Klauzule informacyjne o przetwarzaniu danych osobowych w dokumentacji szkoleń bhp

W przypadku gdy szkolenia bhp mają być prowadzone przez podmiot zewnętrzny nie staje się on automatycznie podmiotem mającym status administratora danych osobowych uczestników szkoleń bhp. Firma zewnętrzna przetwarza dane nie jako administrator tylko w jego imieniu. Uwzględniając powyższą zależność, w tym fakt iż administratorem danych mimo korzystania z zewnętrznej formy szkoleniowej nadal formalnie pozostaje pracodawca wydaje się, że firma szkoleniowa nie musi zabiegać o uzyskanie odrębnych zgód od uczestników szkoleń bhp, których dane osobowe przy tej okazji będą przetwarzane.

Odrębną kwestią są klauzule informacyjne dotyczące przetwarzania danych osobowych. Uwzględniając fakt, iż to pracodawca jest administratorem danych osobowych pracowników kierowanych na szkolenie można przyjąć, iż to w jego gestii a nie firmy szkoleniowej będzie realizacja przepisów określających zasady sporządzania i przekazywania klauzul informacyjnych dla pracowników, których dane osobowe będą przetwarzane.

Szkolenie może być organizowane i prowadzone przez pracodawców lub, na ich zlecenie, przez jednostki organizacyjne prowadzące działalność szkoleniową w dziedzinie bezpieczeństwa i higieny pracy. Powyższa zasada, której źródłem jest rozporządzenie w sprawie szkolenia w dziedzinie bhp wyklucza co do zasady możliwość prowadzenia szkolenia zarówno przez pracodawcę, jak i przez zewnętrzną jednostkę organizacyjną.

W przypadku gdy podmiotem mającym status organizatora szkolenia jest firma zewnętrzna, może pojawić się wątpliwość na gruncie rozporządzenia RODO w zakresie obowiązku – lub braku obowiązku pozyskiwania przez organizatora szkolenia zgód uczestników szkoleń bhp na przetwarzanie danych osobowych, jak również w zakresie obowiązku przekazywania uczestnikom szkoleń klauzul informacyjnych dotyczących przetwarzania danych osobowych.

Od 25 maja 2018 r., zgodnie z postanowieniami RODO, przetwarzanie danych osobowych jest zgodne z prawem w przypadku gdy:

• osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów,
• gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (nie na podmiocie przetwarzającym dane w imieniu administratora) – na co wyraźnie wskazuje art. 6 ust. 1 pkt c RODO.

Pozyskanie danych osobowych w omawianym przypadku przez administratora danych – pracodawcę – na potrzeby związane ze szkoleniami bhp jest niezbędne do prawidłowego wypełnienia obowiązku związanego zapewnieniem wymaganych przepisami szkoleń bhp. Obowiązek ten ma podstawę prawną w powszechnie obowiązujących przepisach prawa pracy, a szkolenia przeprowadzane są w stosunku do skonkretyzowanych personalnie pracowników. Zewnętrzna jednostka szkoleniowa, z którą pracodawca nawiązał współpracę w zakresie przeprowadzania szkoleń bhp, nie staje się administratorem danych, tylko podmiotem przetwarzającym.

Zakładając, iż pracodawca jako administrator może dla celów szkolenia pozyskać dane osobowe bez zgody uczestników – w związku z koniecznością wypełnienia obowiązku prawnego ciążącego na administratorze – to trudno mówić o dodatkowym obowiązku pozyskiwania zgód od uczestników szkolenia przez firmę zewnętrzną niemającą statusu administratora, przetwarzającą udostępnione przez administratora dane na podstawie umowy.

Sprawą odrębną są obowiązki związane z klauzulami informacyjnymi dla osób, których dane osobowe będą przetwarzane na potrzeby procesu szkolenia bhp. Zakładając, że dane osobowe na potrzeby szkolenia organizowanego przez podmiot zewnętrzny pozyskiwane są nie przez ten podmiot a przez pracodawcę, można uznać, iż kwestie związane z klauzulami informacyjnymi będą obciążały nie firmę prowadzącą szkolenie a pracodawcę pracowników na szkolenie kierowanych, na podstawie art. 13 RODO. Cały czas należy bowiem pamiętać, że to pracodawca na gruncie relacji pracodawca – firma szkoleniowa występuje w roli administratora danych.