Jeżeli mediator pozyskał dane osobowe od osoby, której dane dotyczą (np. od strony mediacji, która do niego przyszła w celu przeprowadzenia mediacji) ma, zgodnie z art. 13 RODO, obowiązek podać tej osobie następujące informacje:
- tożsamość i dane kontaktowe administratora danych;
- gdy ma to zastosowanie dane kontaktowe inspektora ochrony danych;
- cele przetwarzania danych osobowych, oraz podstawa prawna przetwarzania;
- prawnie uzasadniony interes realizowany przez administratora lub przez stronę trzecią jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) RODO tj. przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią;
- informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją;
- gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania;
- okres, przez który dane osobowe będą przechowywane, , a gdy nie jest to możliwe, kryteria ustalania tego okresu;
- informacja o prawie dostępu do danych osobowych, ich sprostowania, usunięcia lub ograniczenia przetwarzania;
- informacje o prawie do cofnięcia zgody, jeżeli przetwarzanie odbywa się na podstawie zgody;
- informacja o prawie wniesienia skargi do organu nadzorczego;
- informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych;
- informacja o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu oraz konsekwencjach takiego profilowania.
Polecamy: Seria poradników z prawa pracy
Zgodnie z art. 13 ust. 1 RODO administrator danych musi spełnić obowiązek informacyjny w momencie pozyskiwania danych od osoby, której dotyczą. Obowiązek informacyjny nie jest jednak konieczny, w zakresie w jakim podmiot danych, dysponuje już tymi informacjami. Zwracamy jednak uwagę, że obowiązek ewentualnego udowodnienia tego ciąży na administratorze.
RODO nie precyzuje w jakiej formie należy spełnić obowiązek informacyjny. Kluczowym jest, aby osoba, której dane dotyczą, mogła z łatwością zapoznać się z treścią informacji. Dopuszczalna jest też forma ustna, ale z uwagi na potrzebę rozliczenia (wykazania), że spełniło się ten obowiązek, rozsądniejszym wydaje się stosowanie przez administratora danych formy pisemnej lub e-mailowej.
W przypadku spełniania obowiązku informacyjnego w środowisku elektronicznym często stosowana jest „warstwowa” klauzula informacyjna. W „warstwie wstępnej” (np. w treści e-maila) przedstawia się podstawowe informacje dotyczące przetwarzania danych osobowych. Natomiast w „warstwie szczegółowej” (np. w załączniku do e-maila) podaje się szczegółowe informacje dotyczące przetwarzania, zgodnie z treścią art. 13 ust. 1 i ust. 2 RODO. W ten sposób osoba, której dane dotyczą może szybko ustalić fakt przetwarzania jej danych osobowych, a jeśli chce poznać szczegóły może zapoznać się z pełną wersją informacji w załączniku.
Jeżeli mediator pozyskał dane osobowe nie bezpośrednio od tej osoby ale np. od Sądu, który zlecił mu przeprowadzenie mediacji, zgodnie z art. 14 RODO musi dodatkowo poinformować taką osobę o:
- źródle pozyskania danych osobowych,
- oraz kategorii odnośnych danych.
Obowiązek informacyjny musi być wówczas spełniony:
- w rozsądnym terminie po pozyskaniu danych osobowych mając na uwadze konkretne okoliczności przetwarzania danych osobowych - najpóźniej w ciągu miesiąca;
- jeżeli dane osobowe mają być stosowane do komunikacji z osobą, której dane
dotyczą, – najpóźniej przy pierwszej takiej komunikacji z osobą, której dane dotyczą; - jeżeli planuje się ujawnić dane osobowe innemu odbiorcy – najpóźniej przy ich pierwszym ujawnieniu.