Podobnie jak w przypadku podstaw prawnych przetwarzania danych osobowych (zagadnienie to omówiliśmy w artykule „Podstawa prawna przetwarzania danych osobowych (z RODO) w mediacji”), wyczerpujące omówienie tych kwestii komplikuje fakt, że mamy wiele rodzajów mediacji.
Próbując zasygnalizować wstępne informacje w temacie okresu, zakresu i sposobu przetwarzania danych, warto na początku wyjaśnić dwa podstawowe pojęcia:
- Dane osobowe - oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
- Przetwarzanie - oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.
Określając okres przetwarzania określonych danych osobowych w mediacji należy pamiętać o zasadzie „ograniczenia czasowego”. Dane osobowe muszą być przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane. Dla przykładu: jeśli mediator za usługę mediacyjną wystawił fakturę VAT, to ma obowiązek przechowywać tę fakturę dla celów podatkowych, co do zasady, przez okres 5 lat licząc od dnia końca roku kalendarzowego, w którym upłynął termin płatności podatku. Przez taki też okres ma prawo przetwarzania danych osobowych, które były niezbędne do wystawienia tej faktury VAT.
Określając zakres przetwarzanych danych osobowych w mediacji należy pamiętać o zasadzie
proporcjonalności i minimalizacji danych, tj. dane osobowe muszą być przetwarzane w sposób adekwatny, stosowny oraz ograniczony do tego, co niezbędne do realizacji celów, w których są przetwarzane. Czyli mediator przetwarza dane osobowe tylko w zakresie niezbędnym do:
- świadczenia usług mediacyjnych,
- realizacji ciążących na nim obowiązków prawnych wymagających przetwarzania danych osobowych,
- lub realizacji celów wynikających z jego prawnie uzasadnionych interesów.
Określając sposoby przetwarzania danych osobowych w mediacji należy pamiętać ponadto o:
- zasadzie legalności - dane osobowe muszą być przetwarzane zgodnie z prawem,
- zasadzie rzetelności, tj. dane osobowe muszą być przetwarzane rzetelnie,
- zasadzie przejrzystości, tj. dane osobowe muszą być przetwarzane w sposób przejrzysty dla osoby, której dane dotyczą (musi być spełniony obowiązek informacyjny),
- zasadzie celowości, tj. dane osobowe muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nie mogą być dalej przetwarzane w sposób niezgodny z tymi celami,
- zasadzie prawidłowości, tj. dane osobowe muszą być prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane,
- zasadzie integralności i poufności tj. dane osobowe muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych.
Mediatorzy powinni w szczególności być wyczuleni na kwestię bezpieczeństwa przetwarzanie danych osobowych. Naruszenie zasady integralności i poufności może powodować zagrożenie praw lub wolności stron mediacji. A to jest niedopuszczalne.