W związku z pytaniami kierowanymi przez uczelnie wyższe do Urzędu Ochrony Danych Osobowych dotyczącymi konieczności zawarcia umowy powierzenia przetwarzania danych osobowych w sytuacji, gdy uczelnia wysyła studentów na praktyki zawodowe Urząd przedstawił stanowisko w sprawie.
Zgodnie z RODO zawarcie umowy powierzenia przetwarzania danych osobowych jest konieczne, gdy administrator danych osobowych zleca procesorowi (podmiotowi przetwarzającemu) przetwarzanie danych osobowych w swoim imieniu i w celach, które określa administrator. Ważne jest to, że podmiot przetwarzający przetwarza dane w imieniu administratora realizując jego cele przetwarzania i nie działa w imieniu własnym i dla realizacji swoich celów.
Urząd Ochrony Danych Osobowych w swoim stanowisku wyjaśnia, że:
„Organizację praktyk studenckich reguluje ustawa z dnia 20 lipca 2018 r. Prawo o szkolnictwie wyższym i nauce. Zgodnie z art. 67 ust. 5 tej ustawy studia są prowadzone na podstawie programu studiów, który może przewidywać odbycie przez studenta praktyk zawodowych (art. 67 ust. 5). Ponadto z przepisów tych wynika, że realizacja praktyk stanowi jeden z obowiązków studenta (art. 107 ust. 2 pkt 2). Zatem skierowanie studenta przez uczelnię do odbycia praktyk wynika z programu studiów, a praktyki te mają na celu uzyskanie przez studenta efektów uczenia się kształtujących umiejętności praktyczne, o których mowa w art. 64 ust. 2 pkt 1 powyższej ustawy.
Z drugiej strony - w przypadku zawarcia przez uczelnię umowy (porozumienia) w sprawie realizacji praktyki studenckiej, podmiot przyjmujący studenta na praktykę realizuje w zakresie zawartej umowy swoje własne zadania, wynikające z postanowień tej umowy oraz z przepisów szczególnych (np. zawartych w Kodeksie pracy przepisów dotyczących bhp), a także z regulacji wewnętrznych (np. ewidencja wejść i wyjść, ewidencja czasu odbywania praktyki, nadawanie upoważnień do przetwarzania danych osobowych, o ile oczywiście w ramach praktyk student będzie miał do takich danych dostęp). Tym samym podmiot, w którym student odbywa praktykę staje się administratorem jego danych osobowych w zakresie danych udostępnionych mu przez uczelnię oraz danych gromadzonych przez ten podmiot w celu realizacji umowy o praktykę. Każda ze stron tej umowy przetwarza dane studenta dla realizacji swoich celów oraz obowiązków i w tym zakresie jest administratorem tych danych.
Warto nadmienić, że w przypadku uczelni medycznych - oprócz wyżej podanych wskazówek, należy mieć na uwadze regulacje zawarte w ustawie o działalności leczniczej, zwłaszcza w dziale II, rozdziale 4 tej ustawy zatytułowanym: Regulacje szczególne dotyczące działalności leczniczej obejmującej realizację zadań dydaktycznych i badawczych w powiązaniu z udzielaniem świadczeń zdrowotnych i promocją zdrowia.”
Podsumowując, w przypadku kierowania studenta na praktyki przez uczelnie wyższe, podmiot realizujący praktykę oraz uczelnia wyższa są odrębnymi administratorami danych. Podmiot organizujący praktykę jest administratorem danych praktykanta, a uczelnia jest administratorem danych studenta. W związku z powyższym uczelnia kierując studenta na praktykę udostępnia jego dane osobowe na podstawie art. 6 ust. 1 lit e) RODO oraz ustawy z dnia 20 lipca 2018 r. Prawo o szkolnictwie wyższym i nauce.
