RODO: Prawnik rozwiewa najczęściej pojawiające się wątpliwości

Po wejściu w życie RODO pojawiło się wiele pytań o praktyczne stosowanie przepisów rozporządzenia i nowej ustawy o ochronie danych osobowych. Żeby rozwiać część wątpliwości, postanowiliśmy odpowiedzieć na te, które branżowcy zadają najczęściej.

OSK współpracuje z firmą transportową, która wysyła kierowców na szkolenia. Na kim spoczywa obowiązek zadbania o umowę powierzenia – na ośrodku czy firmie transportowej?

Obowiązek zawarcia odpowiednich umów powierzenia leży po stronie administratora, czyli w tym przypadku na firmie transportowej.

Czy wymagane są jakieś dodatkowe zgody, jeżeli ośrodek zapisuje kursantów na egzamin w WORD-zie osobiście lub przez Internet?

Nie, nie jest potrzebna w tym zakresie zgoda. Wystarczy, że kursant w dowolnej formie wyraża chęć zawarcia umowy obejmującej taką usługę. Wówczas przetwarzanie jest zgodne z prawem w świetle art. 6 ust. 1 lit. b RODO, jako że „przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy”.

Jeżeli kursanci piszą do ośrodka e-maila w sprawie zapisania się na kurs albo pytają o cenę, czy konieczne jest uzyskiwanie ich zgody na przetwarzanie danych w celu udzielenia odpowiedzi?

Jeśli jedynie odpowiadamy na bieżące pytania potencjalnych klientów, zgoda na przetwarzanie danych osobowych nie jest w tym zakresie potrzebna. Ale gdy dane osobowe z formularza mają być gromadzone, konieczne jest uzyskanie na to zgody i udzielenie na ten temat wyczerpującej informacji.

Czy potrzebujemy zgody na przetwarzanie danych od pracowników firmy, jeśli chodzi o kontakt w celach służbowych?

Nie, zasadniczo nie potrzeba takiej zgody. Chyba że pracodawca zrobiłby z danymi coś więcej niż musi (np. publikacja wizerunków instruktorów wraz z ich personaliami na stronie internetowej).

Czy trzeba mieć zgodę na przetwarzanie danych osobowych w sytuacji, kiedy kursant wyraża opinię na temat OSK, a ona potem jest publikowana w serwisie społecznościowym lub na stronie internetowej?

Tak, jeśli publikując tę opinię, posługujemy się danymi osobowymi, zgoda jest wymagana.

Czy OSK musi zawierać ze starostwem umowę powierzenia danych?

Nie, starostwo uzyskuje i przetwarza dane na podstawie przepisów ustawy, a nie umowy z ośrodkiem.

Czy OSK musi zawierać umowę powierzenia danych z WORD-em?

W podstawowym zakresie, w jakim WORD realizuje zadania ustawowe, taka umowa nie jest konieczna.

Czy OSK musi zawierać umowę powierzenia danych z ODTJ-otem?

Tak, w takiej sytuacji umowa powierzenia danych osobowych między przedsiębiorcami jest wymagana.

Czy OSK może wykonywać ksero dokumentów kursanta (np. dowodu osobistego, badań lekarskich) oraz je przechowywać?

Nie.

Czy wymagane jest upoważnienie lub powierzenie dla egzaminatora, który zasiada w komisji w czasie egzaminu na kwalifikację wstępną?

Nie, umowa powierzenia nie jest w takiej sytuacji konieczna, bowiem egzaminatorzy delegowani są przez wojewodę i uzyskują dane w związku z wykonywaniem zadań ustawowych.

Czy do kalendarza instruktora można wpisywać dane osobowe (imiona i nazwiska kursantów)?

Tak, jednak instruktor musi zapewnić poufność i bezpieczeństwo danych, przetwarzając je na podstawie wydanego upoważnienia i zgodnie z przyjętą polityką bezpieczeństwa, a także obowiązującymi przepisami. Należy jednak pamiętać, że to ośrodek jako administrator może ponieść odpowiedzialność za ewentualne zaniedbania w tym zakresie.

Jakie dane osobowe może zbierać ośrodek bez uzyskiwania zgody od swoich klientów?

 Niestety, nie ma prostej i jednoznacznej odpowiedzi na takie pytanie. Zasadniczo zgody nie będzie wymagać przetwarzanie danych osobowych wskazanych odpowiednio w przepisach o szkoleniu osób ubiegających się o uprawnienia do kierowania pojazdami lub kierowców zawodowych. Chodzi zatem np. o dane znajdujące się w PKK czy te, które muszą zostać wpisane do dokumentacji szkolenia. Kluczowy jest jednak cel przetwarzania danych – użycie danych z PKK w jakimkolwiek innym celu niż to przewidują przepisy oznaczać będzie konieczność uzyskania zgody. Z drugiej strony zgody może nie wymagać nawet przetwarzanie dodatkowych danych osobowych, jeśli odbywa się jedynie w minimalnym zakresie niezbędnym do zrealizowania szkolenia (np. kontakt telefoniczny, żeby umówić się na zajęcia praktyczne) Tematyka ta jest poruszana w motywach 40–50 preambuły i art. 6 RODO.

Na wszystkie pytania odpowiedział Radosław Biernat, specjalista ds. prawnych w firmie e-kierowca