Szkolenia BHP w świetle RODO
Szkolenia BHP w świetle RODO
Pracodawca, dopuszczając pracownika do wykonywania pracy, musi mieć pewność, że pracownik posiada wymagane kwalifikacje, potrzebne umiejętności i niezbędną znajomość przepisów oraz zasad bhp, które pozwalają na wykonywanie pracy na określonym stanowisku. Przejawem tego obowiązku jest zapewnienie przeszkolenia pracownika w zakresie bhp przed dopuszczeniem go do pracy oraz prowadzenie okresowych szkoleń. Organizując, czy zlecając czynności szkoleniowe, w wyniku których powstają również określone dokumenty, pracodawca przetwarza dane osobowe. Wiąże się to z rozmaitymi obowiązkami, których rodzaj uzależniony jest od tego, kto jest organizatorem danego szkolenia bhp i jakie dokumenty będą w jego wyniku opracowane.
1.Szkolenia BHP
Zgodnie § 6 rozporządzenia Ministra Gospodarki i Pracy z 27.07.2004 r. w sprawie szkolenia w dziedzinie bezpieczeństwa i higieny pracy – dalej r.s.b.h.p., szkolenia z zakresu bezpieczeństwa i higieny pracy dzielą się na wstępne i okresowe.
Szkolenie wstępne jest przeprowadzane w formie instruktażu według programów opracowanych dla poszczególnych grup stanowisk i obejmuje szkolenie wstępne ogólne (instruktaż ogólny) i szkolenie wstępne na stanowisku pracy (instruktaż stanowiskowy).
Instruktarz ogólny odbywają, przed dopuszczeniem do wykonywania pracy:
1)
nowo zatrudnieni pracownicy;
2)
studenci odbywający u pracodawcy praktykę studencką;
3)
uczniowie odbywający praktyczną naukę zawodu.
Omawiany instruktaż może być przeprowadzany jedynie przez:
1)
pracownika służby bezpieczeństwa i higieny pracy;
2)
osobę wykonująca u pracodawcy zadania tej służby;
3)
pracodawcę, który sam wykonuje takie zadania;
4)
pracownik wyznaczony przez pracodawcę posiadający zasób wiedzy i umiejętności zapewniający właściwą realizację programu instruktażu, mający aktualne zaświadczenie o ukończeniu wymaganego szkolenia w dziedzinie bezpieczeństwa i higieny pracy.
Instruktaż stanowiskowy, stosownie do § 11 r.s.b.h.p. przeprowadza się przed dopuszczeniem do wykonywania pracy na określonym stanowisku:
1)
pracownika zatrudnianego na stanowisku robotniczym oraz innym, na którym występuje narażenie na działanie czynników szkodliwych dla zdrowia, uciążliwych lub niebezpiecznych;
2)
pracownika przenoszonego na stanowisko, na którym występuje narażenie na działanie czynników szkodliwych dla zdrowia, uciążliwych lub niebezpiecznych;
3)
ucznia odbywającego praktyczną naukę zawodu oraz studenta odbywającego praktykę studencką.
Należy dodać, że zgodnie z § 11 ust. 2 r.s.b.h.p. pracownik wykonujący pracę na kilku stanowiskach pracy powinien odbyć instruktaż stanowiskowy na każdym z tych stanowisk.
Instruktaż stanowiskowy mogą przeprowadzać::
1)
pracodawca lub
2)
wyznaczona przez pracodawcę osoba kierująca pracownikami
jeżeli osoby te posiadają odpowiednie kwalifikacje i doświadczenie zawodowe oraz są przeszkolone w zakresie metod prowadzenia instruktażu stanowiskowego.
Odbycie instruktażu ogólnego oraz instruktażu stanowiskowego pracownik potwierdza na piśmie w karcie szkolenia wstępnego, która jest przechowywana w aktach osobowych pracownika. Wzór karty szkolenia wstępnego – załącznik nr 2 do r.s.b.h.p.
2.Szkolenie okresowe
Szkolenie okresowe ma na celu aktualizację i ugruntowanie wiedzy i umiejętności w dziedzinie bezpieczeństwa i higieny pracy oraz zaznajomienie uczestników szkolenia z nowymi rozwiązaniami techniczno-organizacyjnymi w tym zakresie (§ 14 r.s.b.h.p.).
