Zgodnie z art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.2016.119.1) umowę powierzenia przetwarzania danych zawiera się wówczas, gdy administrator danych zleci konkretnemu innemu podmiotowi wykonanie danego zadania w jego imieniu.
Podmiot, który ma wykonać to zadanie nie staje się odrębnym administratorem danych, ponieważ wykonuje polecenie administratora, a sam nie decyduje o celach i sposobach przetwarzania.
Jeżeli natomiast dane przekazywane są innemu podmiotowi, w takim celu, aby to podmiot wykonał swoje własne zadania, to staje się on odrębnym administratorem i dochodzi do udostępnienia danych na rzecz odrębnego administratora, a wtedy nie ma podstaw prawnych do zawarcia umowy powierzenia przetwarzania danych.
W przypadku kierowania uczniów na praktyczną naukę zawodu dochodzi do udostępnienia danych osobowych, a co za tym idzie nie ma podstaw prawnych do zawarcia umowy powierzenia przetwarzania danych. Dzieje się tak, ponieważ przy udostępnieniu danych zarówno szkoła, która udostępnia dane uczniów, jak i podmiot, który podjął się praktycznej nauki zawodu stają się odrębnymi administratorami danych. Szkoła przekazuje dane uczniów podmiotowi, z którym zawarła umowę o realizację praktyk. W chwili przekazania danych podmiot, który udziela praktyk staje się administratorem tych danych, ponieważ będzie je przetwarzał w związku z realizacją swoich celów i zadań. W Rozporządzeniu Ministra Edukacji Narodowej z dnia 22 lutego 2019r. w sprawie praktycznej nauki zawodu (Dz.U. z 2019r. poz. 391) wskazane są zadania, jakie powinna wykonać szkoła i podmiot świadczący usługi nauki zawodu.
Podsumowując – jeżeli ADO udostępnia dane osobowe innemu podmiotowi do realizacji jego zadań, to nie zawiera się umowy powierzenia przetwarzania danych.
Podstawa prawna:
ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).