RODO w BHP

Aby ułatwić prace nad dostosowaniem przetwarzania danych w ramach BHP do wymogów RODO, przygotowaliśmy zestawienie najważniejszych według nas problemów w tym zakresie (a przynajmniej najczęściej pojawiających się w audytowanych przez nas organizacjach) z punktu widzenia ochrony danych osobowych.

Organizowanie szkoleń BHP

Wyróżniamy dwa podstawowe modele organizacji szkoleń dla pracowników przy współpracy z zewnętrznymi firmami – zamknięte i otwarte. Szkolenia zamknięte prowadzi trener skierowany do organizacji przez podmiot specjalizujący się w szkoleniach BHP. Bierze w nich udział konkretna grupa osób wyznaczona przez pracodawcę. W takiej sytuacji to pracodawca, jako administrator danych zatrudnianych przez siebie osób, decyduje o celu (a celem jest przeszkolenie pracowników z zakresu BHP) oraz o sposobie przetwarzania ich danych osobowych (m.in. przez wybór firmy, która takie szkolenie ma przeprowadzić).

Po przeprowadzonym szkoleniu warto zadbać o wystawienie pracownikom zaświadczeń o odbyciu szkolenia. Z oczywistych powodów zewnętrzna firma ich nie dostarczy, jeśli nie będzie dysponować danymi osobowymi pracowników biorących udział w szkoleniu. Samą listę obecności można przekazać za pośrednictwem poczty elektronicznej (e-mail). Przekazanie danych osobowych drogą mailową jest bezpieczne, pod warunkiem że plik w formacie .xls lub .xlsx będzie zabezpieczony hasłem, które zostanie wysłane pod numer telefonu komórkowego w wiadomości tekstowej SMS. Listę można sporządzić również w wersji papierowej i dostarczyć ją firmie szkoleniowej pocztą lub osobiście do jej siedziby (znacznie spowalnia to jednak proces wystawiania zaświadczeń). Na tym etapie powstaje właśnie stosunek powierzenia: pracodawca (czyli administrator danych) przekazuje (czyli powierza) firmie szkoleniowej (jako podmiotowi przetwarzającemu) dane swoich pracowników, aby ta przetwarzała je w imieniu i na rzecz pracodawcy, zgodnie z jego instrukcjami. Stosunek ten bezwzględnie powinien zostać uregulowany umową powierzenia, zawierającą elementy wskazane w art. 28 RODO.

Z kolei przez szkolenia otwarte rozumie się szkolenia organizowane w całości przez zewnętrzny podmiot. Takie szkolenia nie są kierowane do pracowników tylko jednej firmy – może zapisać się na nie tak naprawdę każdy. Wówczas dane są pozyskiwane najczęściej bezpośrednio od pracownika bądź przy niewielkim udziale pracodawcy (np. przy opłacaniu szkolenia pracodawca przekazuje firmie informacje o liczbie swoich pracowników i – siłą rzeczy – miejscu zatrudnienia, a wszelkie dane niezbędne do uzyskania zaświadczenia każdy pracownik przekazuje samodzielnie). To po stronie firmy szkoleniowej leżą wszelkie kwestie organizacyjne, w tym odnoszące się do tego, jakie dane osobowe uczestników przetwarzać, jak je przechowywać, komu udostępniać i po jakim czasie usuwać. W tym modelu firma szkoleniowa będzie odrębnym administratorem danych uczestników szkoleń.