Zgodnie z przepisami ustawy o ochronie danych osobowych oraz RODO, dane osobowe to wszelkie informacje, które pozwalają na zidentyfikowanie osoby fizycznej — bezpośrednio lub pośrednio. Oznacza to, że nawet jeśli pojedyncza informacja nie wskazuje jednoznacznie, o kogo chodzi, może stać się daną osobową, gdy zostanie zestawiona z innymi danymi, które umożliwiają identyfikację konkretnej osoby.
Nie istnieje zamknięty katalog danych osobowych — praktycznie każda informacja może nią być, jeśli w określonym kontekście pozwala ustalić tożsamość osoby.
Na przykład: informacja „pracuje w szkole podstawowej” sama w sobie nie identyfikuje nikogo, ale w połączeniu z imieniem i nazwiskiem, nazwą szkoły czy zdjęciem — już tak. Podobnie, informacja o posiadaniu niebieskiego roweru nie będzie daną osobową, natomiast jeżeli dodamy do tego informację, że rower należy do osoby mieszkającej na małym osiedlu, pod adresem ul. Piłsudskiego 12 w Wyszkowie, na trzecim piętrze, pozwoli nam to powiązać informację z konkretnym właścicielem.
Kluczowe znaczenie ma więc możliwość identyfikacji osoby — jeśli ktoś dysponuje narzędziami lub informacjami, które pozwalają ustalić, kim jest dana osoba, wówczas mówimy o danych osobowych. Co ciekawe, dla jednej osoby lub instytucji dana informacja może mieć charakter osobowy, a dla innej — nie, ponieważ dostęp do dodatkowych danych może być różny.
Kategorie danych osobowych
RODO wprowadza rozróżnienie pomiędzy zwykłymi danymi osobowymi a danymi szczególnej kategorii, zwanymi też danymi wrażliwymi.
Dane wrażliwe to informacje, które ze względu na swoją naturę wymagają szczególnej ochrony, ponieważ ich ujawnienie może naruszać prywatność, godność lub prawa osoby, której dotyczą. Zaliczają się do nich m.in.:
pochodzenie rasowe lub etniczne,
przekonania religijne, światopoglądowe lub polityczne,
przynależność do związków zawodowych lub partii politycznych,
dane dotyczące zdrowia fizycznego i psychicznego, kod genetyczny, dane biometryczne,
informacje o orientacji seksualnej lub życiu intymnym,
dane dotyczące skazań, naruszeń prawa czy orzeczeń sądowych.
Warto zauważyć, że również informacja o niekaralności — czyli o braku wyroków — także uznawana jest za daną wrażliwą, ponieważ odnosi się do sfery życia objętej szczególną ochroną.
Przetwarzanie danych osobowych
RODO określa zasady, według których można przetwarzać dane osobowe. Podstawą może być m.in.:
zgoda osoby, której dane dotyczą,
konieczność wykonania umowy,
obowiązek prawny ciążący na administratorze,
ochrona żywotnych interesów osoby,
wykonanie zadania realizowanego w interesie publicznym lub w ramach władzy publicznej,
uzasadniony interes administratora (np. ochrona mienia, bezpieczeństwo systemów informatycznych).
Przetwarzanie danych musi być zgodne z zasadami RODO, takimi jak:
zgodność z prawem,
rzetelność i przejrzystość,
minimalizacja danych (zbieranie tylko tych informacji, które są niezbędne),
prawidłowość i aktualność danych,
ograniczenie przechowywania,
integralność i poufność,
rozliczalność (administrator musi móc wykazać przestrzeganie zasad).
Podsumowanie
Dane osobowe to nie tylko oczywiste informacje, jak imię, nazwisko czy numer PESEL, lecz także te, które w określonych okolicznościach pozwalają ustalić, kim jest dana osoba — np. adres IP, nagranie głosu, numer tablicy rejestracyjnej czy lokalizacja telefonu.
W świetle RODO kluczowe jest odpowiedzialne i świadome przetwarzanie takich informacji — z poszanowaniem prawa do prywatności, przejrzystości działań i bezpieczeństwa danych każdej osoby.