Czy mediator jest administratorem danych?

Kto jest administratorem danych przetwarzanych w związku z mediacją w postępowaniu administracyjnym? Czy Urząd Gminy działając na podstawie Kpa powinien zawrzeć z mediatorem umowę powierzenia, czy jednak dochodzi do udostępnienia danych osobowych i mamy dwóch ADO?

Ustalając kwestię podmiotu, któremu w procesie przetwarzania danych osobowych będzie przysługiwał status administratora, należy w każdym przypadku kierować się definicją tego pojęcia. Zgodnie z art. 4 pkt 7 RODO „administrator” oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania.

Zupełnie inny status cechuje podmiot przetwarzający. Zgodnie z art. 28 ust. 1 RODO z powierzeniem przetwarzania danych osobowych mamy do czynienia, gdy przetwarzanie jest dokonywane przez zewnętrzny  podmiot w imieniu administratora. Podmiot przetwarzający nie działa we własnych celach, bo cele przetwarzania oraz polecenia co do przetwarzania są formułowane przez administratora. 

Zatem w myśl przepisów RODO konieczność zawarcia umowy powierzenia przetwarzania danych osobowych istnieje wówczas, gdy administrator zleca wykonywanie swoich zadań innemu podmiotowi (podmiotowi przetwarzającemu). Istotne jest podkreślenie, że podmiot przetwarzający przetwarza dane w imieniu administratora, a nie w imieniu własnym (tj. nie staje się administratorem tych danych). Podmiot przetwarzający nie decyduje bowiem o celach i sposobach przetwarzania, gdyż przetwarza dane osobowe wyłącznie na udokumentowane polecenie administratora (art. 28 ust. 3 lit. a RODO).

W przypadku podmiotów realizujących zadania określone przepisami prawa, rozstrzygając, który z nich w danej sytuacji jest administratorem w odniesieniu do konkretnych danych osobowych, zazwyczaj należy dokonać analizy przepisów prawa określających te zadania. Tak jest również w przypadku mediacji w postępowaniu administracyjnym.

Kwestie związane z przeprowadzaniem mediacji w postępowaniu administracyjnym uregulowano w art. 96a-96n Kodeksu postępowania administracyjnego (Kpa). Stanowią one, że mediacja może być przeprowadzona w toku postępowania administracyjnego, jeżeli pozwala na to charakter sprawy (art. 96a § 1 Kpa). Określają też zakres zadań (kompetencji) zarówno organu administracji publicznej, jak i mediatora.

Z art. 96h Kpa wynika, że organ administracji publicznej przekazuje niezwłocznie mediatorowi dane kontaktowe uczestników mediacji, po uzyskaniu zgody uczestników mediacji na jej przeprowadzenie. W przepisie zabrakło wskazania, że wraz z danymi kontaktowymi organ przekazuje mediatorowi odpis postanowienia o skierowaniu sprawy do mediacji. Taka praktyka – jak wskazuje się w literaturze przedmiotu¹ - jest jednak zasadna.Nie ulega zatem wątpliwości, że mediator staje się administratorem danych osobowych udostępnionych wraz z postanowieniem o skierowaniu sprawy do mediacji, w związku z przypisanym mu w ustawie zadaniem polegającym na przeprowadzeniu mediacji mającej na celu wyjaśnienie i rozważenie okoliczności faktycznych i prawnych sprawy oraz dokonanie ustaleń dotyczących jej załatwienia w granicach obowiązującego prawa.

Pozyskiwanie przez mediatora danych osobowych może następować także w toku przeprowadzanego przez niego „spotkania” mediacyjnego (art. 96n § 2 Kpa) i innych czynności związanych z mediacją (np. zgodnie z art. 96i Kpa, mediator zapoznaje się z aktami sprawy wraz ze sporządzaniem z nich notatek, kopii lub odpisów, chyba że uczestnik mediacji nie wyraził zgody na zapoznanie się z aktami). Jego zadaniem jest również wspieranie uczestników mediacji w formułowaniu przez nich propozycji ugodowych (art. 96k Kpa).

Mediator jest nie tylko osobą, której działanie ma doprowadzić do merytorycznego zakończenia sporu, ale także wykonuje związane z mediacją obowiązki o charakterze administracyjnym lub technicznym². Między innymi mediator przeprowadza mediację w ustalonym przez niego terminie i miejscu (art. 96k kpa). W przepisach Kpa dotyczących mediacji pozostawiono mediatorom swobodę co do sposobu organizacji przebiegu mediacji. Nie przesądza się bowiem ani o formie mediacji (czy ma ona przyjmować formę spotkania lub spotkań mediatora z uczestnikami mediacji albo innych sposobów dokonywania ustaleń, np. w drodze komunikacji elektronicznej, wideokonferencji itp.), ani o jej technikach. Wskazanie czasu i miejsca mediacji powinno jednak znaleźć się w protokole z przebiegu mediacji, o którym mowa w art. 96m Kpa³. Na tym tle dopuszczalne jest prowadzenie mediacji zarówno w trybie gabinetowym, w drodze indywidualnych negocjacji ze stroną i przedstawicielem organu lub z tymi podmiotami łącznie, jak i zorganizowanie posiedzenia w sposób zbliżony do rozprawy administracyjnej⁴. Mediator sporządza także protokół z przebiegu mediacji o treści określonej w art. 96m § 2 Kpa i niezwłocznie przedkłada go organowi administracji publicznej w celu włączenia go do akt sprawy, a odpisy doręcza uczestnikom mediacji.

