Obsługa kadrowo-płacowa szkoły – czy konieczna jest umowa powierzenia

Na stronie internetowej Urzędu Ochrony Danych Osobowych dostępna jest interpretacja (Ochrona danych osobowych w szkołach i placówkach oświatowych) zgodnie z którą do zadań organu prowadzącego szkołę należy w szczególności:

• zapewnienie warunków działania szkoły lub placówki, w tym bezpiecznych i higienicznych warunków nauki, wychowania i opieki,
• zapewnienie warunków umożliwiających stosowanie specjalnej organizacji nauki i metod pracy dla dzieci i młodzieży objętych kształceniem specjalnym,
• wykonywanie remontów obiektów szkolnych oraz zadań inwestycyjnych w tym zakresie,
• wyposażenie szkoły lub placówki w pomoce dydaktyczne i sprzęt niezbędny do pełnej realizacji pro-gramów nauczania, programów wychowawczo-profilaktycznych, przeprowadzania egzaminów oraz wykonywania innych zadań statutowych,
• zapewnienie obsługi administracyjnej, w tym prawnej, obsługi finansowej, w tym w zakresie wykonywania czynności, o których mowa w ustawie o rachunkowości i obsługi organizacyjnej szkoły (nie dotyczy to organów prowadzących szkoły, które na podstawie art. 2 ust. 1 pkt 2 oraz ust. 4 ustawy o rachunkowości, nie są obowiązane do stosowania zasad rachunkowości określonych tą ustawą),
• wykonywanie czynności w sprawach z zakresu prawa pracy w stosunku do dyrektora szkoły.

Organ prowadzący szkołę ma dostęp (a szkoła mu ten dostęp zapewnia) do danych osobowych przetwarzanych w szkole w związku z realizacją swoich obowiązków wynikających z przepisów prawa. Organ prowadzący szkołę ma prawo dostępu - na potrzeby kontroli - do objętej zakresem kontroli dokumentacji będącej w posiadaniu szkoły. W takiej sytuacji organ ten będzie odrębnym administratorem danych osobowych przetwarzanych w związku z kontrolą od szkoły lub placówki. Osoba kontrolująca powinna mieć upoważnienie do przetwarzania danych osobowych w zakresie przeprowadzenia kontroli, nadane przez organ prowadzący.

Jeżeli organ prowadzący szkołę zapewnia jej obsługę administracyjną, prawną, czy finansową, to szkoła, jako administrator danych, udostępnia dane w ramach powierzenia przetwarzania danych tylko w zakresie niezbędnym do realizacji tego celu oraz po spełnieniu wymogów określonych w art. 28 RODO”.
Tak więc zdaniem UODO udostępnienie danych następuje po spełnieniu wymogów art. 28 RODO. Tymczasem zgodnie z art. 28 ust. 3 RODO przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy.  Umowa powinna określać:

• przedmiot i czas trwania przetwarzania – czyli jakie czynności i przez jaki okres czasu będą wykonywane w ramach umowy, z których jednocześnie wynika obowiązek przetwarzania danych,
• charakter i cel przetwarzania – np. przetwarzanie w celu zawarcia umowy ubezpieczenia,
• rodzaj danych osobowych oraz kategorie osób których dane dotyczą,
• obowiązki i prawa administratora.

Zatem zdaniem UODO dane osobowe niezbędne do wykonywania zadań kadrowo-płacowych mogą zostać powierzone organowi prowadzącemu po zawarciu umowy powierzenia przetwarzania.