O czym pamiętać, przetwarzając dane pracowników w związku ze szkoleniem bhp

Pracodawca nie może dopuścić pracownika do pracy, jeśli nie posiada dostatecznej znajomości przepisów oraz zasad bhp. Pracodawca musi zatem dbać o przeszkolenie pracowników w zakresie bhp przed dopuszczeniem go do pracy oraz prowadzenie okresowych szkoleń w tym zakresie.

Szkolenie wstępne składa się z tzw. instruktażu ogólnego, a także instruktażu stanowiskowego (na danym stanowisku pracy). To jednak nie wszystko. Zdecydowana większość pracowników musi być także kierowana na szkolenia okresowe, które mają na celu aktualizację i ugruntowanie wiedzy i umiejętności w dziedzinie bezpieczeństwa i higieny pracy oraz zaznajomienie uczestników szkolenia z nowymi rozwiązaniami techniczno-organizacyjnymi w tym zakresie.

Nim dojdzie do zatrudnienia, pracodawca jako administrator danych osobowych może pozyskać od kandydata do zatrudnienia następujące dane osobowe:

• imię (imiona) i nazwisko;

• imiona rodziców;

• datę urodzenia;

• miejsce zamieszkania (adres do korespondencji);

• wykształcenie;

• przebieg dotychczasowego zatrudnienia.

Natomiast już po zatrudnieniu pracownika administrator może oczekiwać od niego podania numeru PESEL oraz innych danych osobowych pracownika, a także imion i nazwisk oraz dat urodzenia dzieci pracownika, jeżeli podanie takich danych jest niezbędne z uwagi na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy.

Czy te dane mogą być bez przeszkód przetwarzanie na cele związane ze szkoleniami bhp? Niekoniecznie, ponieważ musimy nieć na względzie zasadę minimalizmu przetwarzania danych To, że pracodawca znajduje się w dyspozycji powyższych danych nie oznacza automatycznie, że wszystkie te dane mogą być legalnie przetwarzane na potrzeby związane ze szkoleniami bhp. Zakres danych osobowych, których przetwarzanie w tym celu jest niezbędne można wywnioskować z przepisów rozporządzenia MGiP z 27 lipca 2004 r. w sprawie szkolenia w dziedzinie bezpieczeństwa i higieny pracy. Rozporządzenie to obliguje organizatora szkolenia do prowadzenia dokumentacji w postaci programów szkolenia, dzienników zajęć, protokołów przebiegu egzaminów i rejestru wydanych zaświadczeń. Poza tym zawiera wzór karty szkolenia wstępnego w dziedzinie bhp oraz wzór zaświadczenia o ukończeniu szkolenia w dziedzinie bhp. Należy w związku z tym przetworzyć takie dane jak, imię i nazwisko osoby odbywające szkolenie, data i miejsce jej urodzenia.

Szkolenia mogą być organizowane i prowadzone nie tylko przez pracodawców, ale też, na ich zlecenie, przez jednostki organizacyjne prowadzące działalność szkoleniową w dziedzinie bezpieczeństwa i higieny pracy np. placówki kształcenia ustawicznego, praktycznego, ośrodki dokształcania i doskonalenia zawodowego, jak również osoby prawne lub fizyczne prowadzące działalność oświatową na zasadach określonych w przepisach o swobodzie działalności gospodarczej.

Jeśli pracodawca organizuje szkolenie bhp we własnym zakresie, nie angażując podmiotów zewnętrznych. W takiej sytuacji pracodawca, przetwarzając dane osobowe pracowników, jest ich administratorem.

Jeśli natomiast szkolenie prowadzone jest nie przez samego pracodawcę, a na jego zlecenie przez zewnętrzną jednostkę szkoleniową, wówczas mogą powstać wątpliwości odnośnie tego, kto pełni funkcję administratora danych osobowych.Ma to istotny wpływ na wzajemne relacje w zakresie przetwarzania danych w związku z obowiązkiem zapewniania szkoleń bhp.

Pozyskując w szerokim zakresie dane osobowe zatrudnionych pracowników pracodawca staje się administratorem tych danych. Status ten zachowuje na potrzeby realizacji praw i obowiązków regulowanych prawem pracy – w tym przepisami technicznego bezpieczeństwa pracy. Tym samym nawet jeśli szkolenia bhp zostały zlecone do przeprowadzenia podmiotowi zewnętrznemu, to nadal pracodawca posiada status administratora danych osobowych pracowników przetwarzanych w związku ze zleceniem przeprowadzenia tego szkolenia. Innymi słowy na czas realizacji procesu szkolenia bhp nie następuje zmiana administratora danych osobowych, którym pozostaje pracodawca wydający polecenie zorganizowania i przeprowadzenia dla jego pracowników szkolenia bhp.

Natomiast jednostka szkoleniowa staje się wówczas podmiotem przetwarzającym, niezależnie od tego, że to właśnie ta jednostka dokonuje szeregu czynności w obrębie przetwarzania danych osobowych na potrzeby szkolenia bhp. Przetwarza ona bowiem dane osobowe pracowników w imieniu administratora, który zlecił przeprowadzenie szkolenia bhp.

W konsekwencji konieczne jest zawarcie z jednostką szkoleniową umowy powierzenia przetwarzania danych osobowych zgodnie z art. 28 RODO. Na podstawie tej umowy należy przekazać jednostce szkoleniowej dane osobowe pracowników jedynie w niezbędnym zakresie do realizacji zlecenia, uwzględniając zasadę minimalizacji danych wynikającą z RODO.

Pracodawca organizujący szkolenie samodzielnie nie musi uzyskiwać zgód pracowników na przetwarzanie danych osobowych na potrzeby zapewnienia szkoleń bhp, w tym opracowywania i przechowywania niezbędnej dokumentacji. Przetwarza on bowiem ich dane w celu wykonania ciążącego na nim obowiązku prawnego. Wykonanie tego obowiązku byłoby niemożliwe, gdyby pracownik odmówił wyrażenia zgody na przetwarzanie danych osobowych.

Czy inaczej będzie w przypadku zlecenia organizacji szkolenia przez podmiot zewnętrzny? Także w przedstawionym przypadku wydaje się, że nie ma konieczności uzyskiwania zgód pracowników na przetwarzanie ich danych. Również w tej sytuacji konieczność przekazania danych osobowych uczestników szkolenia firmie zewnętrznej wynika z bezpośrednich podstaw prawnych. Bez możliwości przetwarzania danych osobowych pracowników, jednostka szkoleniowa nie byłaby w stanie zrealizować zlecenia. zrealizować swoich obowiązków w zakresie przeprowadzenia szkolenia oraz jego właściwego udokumentowania.