Zgodnie z art. 66d ust. 2 ustawy z dnia 20 kwietnia 2004 r. o promocji zatrudnienia i instytucjach rynku pracy (Dz. U. z 2015 r. poz. 149 z późn. zm.) marszałek województwa zawiera z wybranym realizatorem oraz z powiatowymi urzędami pracy umowę o świadczenie działań aktywizacyjnych. Z art. 66f ust. 1 pkt 5 ustawy wynika, iż umowa o świadczenie działań aktywizacyjnych określa w szczególności zakres danych bezrobotnych, przekazywanych realizatorowi przez powiatowy urząd pracy, zgodnie z przepisami o ochronie danych osobowych, obejmujący: a) imię i nazwisko, b) numer PESEL, c) miejsce zamieszkania, d) kwalifikacje, uprawnienia i doświadczenie zawodowe. Katalog danych bezrobotnych, które powiatowy urząd pracy przekazuje realizatorowi w związku z realizacją umowy o świadczenie działań aktywizacyjnych, określony powołanymi przepisami prawa, jest więc zamknięty. Ustawodawca wskazał ponadto, iż dane bezrobotnych powiatowy urząd pracy przekazuje realizatorowi (tj. agencji zatrudnienia, z którą podpisano umowę o świadczenie działań aktywizacyjnych). Tymczasem – jak wynika ze spraw sygnalizowanych Generalnemu Inspektorowi –agencje zatrudnienia realizujące umowę o świadczenie działań aktywizacyjnych występują do powiatowych urzędów pracy z wnioskiem o powierzenie przetwarzania danych osobowych, w tym niewynikających z ustawy o promocji zatrudnienia i instytucjach rynku pracy, tj. ustalonego profilu pomocy bezrobotnego oraz statusu osoby kierowanej. Z propozycją powierzenia mu danych osobowych (w drodze umowy) wynikających z ustawy, a dodatkowo danych dotyczących ustalonego profilu pomocy bezrobotnego oraz statusu osoby kierowanej do powiatowych urzędów pracy występują także wojewódzkie urzędy pracy. Powołane okoliczności wzbudziły wątpliwości czy zgodnie z przepisami obowiązującego prawa, powiatowy urząd pracy może przekazać agencji zatrudnienia w drodze umowy powierzenia przetwarzania danych osobowych, dane osobowe inne niż enumeratywnie wymienione w art. 66f ust. 1 pkt 5 ustawy o promocji zatrudnienia i instytucjach rynku pracy (np. danych dotyczących ustalonego profilu pomocy bezrobotnego oraz statusu osoby kierowanej) - w sytuacji, gdy katalog danych osobowych określonych przepisami ustawy jest zamknięty. Po drugie, czy zgodnie z przepisami obowiązującego prawa, powiatowy urząd pracy może przekazać wojewódzkiemu urzędowi pracy w drodze umowy powierzenia przetwarzania danych osobowych - dane osobowe bezrobotnych, w tym dane osobowe inne niż enumeratywnie wymienione w art. 66f ust. 1 pkt 5 ustawy o promocji zatrudnienia i instytucjach rynku pracy (np. danych dotyczących ustalonego profilu pomocy bezrobotnego oraz statusu osoby kierowanej) – w sytuacji, gdy z przepisu ustawy, wynika, iż dane osób bezrobotnych przekazuje się realizatorowi, a nie wojewódzkiemu urzędowi pracy oraz w sytuacji, gdy katalog danych osobowych określonych przepisami ustawy jest zamknięty.
Organ ds. ochrony danych osobowych wyraził wątpliwość, czy w opisanym stanie faktycznym przetwarzanie danych w związku z realizacją umów o świadczenie działań aktywizacyjnych może mieć miejsce w oparciu o umowę powierzenia oraz czy zakres danych osobowych może być szerszy niż przewidziany obowiązującymi przepisami prawa. Podkreślił, że jednym z najważniejszych obowiązków administratora/ów danych jest zapewnienie, aby dane osobowe były przetwarzane zgodnie z prawem, w oparciu o właściwy przepis prawa. Przekazywanie danych osobowych przez administratorów danych przetwarzających dane osobowe innym podmiotom musi być zgodne z prawem co oznacza, że konieczne jest istnienie odpowiedniej dla takiego działania podstawy prawnej.