Szkoleniom okresowym podlegają:
1)
osoby będące pracodawcami oraz inne osoby kierujące pracownikami, w szczególności kierownicy, mistrzowie i brygadziści;
2)
pracownicy zatrudnieni na stanowiskach robotniczych;
3)
pracownicy inżynieryjno-techniczni, w tym projektanci, konstruktorzy maszyn i innych urządzeń technicznych, technolodzy i organizatorzy produkcji;
4)
pracownicy służby bezpieczeństwa i higieny pracy i inne osoby wykonujące zadania tej służby;
5)
pracownicy na stanowiskach administracyjno-biurowych;
6)
pracownicy niewymienieni powyżej, których charakter pracy wiąże się z narażeniem na czynniki szkodliwe dla zdrowia, uciążliwe lub niebezpieczne albo z odpowiedzialnością w zakresie bezpieczeństwa i higieny pracy.
Zgodnie z § 4 r.s.b.h.p. szkolenia okresowe mogą być organizowane i prowadzone przez pracodawców lub na ich zlecenie, przez podmioty zewnętrzne prowadzące działalność szkoleniową w dziedzinie bezpieczeństwa i higieny pracy. Do takich podmiotów przepisy r.s.b.h.p. zaliczają:
–
placówki kształcenia ustawicznego, placówki kształcenia praktycznego, ośrodki dokształcania i doskonalenia zawodowego;
–
szkoły ponadgimnazjalne;
–
podmiot wchodzący w skład systemu szkolnictwa wyższego i nauki, o którym mowa w art. 7 ust. 1 ustawy z 20.07.2018 r. – Prawo o szkolnictwie wyższym i;
–
stowarzyszenia, których celem statutowym jest działalność związana z bezpieczeństwem i higieną pracy;
–
przedsiębiorcę prowadzącego działalność oświatową na zasadach określonych w ustawie z dnia 6 marca 2018 r. – Prawo przedsiębiorców, jeżeli prowadzą działalność szkoleniową w dziedzinie bezpieczeństwa i higieny pracy.
Natomiast szkolenie osób będących pracodawcami, pracowników służby bhp oraz instruktorów i wykładowców tematyki bezpieczeństwa i higieny pracy, powinny być prowadzone wyłącznie przez podmioty zewnętrzne, o których mowa powyżej (§ 4 ust. 2 r.s.b.h.p.).
Potwierdzeniem ukończenia z wynikiem pozytywnym szkolenia okresowego jest zaświadczenie wydane przez organizatora szkolenia (§ 16 ust. 3 i 4 r.s.b.h.p.). Wzór zaświadczenia określono w załączniku nr 3 do r.s.b.h.p.
3.Przetwarzane danych osobowych w związku ze szkoleniami bhp
Jak wynika z art. 4 pkt 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE – dalej RODO przetwarzanie danych osobowych oznacza operację lub zestaw operacji wykonywanych na danych osobowych, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Należy zwrócić uwagę, że wyliczenie ma charakter przykładowy i jeżeli zidentyfikujemy inną czynność dokonywaną na danych, niż te wymienione w RODO, będzie ona również miała charakter przetwarzania danych.
W obszarze szkoleń dotyczących bezpieczeństwa i higieny pracy z przetwarzaniem danych osobowych mamy do czynienia m.in. przy:
–
pozyskiwaniu ich od pracowników (w tym przypadku chodzi o pozyskanie danych osobowych niezbędnych do wystawienia karty szkolenia wstępnego i zaświadczenia o ukończeniu szkolenia bhp),
–
przechowywaniu dokumentacji szkoleniowej zawierającej dane osobowe, w tym zaświadczenia, rejestry wydanych zaświadczeń,
–
przekazywaniu innym podmiotom, w tym np. podmiotowi, który na zlecenie pracodawcy przeprowadza szkolenia w dziedzinie bezpieczeństwa i higieny pracy, realizuje zadania służby bezpieczeństwa i higieny pracy, prowadzi sprawy kadrowe pracodawcy,
–
archiwizacji i niszczeniu.
