymienionych szkół, jak i pracodawca.

Każdy bowiem z ww. podmiotów przetwarza dane praktykantów we własnych celach i występuje jako osobny administrator danych. Co za tym idzie, każdy podmiot będzie musiał wypełnić wobec ucznia swoje obowiązki wynikające z RODO, takie jak chociażby: wypełnienie obowiązku informacyjnego wynikającego z art. 13 bądź art. 14 RODO.

W praktyce szkoła średnia i pracodawca często zawierają porozumienie o udostępnieniu danych osobowych, powołując się na wskazane w akapicie pierwszym podstawy prawne. Wówczas obaj administratorzy są w stanie spełnić zasadę rozliczalności wywodzoną z art. 5 RODO i ich role w procesie przetwarzania danych osobowych takiego praktykanta są jasne.

Niejasna rola pracodawcy i powiatowego urzędu pracy w kontekście przetwarzania danych osobowych stażystów

Problem określenia ról podmiotów na gruncie RODO rodzi się w przypadku relacji pracodawca jako podmiot zapewniający staż w ramach umowy z powiatowym urzędem pracy. To zagadnienie, które nie było zdaje się częstym przedmiotem analizy doktryny, stało się przedmiotem zapytania m.in. Powiatowego Urzędu Pracy w Krakowie do organu nadzorczego tj. GIODO (obecnie PUODO).

W odpowiedzi GIODO wskazał, że na podstawie § 5 ust. 1 pkt 5 rozporządzenia Ministra Pracy i Polityki Społecznej z dnia 20 sierpnia 2009 r. w sprawie szczegółowych warunków odbywania stażu przez bezrobotnych (Dz. U. Nr 142, poz. 1160) starosta reprezentujący powiatowy urząd pracy zawiera z organizatorem stażu tj. pracodawcą umowę, o której mowa w art. 53 ust. 4 ustawy o promocji zatrudnienia i instytucjach rynku pracy, określającą w szczególności dane bezrobotnego odbywającego staż: imię i nazwisko, datę urodzenia, adres.

W przypadku przygotowania zawodowego dorosłych zgodnie z § 15 rozporządzenia Ministra Pracy i Polityki Społecznej z dnia 7 kwietnia 2009 r. w sprawie przygotowania zawodowego dorosłych (Dz.U. Nr 61, poz. 502) osobie kierowanej do odbycia przygotowania zawodowego dorosłych starosta wydaje pisemne skierowanie zawierające jej imię, nazwisko, miejsce i datę urodzenia.

Zdaniem organu nadzorczego, prawidłową konstrukcją prawną w relacji PUP-pracodawca w tym procesie przetwarzania danych takiego stażysty jest udostępnienie jego danych osobowych przez PUP do pracodawcy. Organ wskazywał bowiem w swojej odpowiedzi (mającej swoje podstawy jeszcze w ustawie o Ochronie Danych Osobowych z 29.08.1997 r.) na okoliczność, że dane osobowe bezrobotnych są przekazywane przez powiatowe urzędy pracy ww. podmiotom, z którymi one współpracują, co nie jest równoznaczne z powierzeniem przetwarzania tych danych, lecz oznacza w tym przypadku udostępnienie tych danych. O ile zatem zakres przekazywanych podmiotom współpracującym z powiatowymi urzędami pracy danych osobowych nie wykracza poza właściwy dla danej formy wsparcia zakres, określony w ww. akcie wykonawczym do ustawy o promocji zatrudnienia i instytucjach rynku pracy, następuje udostępnienie danych, nie zaś powierzenie ich przetwarzania.

Organ nadzorczy jednocześnie w swoje odpowiedzi zastrzegł, iż w przypadku przekazywania ww. podmiotom szerszego zakresu danych osobowych niż wynikający z przedmiotowych rozporządzeń natomiast zgodnego z zakresem zbioru Podsystem Monitorowania Europejskiego Funduszu Społecznego 2007, na przykład zlecenia organizatorowi szkolenia zebrania od uczestników szkolenia odbywającego się w ramach projektu systemowego PUP danych osobowych, wówczas następuje powierzenie danych do przetwarzania, co implikuje konieczność podpisania umowy powierzenia.

Wyżej zaprezentowane stanowisko zostało potwierdzone krótką notą informacyjną na stronie PUODO z dnia 31.07.2019 r. znajdującą się w zakładce „IOD”, pod zakładce „Zadania IOD” , traktującej o tym, iż w relacji pracodawca-żłobek – powiatowy urząd pracy, każdy z tych podmiotów w kontekście RODO stanowi osobnego administratora danych osobowych stażysty skierowanego do odbywania stażu z urzędu. Organ dodatkowo wskazał, iż żłobek (pracodawca) ma prawo przetwarzać dane osobowe takiego stażysty wykraczające poza zakres tych, które były udostępnione na podstawie umowy z PUP. Muszą one być niezbędne do prawidłowego odbycia stażu.

W takim przypadku pracodawca jako odrębny administrator danych winien wobec stażysty spełnić obowiązek informacyjny wynikający z art. 13 RODO i następnych w pierwszym możliwym momencie tj. w momencie rozpoczęcia odbywania u pracodawcy stażu.

Jak wyżej wskazano jednakże, w przypadku zawarcia umowy stażowej w ramach realizacji projektów unijnych, należy dokładnie przyjrzeć się i ocenić role, jakie odgrywa w tym procesie tak PUP, jak i pracodawca, albowiem organ nadzorczy nie zaprezentował swojego stanowiska w tym zakresie w oparciu o przepisy nowej Ustawy o Ochronie Danych Osobowych oraz RODO.

Autor: Anna Kuś-Kluka, Radca prawny w kancelarii JUVO. W Kancelarii zajmuje się świadczeniem pomocy prawnej dla przedsiębiorców, a zwłaszcza bieżącym doradztwem z zakresu ochrony danych osobowych.