Obowiązek informacyjny w mediacji na gruncie RODO

Jeżeli mediator pozyskał dane osobowe od osoby, której dane dotyczą (np. od strony mediacji, która do niego przyszła w celu przeprowadzenia mediacji) ma, zgodnie z art. 13 RODO, obowiązek podać tej osobie następujące informacje:

• tożsamość i dane kontaktowe administratora danych;
• gdy ma to zastosowanie dane kontaktowe inspektora ochrony danych;
• cele przetwarzania danych osobowych, oraz podstawa prawna przetwarzania;
• prawnie uzasadniony interes realizowany przez administratora lub przez stronę trzecią jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) RODO tj. przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią;
• informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją;
• gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania;
• okres, przez który dane osobowe będą przechowywane, , a gdy nie jest to możliwe, kryteria ustalania tego okresu;
• informacja o prawie dostępu do danych osobowych, ich sprostowania, usunięcia lub ograniczenia przetwarzania;
• informacje o prawie do cofnięcia zgody, jeżeli przetwarzanie odbywa się na podstawie zgody;
• informacja o prawie wniesienia skargi do organu nadzorczego;
• informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych;
• informacja o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu oraz konsekwencjach takiego profilowania.

Polecamy: Seria poradników z prawa pracy

Zgodnie z art. 13 ust. 1 RODO administrator danych musi spełnić obowiązek informacyjny w momencie pozyskiwania danych od osoby, której dotyczą. Obowiązek informacyjny nie jest jednak konieczny, w zakresie w jakim podmiot danych, dysponuje już tymi informacjami. Zwracamy jednak uwagę, że obowiązek ewentualnego udowodnienia tego ciąży na administratorze.

RODO nie precyzuje w jakiej formie należy spełnić obowiązek informacyjny. Kluczowym jest, aby osoba, której dane dotyczą, mogła z łatwością zapoznać się z treścią informacji. Dopuszczalna jest też forma ustna, ale z uwagi na potrzebę rozliczenia (wykazania), że spełniło się ten obowiązek, rozsądniejszym wydaje się stosowanie przez administratora danych formy pisemnej lub e-mailowej.

W przypadku spełniania obowiązku informacyjnego w środowisku elektronicznym często stosowana jest „warstwowa” klauzula informacyjna. W „warstwie wstępnej” (np. w treści e-maila) przedstawia się podstawowe informacje dotyczące przetwarzania danych osobowych. Natomiast w „warstwie szczegółowej” (np. w załączniku do e-maila) podaje się szczegółowe informacje dotyczące przetwarzania, zgodnie z treścią art. 13 ust. 1 i ust. 2 RODO. W ten sposób osoba, której dane dotyczą może szybko ustalić fakt przetwarzania jej danych osobowych, a jeśli chce poznać szczegóły może zapoznać się z pełną wersją informacji w załączniku.

Jeżeli mediator pozyskał dane osobowe nie bezpośrednio od tej osoby ale np. od Sądu, który zlecił mu przeprowadzenie mediacji, zgodnie z art. 14 RODO musi dodatkowo poinformować taką osobę o:

• źródle pozyskania danych osobowych,
• oraz kategorii odnośnych danych.

Obowiązek informacyjny musi być wówczas spełniony:

• w rozsądnym terminie po pozyskaniu danych osobowych mając na uwadze konkretne okoliczności przetwarzania danych osobowych - najpóźniej w ciągu miesiąca;
• jeżeli dane osobowe mają być stosowane do komunikacji z osobą, której dane
  dotyczą, – najpóźniej przy pierwszej takiej komunikacji z osobą, której dane dotyczą;
• jeżeli planuje się ujawnić dane osobowe innemu odbiorcy – najpóźniej przy ich pierwszym ujawnieniu.