4.Rodzaj danych osobowych przetwarzanych w związku ze szkoleniami bhp
Danymi osobowymi w myśl art. 4 pkt. 1 RODO są informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizyczne. Natomiast, możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy jeden bądź kilka szczególnych czynników określających: fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Odnosząc powyższą definicję do działań podejmowanych w związku ze szkoleniami należy wskazać, że pracodawca powinien od pracownika pozyskać następujące dane do opracowania:
–
karty szkolenia wstępnego – imię i nazwisko pracownika;
–
zaświadczenia potwierdzającego ukończenie szkolenia okresowego – imię i nazwisko, datę jego urodzenia.
Ważne!
Ani karta szkolenia wstępnego ani zaświadczenie o odbyciu szkolenia okresowego bhp nie zawierają innych danych osobowych w tym, np. imion rodziców nazwiska rodowego matki, czy nr PESEL. Tym samym, nie ma podstaw prawnych ani potrzeby ich pobierania, w celu identyfikacji pracownika, i w konsekwencji przetwarzania.
5.Zgoda pracownika na przetwarzanie danych nie jest potrzebna
Jedną z podstawowych zasad przetwarzania danych osobowych stanowi zasada legalności. Sprowadza się ona do tego, że aby móc zgodnie z prawem przetwarzać dane osobowe, administrator (pracodawca) powinien dysponować tzw. przesłanką legalizującą to przetwarzanie. Zgodnie z art. 6 RODO, przetwarzanie jest zgodne z prawem, gdy:
1)
osoba, której dane dotyczą wyraziła na to zgodę;
2)
jest niezbędne do wykonania umowy lub podjęcia działań przed jej zawarciem;
3)
jest niezbędne do wypełnienia obowiązku prawnego;
4)
jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
5)
jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej;
6)
jest niezbędne do celów wynikających z prawnie uzasadnionych interesów.
W przypadku przetwarzania danych osobowych związanych z realizacją obowiązków w zakresie szkoleń BHP podstawę do przetwarzania danych osobowych będzie stanowiło przede wszystkim, wskazane w powyższym punkcie trzecim, wypełnienie obowiązku prawnego. Z tego względu nie jest konieczna zgoda pracownika na ich przetwarzanie. Zgodę stosujmy bowiem wtedy, kiedy nie ma możliwości zastosowania innej przesłanki legalizacyjnej, tzn. kiedy nie spełniamy żadnego innego warunku spośród warunków wskazanych w art. 6 ust. 1 RODO, np. nie ma obowiązku prawnego.
6.Zakres danych osobowych pracowników niezbędnych do sporządzenia dokumentacji szkoleniowej
Zakres danych, które może żądać pracodawca od pracownika reguluje art. 221 ustawy z 26.06.1974 r. – Kodeks pracy – dalej k.p. Stosownie do § 1 i 2 tego przepisu, pracodawca ma prawo żądać od pracownika podania danych osobowych obejmujących:
–
imię (imiona) i nazwisko;
–
datę urodzenia;
–
dane kontaktowe wskazane przez taką osobę;
–
wykształcenie;
–
kwalifikacje zawodowe;
–
przebieg dotychczasowego zatrudnienia
Pracodawca, stosownie do art. 221 § 4 k.p. ma prawo żądać od pracownika także podania innych danych osobowych pracownika, gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa.
Zatem podstawą prawną do przetwarzania danych w postaci imienia i nazwiska, niezbędnych do wskazania w karcie szkolenia oraz zaświadczeniu z odbytego szkolenia okresowego oraz daty urodzenia wymaganej w zaświadczeniu jest art. 221 k.p.
