Przedstawiciele firm, które już mają znak jakości MSUES (link), a także tych, które się o niego starają, pytają często o to, jak postępować z dokumentacją usług szkoleniowych i doradczych w kontekście przepisów o ochronie danych osobowych, zwanych w skrócie RODO.
RODO obliguje do przetwarzania danych osobowych zgodnego z prawem, co ma miejsce, jeśli m.in.:
- jest realizowane na podstawie zgody osoby, której dane dotyczą;
- jest niezbędne do wykonania umowy z osobą, której dane dotyczą lub podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
- jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze.
Sytuacją uzasadniającą legalność przetwarzania danych jest wykonanie obowiązku prawnego ciążącego na administratorze. System zarządzania jakością szkoleń, z którym związany jest znak jakości MSUES oraz obowiązki, o których mowa poniżej, został określony w akcie prawa krajowego: Uchwale nr 1106/2016 ZARZĄDU WOJEWÓDZTWA MAŁOPOLSKIEGO z dnia 19 lipca 2016 roku w sprawie przyjęcia w województwie małopolskim sytemu zarządzania jakością szkoleń w oparciu o Małopolskie Standardy Usług Edukacyjno-Szkoleniowych (MSUES) oraz Uchwale nr 1171/2017 ZARZĄDU WOJEWÓDZTWA MAŁOPOLSKIEGO z dnia 18 lipca 2017 roku w sprawie zmiany Uchwały nr 1106/2016 ZARZĄDU WOJEWÓDZTWA MAŁOPOLSKIEGO z dnia 19 lipca 2016 roku w sprawie przyjęcia w województwie małopolskim sytemu zarządzania jakością szkoleń w oparciu o Małopolskie Standardy Usług Edukacyjno-Szkoleniowych (MSUES).
Wymogiem MSUES (standard nr 18 - link) jest prowadzenie dokumentacji usług (co najmniej programu szkolenia, w tym wymiaru godzinowego i tematów poszczególnych zajęć, listy obecności, protokołu z egzaminu, o ile taki został przeprowadzony oraz zaświadczenia wydanego uczestnikom). Dokumentacja ta jest niezbędna, aby firma szkoleniowa była w stanie na przykład wystawić uczestnikowi duplikat zaświadczenia, o który wystąpi po jego utracie. Klienci mogą również mieć roszczenia związane z reklamacją usługi. Firma szkoleniowa musi posiadać dokumentację usługi, żeby móc się do tych roszczeń odnieść (np. w ostateczności przed sądem).
Zgodnie regulaminem dot. MSUES (link): "Instytucja zobowiązuje się do utrzymania zgodności z MSUES 2.0 oraz zapewnienia odpowiedniej jakości świadczonych usług edukacyjno-szkoleniowych po otrzymaniu znaku przez cały okres, na który znak został przyznany i w pełnym zakresie świadczonych usług". Dodatkowo: "Korzystanie przez instytucję ze znaku musi odbywać się z poszanowaniem prawa, dobrych obyczajów i ogólnie przyjętych zasad współżycia społecznego. Instytucja zapewnia możliwość monitorowania przez WUP Kraków lub podmioty przez niego wskazane, zgodności swojego działania z MSUES, w szczególności poprzez:
- umożliwienie, w miarę stwierdzonej przez WUP Kraków potrzeby, przeprowadzenia czynności kontrolnych, audytu monitorującego lub innych działań mających na celu weryfikację przestrzegania wymogów MSUES, a w szczególności weryfikację zgłaszanych informacji od klientów;
- niezwłoczne udostępnienie wszystkich niezbędnych informacji i dokumentów dla tych czynności oraz upoważnienie pracowników działających z ramienia WUP Kraków do przetwarzania udostępnianych im danych uczestników szkoleń na zasadach obowiązujących w instytucji".
W związku z tym w interesie firmy szkoleniowej jest, aby opisane powyżej informacje na temat zrealizowanej usługi przechowywać w celu wywiązania się z przytoczonych powyżej obowiązków prawnych.
Zgodnie z RODO:
- dane osobowe powinny być zbierane jedynie w konkretnym, wyraźnym i prawnie uzasadnionym celu, którego osiągnięcie nie jest możliwe przy użyciu innych sposobów;
- zakres pozyskiwanych danych musi być adekwatny i ograniczony do minimum niezbędnego dla realizacji wskazanego celu;
- dane osobowe mają być przetwarzane w sposób gwarantujący odpowiedni poziom bezpieczeństwa;
- administrator zapewnia, aby zgromadzone dane osobowe były poprawne i aktualne, a ich przetwarzanie przebiegało bez zakłóceń.
W związku z tym klienci powinni być informowani w momencie pozyskiwania danych osobowych o tym, kto będzie przetwarzał ich dane, o celu i okresie przetwarzania (o których mowa powyżej), dotyczące profilowania (jeśli ma miejsce), czy przysługujących im prawach. Dane te, po zakończonej usłudze, mogą być poddane pseudonimizacji, która podwyższa poziom bezpieczeństwa, czyli przetwarzania w taki sposób, aby nie było możliwe zidentyfikowanie do kogo należą, bez dostępu do innych informacji, przechowywanych w innym bezpiecznym miejscu.
Dokumentacja związana z realizacją usługi zgodnej z MSUES powinna być przechowywana przez okres 3 lat (w związku z terminem ważności znaku i warunkami certyfikacji określonymi w regulaminie), a dane osobowe mogą być udostępnione audytorom z instytucji audytującej i WUP Kraków do celu potwierdzenia zgodności ze standardem MSUES – o czym klienci powinni zostać poinformowani przed rozpoczęciem przetwarzania danych, które ich dotyczą.