Zakład pracy, który przeprowadza praktykę dla studenta, realizuje cel (zadanie) uczelni działając jako klasyczny podwykonawca (usługodawca), co sugeruje rolę procesora. Jednak aby ustalić czy nie ma wyjątku od zasady, że usługodawca jest procesorem, należy sprawdzić czy usługodawca nie dysponuje samodzielną podstawą z art. 6 lub 9 rodo dla przetwarzania na potrzeby wykonania usługi, w takim wypadku, gdy np. osoba, której dane dotyczą wyraża zgodę na przekazanie jej danych do podwykonawcy, legalizowanie przetwarzania instytucją powierzenia staje się zbędne.
W przypadku praktyk studenckich ich odbycie jest obowiązkiem studenta, a ich zorganizowanie obowiązkiem uczelni, co wynika z ustawy Prawo o szkolnictwie wyższym i nauce (p.s.w.n.) – art. 64 ust. 2 pkt 1, art. 67 ust. 5, art. 107.
Art. 107. [Podstawowe obowiązki studenta]
1. Student jest obowiązany postępować zgodnie z treścią ślubowania i przepisami obowiązującymi w uczelni.
2. Student jest obowiązany w szczególności do:
1) uczestniczenia w zajęciach zgodnie z regulaminem studiów;
2) składania egzaminów, odbywania praktyk zawodowych i spełniania innych wymagań przewidzianych w programie studiów.
Tak UODO tłumaczy dlaczego zakład pracy przyjmujący praktykanta jest ado:
Z drugiej strony – w przypadku zawarcia przez uczelnię umowy (porozumienia) w sprawie realizacji praktyki studenckiej, podmiot przyjmujący studenta na praktykę realizuje w zakresie zawartej umowy swoje własne zadania, wynikające z postanowień tej umowy oraz z przepisów szczególnych (np. zawartych w Kodeksie pracy przepisów dotyczących bhp), a także z regulacji wewnętrznych (np. ewidencja wejść i wyjść, ewidencja czasu odbywania praktyki, nadawanie upoważnień do przetwarzania danych osobowych, o ile oczywiście w ramach praktyk student będzie miał do takich danych dostęp). Tym samym podmiot, w którym student odbywa praktykę staje się administratorem jego danych osobowych w zakresie danych udostępnionych mu przez uczelnię oraz danych gromadzonych przez ten podmiot w celu realizacji umowy o praktykę. Każda ze stron tej umowy przetwarza dane studenta dla realizacji swoich celów oraz obowiązków i w tym zakresie jest administratorem tych danych.
Jakkolwiek zgadzam się z konkluzją to nie do końca zgadzam się z uzasadnieniem. Każdy usługodawca (tu zakład pracy) realizuje własne zadania wynikające z um podstawowej i to nie czyni go administratorem, ponieważ na pierwszy plan wysuwa się fakt, że przyczyną przetwarzania dla którego istnieje podstawa legalizacyjna są zadania usługobiorcy, który zlecił usługę do wykonania – usługodawca zawsze jest podwykonawcą który realizuje cel (zadania) usługobiorcy za świadczenie pieniężne, sama um podstawowa (o świadczenie usług) nigdy nie jest podstawą legalizacyjną dla zadań usługodawcy z niej wynikających, bo jej stroną nie jest podmiot danych. Również to, że usługodawca musi w jakim zakresie podczas przetwarzania stosować się do przepisów obowiązującego prawa nie czyni go administratorem co do powierzonych procesów (status należy ustalać co do procesu, a proces jest głównie zdeterminowany przez cel), dopiero jeśli cele jego przetwarzania są kompleksowo określone prawem (zawód regulowany jak np. adwokat) osiąga status administratora (art. 4 pkt 7 zd. 2 rodo). Tak np. biuro rachunkowe wykonuje czynności (zadania) określone w prawie powszechnie obowiązującym, ale nie uzyskuje przez to statusu administratora, natomiast biegły rewident, który też wykonuje czynności określone w prawie powszechnie obowiązującym jest administratorem, ponieważ jest zawodem regulowanym. Szerzej o określaniu ról piszę w tym miejscu.
W tym wypadku zakład pracy przez um o przeprowadzenie praktyki przyjmuje na siebie obowiązek z art. 107 p.s.w.n. (z obowiązku studenta wynika obowiązek tych, którzy są w stanie tę praktykę przeprowadzić, skonkretyzowany umową o praktykę). Tym samym zakład pracy ma podstawę przetwarzania w art. 6 ust. 1 lit. c rodo a nie może wywodzić jej z lit. b, bo praktykant nie jest stroną umowy. Nie było by też błędem oparcie przetwarzania na lit. e ponieważ przeprowadzenie praktyki stanowi zadanie realizowane w interesie publicznym. Co do przetwarzania wynikającego z k.p. zakład pracy ma oczywiście status administratora.