W świetle bowiem art. 88 ust. 1 RODO państwa członkowskie mogą zawrzeć w swoich przepisach lub w porozumieniach zbiorowych bardziej szczegółowe przepisy mające zapewnić ochronę praw i wolności w przypadku przetwarzania danych osobowych pracowników w związku z zatrudnieniem, w szczególności do celów rekrutacji, wykonania umowy o pracę, w tym wykonania obowiązków określonych przepisami lub porozumieniami zbiorowymi, zarządzania, planowania i organizacji pracy, równości i różnorodności w miejscu pracy, bezpieczeństwa i higieny pracy, ochrony własności pracodawcy lub klienta oraz do celów indywidualnego lub zbiorowego wykonywania praw i korzystania ze świadczeń związanych z zatrudnieniem, a także do celów zakończenia stosunku pracy. Takim przepisem uszczegóławiającym, w rozumieniu art. 88 ust. 1 RODO, jest m.in. art. 221 § 1 i 2 k.p. Wprawdzie powołane unormowanie k.p. nie reguluje samego procesu przetwarzania danych osobowych, niemniej polski ustawodawca przyjął w nim model zamkniętego katalogu informacji, jakich pracodawca może żądać od pracownika Pracodawca może domagać się udostępnienia od ww. osób danych wykraczających poza zakres podany w art. 221 § 1 i 2 k.p. tylko wtedy, gdy obowiązek ich podania wynika z odrębnych przepisów (art. 221 § 4 k.p )
Ważne!
Stosownie do art. 221 § 5 k.p. udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której one dotyczą. Przy czym złożenie takiego oświadczenia przez pracownika nie może być utożsamiane z oświadczeniem o wyrażeniu zgody na przetwarzanie danych. Pracodawca stosownie do postanowień art. 221 § 5 k.p. ma prawo żądać dowodu osobistego do wglądu w celu zweryfikowania podanych w kwestionariuszu danych osobowych, ale nie ma podstawy do tego, aby kserować dowód osobisty.
W sytuacji, gdyby pracodawca chciał pozyskać od pracownika inne dane niż wskazane powyżej, niezbędne do sporządzenia karty szkolenia wstępnego lub zaświadczenia o odbyciu szkolenia okresowego bhp, musiałby uzyskać na to zgodę pracownika. Należy mieć jednak na uwadze, że zgodnie z art. 5 ust. 1 lit. b i c RODO, dane osobowe muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami (zasada ograniczenia celu), a także dane osobowe muszą być: (…) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (zasada minimalizacja danych). Takie brzmienie przepisów jest oczywistym ograniczeniem dowolności zamiaru w jakim dane osobowe mogą być zbierane i przetwarzane. Innymi słowy, każdy podmiot przetwarzający dane musi dokonać selekcji danych i wybrać tylko taką ich liczbę oraz rodzaj, jakie są dla niego niezbędne. Biorąc zatem pod uwagę fakt, że dla identyfikacji pracownika, który odbył szkolenie bhp wystarczające jest jego imię i nazwisko nie ma potrzeby przetwarzania innych danych osobowych.
7.Realizowanie szkolenia przez podmiot zewnętrzny
W sytuacji, gdy w związku z realizacją obowiązków w zakresie szkoleń bhp pracodawca korzysta z usług firmy zewnętrznej, która organizuje tego rodzaju szkolenia i w konsekwencji będzie wystawiała pracownikom zaświadczenia o ich odbyciu, na podstawie danych przekazanych przez pracodawcę, to pracodawca powinien zawrzeć z firmą szkolącą umowę powierzenia przetwarzania danych, o której mowa w art. 28 ust. 1-3 RODO. Firma ta stanie się bowiem podmiotem przetwarzającym dane osobowe pracowników. Należy bowiem zaznaczyć, że aby przekazywanie danych osobowych innemu podmiotowi było legalne, konieczne jest istnienie ku temu odpowiedniej podstawy prawnej lub zawarcie umowy powierzenia przetwarzania danych osobowych. Należy jednak zaznaczyć, że powierzenie przetwarzania danych nie oznacza wyzbycia się statusu podmiotu decydującego o celach i środkach przetwarzania, nie oznacza innymi słowy zmiany administratora danych czy możliwości przetwarzania danych przez podmiot, któremu powierzono dla jego własnych celów.
Ważne!
Gdyby dodatkowo firma pobrała od pracowników określone dane, np. na podstawie zgody na przetwarzanie ich danych osobowych, w innych celach ustalonych przez firmę (np. marketing, lista obecności), to uczestnicy sami podają jej swoje dane i w tym zakresie prowadzący szkolenie jest administratorem ich danych osobowych. Stałaby się ona podmiotem decydującym o celach i sposobach przetwarzania danych, zaś operacji przetwarzania w zakresie uzyskanych zgód dokonywałaby we własnym imieniu – art. 4 pkt 7 RODO.
