Dane osobowe w kontekście przepisów RODO
wyjaśnienie pojęcia i praktyczne porady z przykładami
Definicja pojęcia "dane osobowe" z przepisów RODO - dane osobowe oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"). Możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. (art. 4 pkt 1 RODO).
Praktyczne rozwinięcie pojęcia "dane osobowe" - nie ma wskazanego katalogu informacji, które są uznawane za dane osobowe. Trzeba to indywidualnie analizować, mając na uwadze główne kryterium - możliwość identyfikacji osoby.
W praktyce można sobie pomóc odpowiadając na następujące pytania:
a) Czy zawarte dane dotyczą identyfikowanej lub możliwej do zidentyfikowania osoby?
b) Czy jest to osoba fizyczna?
c) Czy identyfikacja tej osoby fizycznej na podstawie informacji, które posiadamy, jest możliwa bez narażania się na nadmierne koszty, nakład pracy czy czasu?
Jeśli wszystkie odpowiedzi to: TAK, to znaczy, że mamy do czynienia z daną osobową.
PRZYKŁADY
Przykład 1 - Mam dane pracownika kontrahenta: Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.
. Odpowiadając na ww. pytania stwierdzam, że:
a) Mogę zidentyfikować, że to konkretna osoba, bo w spółce XYZ pracuje tylko jeden Jan Kwiatkowski i wiem, że to on,
b) Jan Kwiatkowski jest osobą fizyczną,
c) Identyfikacja jest bardzo łatwa, bo wystarczy, że zapytam mojego kontrahenta, kim jest ten pracownik, który posiada ten adres e-mail, a on mi to potwierdzi
Wniosek: są to dane osobowe
Przykład 2 - Mam dane osoby Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.
. Odpowiadając na ww. pytania stwierdzam, że:
a) Nie mogę zidentyfikować, że to konkretna osoba, bo jest bardzo dużo osób, o pierwszej literze imienia ?j? i nazwisku Kwiatkowski, które mają skrzynkę e-mail na Gmailu (nie wiem co to za osoba),
b) Właściciel może być osobą fizyczną, ale pewności też nie ma,
c) Identyfikacja nie jest możliwa, przy zakładaniu konta nie trzeba podawać danych jednoznacznie identyfikujących, można się logować z różnego IP itp. Pewnie istnieją metody, żeby dojść do tego kto założył takie konto, ale to wymaga nadmiernego nakładu pracy i specjalnych umiejętności
Wniosek: to nie są dane osobowe
Przykład 3 - Mam dane osoby Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.
+ numer telefonu komórkowego +48 XXX XXX XXX. Odpowiadając na ww. pytania stwierdzam, że:
a) Mogę zidentyfikować, że to konkretna osoba, bo obecnie numery telefonów komórkowych są rejestrowane obowiązkowo i będzie można przypisać dane do konkretnej osoby,
b) J. Kwiatkowski jest osobą fizyczną (to się ostatecznie potwierdzi, ale generalnie można tak założyć)
c) Identyfikacja nie jest łatwa, ale możliwa i nie wymaga nadmiernych kosztów, istnieją internetowe rejestry numerów, ewentualnie można zwrócić się do operatora sieci z zapytaniem
Wniosek: to są dane osobowe
Istnieje kategoria danych osobowych, która określa nam osoby fizyczne bezpośrednio. Są to między innymi numer PESEL oraz dane biometryczne, w tym odciski linii papilarnych, siatkówka oka czy DNA (innymi słowy: istnieje tylko jedna osoba, która ma dany PESEL, jeśli nim dysponujemy możemy, zwrócić się do ewidencji ludności i wykazując interes prawny dowiedzieć się kto to konkretnie jest).
Wszelkie informacje, które dają nam takie możliwości identyfikacji to dane osobowe. Identyfikacja jest możliwa również pośrednio, poprzez wskazanie jednego lub kilku czynników specyficznych, które pozwalają na identyfikację poprzez określenie cech fizycznych, fizjologicznych, umysłowych, ekonomicznych, kulturowych czy społecznych.
Nie jest istotne, ile mamy tych wiadomości i jakiej są one jakości, liczy się sama możliwość identyfikacji danej osoby fizycznej.
Samo imię, nazwisko, ulica, miasto, data urodzenia nie stanowią danej osobowej. Ale w zestawieniu nazwisko+data urodzenia obie informacje podlegają ochronie tak samo jak zestawienie ulica+numer domu+imię.
Ponadto, należy pamiętać, że chronione są tylko dane osób fizycznych.
Dane indywidualne pozwalające wskazać podmiot gospodarczy (czyli osobę prawną, jednostkę organizacyjną niemającą osobowości prawnej oraz osobę fizyczną prowadząca działalność gospodarczą) nie będą danymi osobowymi.
Bartosz Frączyk
Kwiecień 2018
* * * Kancelaria Radcy Prawnego Bartosza Frączyka z Krakowa jest jedną z pierwszych kancelarii specjalizujących się w kompleksowej obsłudze wspólnot mieszkaniowych w szerokim zakresie. Zobacz w czym możemy pomóc...