Case study: Czy z zewnętrzną firmą szkoleniową należy zawrzeć umowę powierzenia przetwarzania danych osobowych?

Stan prawny na dzień: 23.03.2022 r.

Wpis na blogu nie stanowi porady prawnej. Artykuł odnosi się do ogólnej sytuacji prawnej, dlatego nie może stanowić rozwiązania dla indywidualnego problemu. Jeżeli potrzebujesz indywidualnej konsultacji, zapraszam do kontaktu.

W dzisiejszym artykule przedstawię sytuację, gdy pracodawca/zleceniodawca w celu przeszkolenia pracowników/zleceniobiorców zleca realizację tego zadania zewnętrznej firmie szkoleniowej. Skupię na szkoleniach zdalnych, ponieważ to właśnie one mogą sprawiać najwięcej problemów np. w zakresie wizerunku osób (szkolenie na Zoom, Google Meet, Microsoft Teams), możliwości nagrywania szkoleń, dostępu do listy uczestników szkolenia.

I tutaj pojawia się pytanie: czy z taką firmą szkoleniową należy podpisać umowę powierzenia przetwarzania danych osobowych?

Odpowiedź nie jest jednoznaczna.

Po pierwsze, należy rozważyć:

Czy to pracodawca/zleceniodawca przekazuje dane pracowników/zleceniodawców firmie szkoleniowej? Czy firma szkoleniowa odpowiada za dostarczenie narzędzi umożliwiających przeprowadzenie szkolenia?

• Jeżeli ustalimy, że to pracodawca/zleceniodawca przekazuje te dane firmie szkoleniowej, to wtedy ta firma działa w celu i zakresie wyznaczonym przez pracodawcę/zleceniodawcę (administratora danych osobowych). Podobnie, gdy firma szkoleniowa odpowiada za dostarczenie rozwiązań (narzędzi) pozwalających na przeprowadzenie szkolenia. Wtedy musi pozyskać od pracodawcy/zleceniodawcy dane uczestników szkolenia.
• Każda z opisanych sytuacji, świadczy o konieczności zawarcia z firmą szkoleniową (podmiotem przetwarzającym) umowy powierzenia przetwarzania danych osobowych.
• Umowa powinna spełniać wszystkie wymagania przewidziane w art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L z 2016 r. 119, s. 1 ze zm.).

Więcej informacji, o umowie powierzenia przetwarzania danych osobowych, znajdziesz tutaj.

Po drugie, trzeba zadać sobie pytanie:

Czy konieczne jest zawarcie umowy powierzenia przetwarzania danych, gdy to pracodawca/zleceniodawca generuje linki do szkoleń na zapewnianej przez niego platformie?

• W tym przypadku sytuacja wygląda zupełnie inaczej. Jeżeli to pracodawca/zleceniodawca odpowiada za infrastrukturę do przeprowadzenia szkolenia, we własnym zakresie tworzy linki do wydarzenia, pracownicy/zleceniodawcy samodzielnie się na takie szkolenie zapisują, to nie dochodzi do powierzenia danych firmie szkoleniowej.
• W tej sytuacji pracodawca/zleceniodawca powinien spełnić jako administrator tych danych, swoje obowiązki informacyjne. Dlatego wskazane będzie opracowanie klauzuli informacyjnej o przetwarzaniu danych osobowych w związku z uczestnictwem w szkoleniu zdalnym na użytkowanej platformie.

Dziękuję za Twoją uwagę:)

Poinformowanie użytkowników strony internetowej o tym, w jaki sposób Ty (lub np. spółka) – właściciel strony i jednocześnie administrator danych osobowych, przetwarzasz dane osobowe, to Twój obowiązek.
Pamiętaj też, że strona internetowa to Twoja wizytówka. Może świadczyć o profesjonalizmie, rzetelności i wysokiej jakości świadczonych usług albo wręcz odwrotnie.
Aby pomoc Ci w zrealizowaniu obowiązku informacyjnego RODO dla użytkowników strony internetowej, a także budować wiarygodny i profesjonalny obraz Twoich usług, przygotowałam dla Ciebie wzór kompleksowej Polityki Prywatności i plików cookies. Dostępny tutaj.

Jeżeli potrzebujesz pomocy w zakresie ochrony danych osobowych, to zapraszam do kontaktu. W ramach moich usług prawniczych doradzam w tym temacie.