W umowie o powierzeniu przetwarzania z podmiotem szkolącym, warto zawrzeć obowiązek zachowania przez niego w poufności wszelkich informacji uzyskanych zarówno od organizatora szkolenia, jak i od uczestników szkolenia. Nie jest to jednak zagadnienie ściśle związane z ochroną danych osobowych, a dotyczy klauzuli zachowania poufności.
8.Podmiot zewnętrzny realizujący szkolenie jako administrator danych – tworzenie i przechowywanie dokumentacji szkoleniowej
Należy jednak wskazać, że podmiot świadczący usługi szkoleniowe w zakresie bhp może stać się również administratorem danych osobowych osób uczestniczących w szkoleniach. Zgodnie z art. 4 pkt 7 RODO, administratorem danych osobowych jest osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Jeżeli podmiot szkolący w zakresie realizacji swoich obowiązków dotyczących m.in. przechowywania wydanych certyfikatów, list i list obecności uczestników, będzie przetwarzał dane osobowe uczestników szkoleń i kursów, to będzie realizował swoje cele, a nie cele pracodawcy. W stosunku do tych danych stanie się zatem administratorem.
Ważne!
Jednostki organizacyjne uprawnione do prowadzenia działalność szkoleniowej w dziedzinie bezpieczeństwa i higieny pracy, mają obowiązek zapewnić m.in. prowadzenie dokumentacji w postaci programów szkolenia, dzienników zajęć, protokołów z przebiegu egzaminów i rejestrów wydanych zaświadczeń. Wynika więc z tego, iż z mocy samego obowiązku prawnego przetwarzają dane osobowe zawarte w listach obecności, czy w rejestrach wydanych zaświadczeń o ukończeniu szkolenia. W tym zakresie stają się administratorem danych osobowych i przetwarzają te dane na podstawie przesłanki legalizującej określonej w art. 6 ust 1 lit. c RODO). W innym przypadku, podstawą przetwarzania danych osobowych może być np. określony w art. 6 ust. 1 lit. f RODO, prawnie uzasadniony interes. Może to być interes faktyczny, gospodarczy lub prawny, ale taki, który jest zgodny z prawem, np. realizacja roszczeń, wydawanie duplikatów zaświadczeń, itp.
W sytuacji gdy podmiot świadczący usługi szkoleniowe w zakresie bhp stanie się administratorem danych osobowych, jest on zobowiązany do realizacji wszystkich obowiązków ciążących na administratorze danych wynikających z przepisów RODO, w tym do udostepnienia uczestnikom szkolenia klauzul informacyjnych (art. 13 RODO).
9.Monitoring w salach wykładowych a przetwarzanie danych osobowych
Podstawą prawną korzystania przez ośrodek szkoleniowy z monitoringu i przetwarzania pozyskanych danych osobowych stanowi art. 6 ust. 1 lit. f RODO. Zgodnie ze wskazanym przepisem przetwarzanie danych jest zgodne z prawem jeżeli jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią. Wyjątki to sytuacje, w których nadrzędny charakter wobec interesów administratora mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Prawnie uzasadnionym interesem będzie w tym przypadku, np. zapewnienie bezpieczeństwa i ochrona mienia.
Należy jednak pamiętać, że w tym przypadku podmiot realizujący szkolenia staje się administratorem danych i musi spełniać obowiązki wynikające z przepisów dot. ochrony danych osobowych, w tym obowiązek informacyjny wynikający z art. 13 RODO.
Ważne!
Jeżeli sale wykładowe są również miejscem pracy dla osób zatrudnionych na podstawie umowy o pracę (pracownicy sprzątający, serwisujący sprzęt itp.), to stosownie do art. 223 § 4 k.p. na pracodawcy ciążą obowiązki wynikające z art. 222 § 6–10 k.p., w tym powinność poinformowania pracowników o wprowadzeniu monitoringu, w sposób przyjęty u danego pracodawcy, nie później niż 2 tygodnie przed jego uruchomieniem (art. 222 § 7 k.p.).