Powyższe wskazuje na to, że mediator jest odrębnym administratorem przetwarzanych danych osobowych, bo jak wskazują przytoczone przepisy – samodzielnie określa cele i sposoby przetwarzania danych. Jako administrator zobowiązany jest on zatem do spełnienia obowiązku informacyjnego, o którym mowa w art. 13 i 14 RODO, w stosunku do stron postępowania. Przetwarzanie danych osobowych w toku postępowania mediacyjnego zobowiązuje również mediatora do przestrzegania zasad wskazanych w art. 5 RODO jak: zgodność z prawem, rzetelność i przejrzystość, ograniczenie celu przetwarzania, minimalizacja danych; prawidłowość, ograniczenie przechowywania oraz integralność i poufność.

Administratorem danych osobowych stron postępowania mediacyjnego jest również organ administracji publicznej.

Należy podkreślić, że zgodnie zasadą wyrażoną w art. 13 § 2 Kpa, organ administracji publicznej podejmuje wszystkie uzasadnione na danym etapie postępowania czynności umożliwiające przeprowadzenie mediacji lub zawarcie ugody, a zwłaszcza udziela wyjaśnień o możliwościach i korzyściach polubownego załatwienia sprawy. Mediacja może być podjęta zarówno z urzędu przez organ administracji publicznej bądź też na wniosek strony postępowania. W pierwszym przypadku będzie wyrazem pozytywnej oceny przez organ przesłanki materialnej (charakter sprawy pozwala na przeprowadzenie mediacji) i formalnej (sprawa w toku) mediacji. Ponadto powinna ona być następstwem oszacowania przez organ, że mediacja ma szanse zakończenia się akceptowanymi przez jej uczestników ustaleniami, a w wyniku mediacji możliwe jest realizowanie w szerszym zakresie standardów postępowania wynikających z zasad ogólnych (m.in. zasady prawdy obiektywnej, zasady przekonywania, zasady czynnego udziału w postępowaniu) niż w tradycyjnym modelu postępowania⁵. A zatem w przypadku wydania postanowienia o skierowaniu sprawy do mediacji organ administracji będzie administratorem danych osobowych stron postępowania mediacyjnego. Jemu również przekazywany jest protokół z przebiegu mediacji sporządzony przez mediatora, wraz z ustaleniami mediacyjnymi, celem załączenia go do akt postępowania administracyjnego (art. 96m Kpa). Załatwienie sprawy przez organ administracji polega przede wszystkim na wydaniu decyzji administracyjnej, która powinna uwzględniać w swym rozstrzygnięciu w całości ustalenia mediacyjne. Jeżeli jednak część z ustaleń mediacyjnych nie mieści się w granicach obowiązującego prawa, organ powinien rozstrzygnąć sprawę z uwzględnieniem jedynie tych ustaleń, które nie naruszają prawa. Zobowiązany jest on bowiem w każdym przypadku respektować zasadę legalności. W sytuacji gdy ustalenia mediacyjne odpowiadają prawu, organ zobligowany jest do rozstrzygnięcia sprawy w sposób zgodny w całości z tymi ustaleniami.⁶ Organ administracji jako odrębny administrator zatwierdza też ugodę zawartą przed mediatorem (o ile oczywiście zakres sprawy objętej danym postępowaniem dopuszcza taki sposób załatwienia sprawy).

A zatem w postępowaniu mediacyjnym zarówno organ administracji publicznej, jak i mediator to odrębni administratorzy przetwarzanych przez siebie danych. Każdy we własnym zakresie realizuje konkretne zadania wynikające z powołanych wyżej przepisów prawa. Żeby możliwe było przeprowadzenie mediacji, której celem jest wyjaśnienie i rozważenie okoliczności faktycznych i prawnych sprawy oraz dokonanie ustaleń dotyczących jej załatwienia w granicach obowiązującego prawa, niezbędne jest przetwarzanie określonych danych osobowych przez mediatora. W tym przypadku mamy jednak do czynienia z udostępnieniem danych osobowych niebędącym powierzeniem – podmiot, który otrzymuje dane osobowe, przetwarza je w celach, które samodzielnie kształtuje – nie w celach własnych udostępniającego, gdyż jak wynika to z art. 96k Kpa, mediator – prowadząc mediację – dąży do polubownego rozwiązania sporu, a także wspiera uczestników mediacji w formułowaniu propozycji ugodowych. To do niego właśnie należy przyjęcie rozwiązania zmierzającego do porozumienia między stronami (uczestnikami mediacji).