10.Realizacja szkolenia przez pracodawcę
Jak wskazano powyżej pracodawca w określonych przypadkach ma prawo samodzielnie organizować szkolenia w zakresie bhp. Jeżeli pracodawca jest organizatorem wstępnego szkolenia bhp i jest ono przeprowadzane przez pracownika służby bezpieczeństwa i higieny pracy, osobę wykonującą u pracodawcy zadania tej służby albo pracodawcę, który sam wykonuje takie zadania, lub wyznaczonego przez pracodawcę pracownika posiadającego zasób wiedzy i umiejętności zapewniające właściwą realizację programu instruktażu, mającego aktualne zaświadczenie o ukończeniu wymaganego szkolenia w dziedzinie bezpieczeństwa i higieny pracy, to na nim spoczywa obowiązek sporządzenia karty szkolenia wstępnego i tym samym nie udostępnia on danych osobowych podmiotom zewnętrznym. W konsekwencji nie ma obowiązków ani zawierania umów powierzenia, jak również obowiązków informacyjnych względem pracowników.
Z podobną sytuacją będziemy mieli do czynienia, gdy pracodawca będzie organizatorem szkolenia okresowego i sam będzie wystawiał zaświadczenia o odbyciu danego szkolenia. Przypomnijmy, że zgodnie z § 4 r.s.b.h.p. szkolenia okresowe mogą być organizowane i prowadzone przez pracodawców. Jeżeli szkolenie jest prowadzone przez pracodawcę jego obowiązkiem jest zapewnienie programów poszczególnych rodzajów szkolenia opracowane dla określonych grup stanowisk; programy szkolenia instruktorów w zakresie metod prowadzenia instruktażu – w przypadku prowadzenia takiego szkolenia; odpowiednie warunki lokalowe do prowadzenia działalności szkoleniowej; wyposażenie dydaktyczne niezbędne do właściwej realizacji programów szkolenia; właściwy przebieg szkolenia oraz prowadzenie dokumentacji w postaci programów szkolenia, dzienników zajęć, protokołów przebiegu egzaminów i rejestru wydanych zaświadczeń.
11.Archiwizacja dokumentacji dotyczącej szkoleń
Rolą zarówno pracodawcy organizującego i prowadzącego szkolenie szkolenia w zakresie bhp jaki i podmiotów zewnętrznych jest zapewnienie nie tylko właściwego przebiegu szkolenia, ale i prowadzenie dokumentacji z tym związanej. Składają się na nią między innymi:
•
rejestr wydanych zaświadczeń;
•
protokoły przebiegu egzaminów, jak również
•
wykaz przeszkolonych pracowników.
Przepisy wskazując na obowiązek prowadzenia dokumentacji nie regulują kwestii jej późniejszego przechowywania – nie wskazując tym samym przez jaki okres dokumentacja taka powinna być w posiadaniu pracodawcy. Przyjmuje się, że dokumentacja związana z prowadzeniem szkoleń powinna być przechowywana – w tym dostępna na wypadek kontroli przez okres ważności szkolenia, któremu byli poddawani pracownicy. Jest to absolutne minimum, jednak zalecane wydaje się być przechowywanie dokumentacji dłużej – dla celów dowodowych w razie ewentualnych działań kontrolnych organów uprawnionych do kontroli prawa pracy. Przyjęty okres przechowywania tej dokumentacji musi być jednak określony na takim poziomie aby administrator danych mógł wykazać, że została zachowana, wynikająca z art. 5 ust. 1 lit. e RODO, zasada ograniczenia przechowywania.
Ważne!
Pracodawca jest zobowiązany przechowywać dokumenty potwierdzające ukończenie wymaganego szkolenia BHP (kartę szkolenia wstępnego i zaświadczenie o odbyciu szkolenia okresowego) w aktach osobowych, w części „B”. W konsekwencji wskazane dokumenty przechowuje wraz z aktami osobowymi przez okres jaki ma zastosowanie w przypadku konkretnych akt, tj. 50 albo 10 lat.
12.Obowiązek informacyjny względem pracowników
Obowiązek informacyjny to obowiązek wynikający z art. 13 RODO. Powyższy przepis określa informacje, jakie są podawane w przypadku zbierania danych od osoby, której dane dotyczą. W art. 13 ust. 1 RODO wskazano, że jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, administrator podczas pozyskiwania danych osobowych podaje jej wszystkie wskazane w tym przepisie informacje, np. swoją tożsamość i dane kontaktowe, dane kontaktowe inspektora ochrony danych, cele przetwarzania danych osobowych oraz podstawę prawną przetwarzania, itp. Natomiast z art. 13 ust 1 lit. e RODO wynika, iż pracodawca jako administrator danych musi podać pracownikom informację m.in. o istniejących odbiorcach jego danych. Jeżeli zatem pracodawca będzie korzystał z usług firmy szkoleniowej i będzie jej przekazywał dane pracowników, w celu wystawienia zaświadczeń, to będzie zobowiązany poinformować o tym pracowników.
Ważne!
Z przepisu art. 13 ust. 1 lit. e RODO (ani z żadnego innego przepisu RODO) w żaden sposób nie wynika, aby pracodawca miał obowiązek uzyskać zgodę swojego pracownika na przekazanie firmie szkoleniowej jego danych osobowych.
13.Przechowywanie dokumentacji dotyczącej szkoleń w przypadku pracowników tymczasowych
Zgodnie z art. 9 ust. 2a ustawy z dnia 9 lipca 2003 r. o zatrudnianiu pracowników tymczasowych, pracodawca użytkownik (pracodawca lub podmiot niebędący pracodawcą w rozumieniu k.p.) ma obowiązek dostarczyć pracownikowi tymczasowemu odzież i obuwie robocze oraz środki ochrony indywidualnej, zapewnić napoje i posiłki profilaktyczne, przeprowadzić szkolenia w zakresie bhp, ustalić okoliczności i przyczyny wypadku przy pracy, przeprowadzić ocenę ryzyka zawodowego oraz informować o tym ryzyku.
Powyższy przepis w sposób jednoznaczny obliguje pracodawcę użytkownika do zapewnienia pracownikom tymczasowym kompleksowych szkoleń z zakresu bhp. Dotyczy to zarówno szkoleń wstępnych (instruktażu ogólnego i stanowiskowego), jak i szkoleń okresowych.
Powyżej omówiona regulacja w sposób jednoznaczny wyznacza, iż podmiotem odpowiedzialnym za przeprowadzenie szkoleń bhp względem pracowników tymczasowych jest pracodawca użytkownik. Przepisy nie wskazują jednak, czy pracodawca użytkownik obok obowiązku przeprowadzenia szkolenia bhp jest również obowiązany do przechowywania dokumentacji związanej ze szkoleniami bhp. Należy jednak przyjąć, że skoro pracodawca użytkownik obowiązany jest zapewnić właściwe szkolenia bhp dla pracowników tymczasowych skierowanych do niego do pracy, to również jego rolą będzie przechowywanie dokumentacji. Tym samym przetwarzanie danych osobowych w niej zwartych należy uznać za legalne. Przesłanka legalizującą będzie prawnie uzasadniony interes, o którym mowa w art. 6 ust. 1 lit f RODO.
Należy jednak pamiętać, że zgodnie z § 12 r.s.b.h.p., odbycie instruktażu ogólnego oraz instruktażu stanowiskowego pracownik potwierdza na piśmie w karcie szkolenia wstępnego, która jest przechowywana w aktach osobowych pracownika. Natomiast zgodnie z § 16 ust. 3 r.s.b.h.p., potwierdzeniem ukończenia z wynikiem pozytywnym szkolenia okresowego jest zaświadczenie wydane przez organizatora szkolenia. Odpis zaświadczenia jest przechowywany w aktach osobowych uczestnika szkolenia. Tym samym należy uznać, że rolą pracodawcy użytkownika jest przekazanie wskazanych dokumentów agencji pracy tymczasowej, która prowadzi akta osobowe pracowników tymczasowych. Podstawą przetwarzania danych osobowych zawartych we wskazanych dokumentach będzie natomiast art. 6 ust. 1 lit. c RODO, to jest konieczność wywiązania się z obowiązku prawnego.