Wobec powyższego w tej sytuacji nie zachodzi konieczność zawarcia między tymi podmiotami umowy powierzenia przetwarzania danych. Mamy tu bowiem do czynienia z udostępnieniem danych na podstawie przepisów prawa.

Inaczej przedstawia się relacja pomiędzy mediatorem a organem administracji prowadzącym postępowanie w sytuacji, gdy jest on uczestnikiem mediacji, a uzgodnienia mediacyjne przyjmą formę posiedzenia mediacyjnego w siedzibie tego organu administracji. Zapewnienie obsługi technicznej posiedzenia mediacyjnego należeć będzie do organu administracji prowadzącego postępowanie. W takich uwarunkowaniach dochodzi do sytuacji, kiedy organ administracji jak i mediator wspólnie będą ustalać cele i sposoby przetwarzania danych osobowych, w ramach ustawowo przypisanych im zadań. Pomiędzy tymi administratorami zachodzić będzie relacja współadministrowania uregulowana w art. 26 RODO.

Mediator oraz organ administracji prowadzący postępowanie jako współadministratorzy powinni w drodze wspólnych uzgodnień w przejrzysty sposób określić odpowiednie zakresy swojej odpowiedzialności dotyczącej wypełniania obowiązków wynikających z RODO, w szczególności w odniesieniu do wykonywania przez osobę, której dane dotyczą, przysługujących jej praw, oraz ich obowiązków w odniesieniu do podawania informacji, o których mowa w art. 13 i 14 RODO, chyba że przypadające im obowiązki i ich zakres określa prawo Unii lub prawo państwa członkowskiego, któremu administratorzy ci podlegają. W uzgodnieniach można wskazać punkt kontaktowy dla osób, których dane dotyczą. W myśl natomiast art. 26 ust. 2 RODO, uzgodnienia, o których mowa w ust. 1, muszą należycie odzwierciedlać odpowiednie zakresy obowiązków współadministratorów oraz relacje pomiędzy nimi a podmiotami, których dane dotyczą. Zasadnicza treść uzgodnień jest udostępniana podmiotom, których dane dotyczą.

Takie wspólne uzgodnienia muszą uwzględniać faktyczne obowiązki mediatora i organu administracji prowadzącego postępowanie, związane z przetwarzaniem danych osobowych uczestników mediacji. Zarówno mediator. jak i organ administracji prowadzący postępowanie mają swoje autonomiczne uprawnienia, z którymi związane jest przetwarzanie danych osobowych uczestników mediacji w innych celach.

Przykładowo, jedynie do mediatora jako podmiotu aktywnego w procesie mediacji należy podejmowanie czynności polegających na wspieraniu uczestników mediacji w formułowaniu przez nich propozycji ugodowych. Organ administracji prowadzący postępowanie, w ramach współadministrowania, może być uprawniony np. do zapewnienia ochrony pomieszczeń. Należy wskazać, że co do zasady odpowiedzialność za przestrzeganie przepisów o ochronie danych osobowych w zakresie realizacji takich autonomicznych uprawnień kształtują przepisy prawa. Mediator i organ administracji prowadzący postępowanie, w ramach wspólnych uzgodnień, powinni więc określić inne zagadnienia, nieuregulowane wprost w przepisach prawa, w tym m.in. kwestię odpowiedniego zabezpieczenia danych osobowych czy też realizacji określonych obowiązków informacyjnych.

Dokonanie wspólnych ustaleń pomiędzy współadministratorami, o których mowa w art. 26 RODO, umożliwia doprecyzowanie sposobu obsługi technicznej mediatorów przez organ administracji prowadzący postępowanie przy zachowaniu autonomicznych kompetencji mediatora w zakresie jego odrębnych zadań jako administratora.

Przypisy:

[1] Wilbrandt-Gotowicz Martyna. Art. 96(h). W: Komentarz aktualizowany do Kodeksu postępowania administracyjnego. System Informacji Prawnej LEX, 2019.)

[2] Ziemianin Karolina. RODO W POSTĘPOWANIU MEDIACYJNYM. W: Ochrona danych osobowych w postępowaniach sądowych i przed organami administracji publicznej. Wolters Kluwer Polska, 2019

[3] Wilbrandt-Gotowicz Martyna. Art. 96(k). W: Komentarz aktualizowany do Kodeksu postępowania administracyjnego. System Informacji Prawnej LEX, 2019.

[4] J. Wegner-Kowalska, Mediacja (art. 13, art. 96a–96g [w:] Reforma prawa o postępowaniu administracyjnym. Raport zespołu eksperckiego z prac w latach 2012–2016, red. Z. Kmieciak, Warszawa 2017, s. 81).

[5] Wilbrandt-Gotowicz Martyna. Art. 96(b). W: Komentarz aktualizowany do Kodeksu postępowania administracyjnego. System Informacji Prawnej LEX, 2019

[6] Wilbrandt-Gotowicz Martyna. Art. 96(n). W: Komentarz aktualizowany do Kodeksu postępowania administracyjnego. System Informacji Prawnej LEX, 2019

2020-06-30