14.Udostępnianie danych osobowych zawartych w dokumentacji szkoleniowej podmiotom korzystającym z usług podwykonawców
Zgodnie z art. 207 k.p. pracodawca ponosi odpowiedzialność za stan bhp w stosunku do swoich pracowników i jest obowiązany chronić ich zdrowie i życie przez zapewnienie bezpiecznych i higienicznych warunków pracy. Przejawem powyższej powinności zgodnie z art. 2373 § 2 k.p. jest obowiązek zapewnienia szkoleń z zakresu bhp. Również obowiązki w zakresie przechowywania dokumentacji potwierdzającej odbycie szkoleń bhp ciążą na pracodawcy (rozporządzenie Ministra Pracy i Polityki Socjalnej z 28.05.1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych). Ponadto to pracodawca ponosi odpowiedzialność za przestrzeganie aktualności szkoleń z zakresu bhp (art. 283 k.p.). Przepisy nie zobowiązują natomiast pracodawcy do zapewnienia bezpiecznych i higienicznych warunków pracy „obcym” pracownikom. Obowiązek ten spoczywa na ich własnym pracodawcy, w omawianym przypadku podwykonawcy. Przy czym należy dodać, że firma zlecająca wykonanie prac podwykonawcy, nawet jeżeli prace odbywają się na jej terenie, nie staje się pracodawcą dla osób w niej zatrudnionych, tj. u podwykonawcy. Tym samym, jeżeli firma zlecająca posiada status pracodawcy (zatrudnia pracowników), jest obowiązana realizować obowiązki w zakresie bhp wynikające z przepisów k.p. w stosunku do swoich pracowników. Natomiast pracodawca – podwykonawca w stosunku do swoich pracowników. Tym samym nie ma podstaw prawnych do przekazywania dokumentacji potwierdzającej odbycie badań i szkoleń przez pracowników podwykonawcy, jak i przechowywania jej przez zlecającego prace.
Ważne!
Jeżeli zlecający pracę wejdzie w posiadanie omawianej dokumentacji (np. uzyska ją od osób wykonujących pracę), to będzie mógł ją przetwarzać, jeżeli zaistnieje, któraś z określonych w art. 6 ust 1 RODO przesłanek legalizujących przetwarzanie danych, Przy czym będzie ona zależna od konkretnej sytuacji, a administrator będzie musiał wykazać, że realizuje zasadę „rozliczalności”, czyli że przetwarza dane zgodnie z przepisami dotyczącymi ochrony danych osobowych.
15.Udostępnienie dokumentacji potwierdzającej odbycie szkoleń instytucjom kontrolującym
Udostępnienie dokumentacji zawierającej dane osobowe pracowników instytucjom badającym dokumentację związaną ze szkoleniami w ramach przeprowadzania kontroli (PIP, US, ZUS) nie wymaga zawarcia z tymi instytucjami umowy powierzenia przetwarzania danych osobowych. Jak wskazano powyżej z art. 28 ust. 1 RODO wynika, że w ramach powierzenia przetwarzania danych osobowych administrator powierza to przetwarzanie podmiotowi zewnętrznemu, który będzie to czynił w imieniu administratora. W przypadku kontroli przeprowadzanej przez instytucje kontrolujące podmioty te, w związku z kontrolą, nie przetwarzają danych osobowych pracowników podmiotu kontrolowanego w imieniu tego podmiotu. Organy kontrolujące są zazwyczaj uprawnione do przetwarzania danych osobowych (m.in. pracowników podmiotu kontrolowanego) z uwagi na przepisy ustawy przyznające im kompetencje do przeprowadzania kontroli, do których realizacji niezbędne jest przetwarzanie danych osobowych. Wówczas podstawą przetwarzania tych danych osobowych jest art. 6 ust. 1 lit. c RODO. W efekcie, nie znajdzie w tym przypadku zastosowania konstrukcja powierzenia przetwarzania danych osobowych, np. na podstawie umowy, bowiem podmiot kontrolowany (administrator), nie powierza organowi kontrolującemu danych osobowych swoich pracowników po to, aby ten organ kontrolujący przetwarzał następnie te dane w imieniu podmiotu kontrolowanego.