Choć pozornie pojęcie danych osobowych jest powszechnie znane i rozumiane, to jednak czasem określenie czy dane powinny być traktowane jako dane osobowe jest dość trudne do przeprowadzenia. Warto zatem wiedzieć, jak powinniśmy definiować dane osobowe ustawa np. na gruncie przepisów RODO oraz jakie dane rzeczywiście wpisują się w tę definicję, a jakie dane nie powinny być klasyfikowane jako dane osobowe. Zrozumienie pojęcia danych osobowych jest bardzo istotne zarówno z punktu widzenia przedsiębiorców występujących jako administrator lub podmiot przetwarzający dane osobowe, a także z punktu widzenia osób prywatnych, których prawa mogą być naruszane.
Z tego artykułu dowiesz się:
Co to są dane osobowe
25 maja 2018 r. w Polsce jak i na terytorium całej Unii Europejskiej zaczęło obowiązywać unijne Rozporządzenie o Ochronie Danych Osobowych znane jako RODO. Przepisy rozporządzenia dokładnie precyzują czym są dane osobowe. Definicja danych osobowych obejmuje (…) informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować. Powyższa definicja oznacza, że za dane osobowe możemy uważać wyłącznie konkretne informacje, które bez żadnych wątpliwości wskażą daną osobę. Jeśli informacja nie pozwala na zidentyfikowanie danej osoby, wówczas nie mamy do czynienia z danymi osobowymi i nie powinniśmy tych danych klasyfikować jako dane osobowe.
Warto jednak zaznaczyć, że gorączka związana z wdrożeniem RODO oraz możliwymi karami za naruszenie przepisów RODO doprowadziła wielu przedsiębiorców do sytuacji podejścia ostrożnościowego tzn. określania na wszelki wypadek, że niektóre dane powinny być klasyfikowane jako dane osobowe dla zapewnienia im większej ochrony. Takie podejście jest jednak niekorzystne dla przedsiębiorców, ponieważ przekłada się na większe zaangażowanie osobowe i finansowe związane z zapewnieniem odpowiedniego stopnia ochrony przetwarzanych danych osobowych.
Co jest, a co nie jest danymi osobowymi
Czytając dalej przepisy RODO, dowiemy się, że dane osobowe to m.in. imię i nazwisko, numer identyfikacyjny (np. polski numer PESEL) oraz dane dotyczące lokalizacji. Warto wspomnieć, że danymi osobowymi mogą być również identyfikatory internetowe, czyli adresy IP oraz pliki cookie zbierane przez aplikacje i strony internetowe jeśli inne okoliczności takie jak np. czas z dużym prawdopodobieństwem umożliwiają identyfikację osoby, której dotyczy.
Danymi osobowymi są także niektóre czynniki fizjologiczne, genetyczne, fizyczne itd., które bezpośrednio prowadzą do poszukiwanego w ten sposób człowieka. Zgodnie z regulacją prawną: (…) aby stwierdzić, czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby, należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do jej zidentyfikowania. Dla przykładu daną osobową nie będzie wyłącznie nazwa ulicy ani nawet numer domu, w którym może się znajdować co najmniej kilku mieszkańców. Podobnie jak samo imię nie zalicza się do danych osobowych, gdyż w żaden sposób nie wskazuje na konkretną osobę.
Czy wiesz, że…
według obowiązujących przepisów prawa daną osobową nie może być pojedyncza informacja, jednak są od tego wyjątki. Przykładowo policja może z łatwością namierzyć kogoś wyłącznie na podstawie numeru PESEL, w związku z tym zalicza się on do danych osobowych.
Czym jest system ochrony danych osobowych
Ochrona danych osobowych oraz system ochrony danych wdrożony w przedsiębiorstwie powinny zmierzać do jak najpełniejszego zapewnienia odpowiedniego poziomu zabezpieczenia informacji o osobach fizycznych. Ochrona ta powinna być zapewniona przez podmioty, które dane osobowe gromadzą, przechowują i przetwarzają. Obowiązek ten dotyczy zatem każdej instytucji, organu czy przedsiębiorcy, którzy zbierają, wykorzystują i przetwarzają dane osobowe, jedynie w zakresie który jest konieczny do ich działalności. Bardzo ważnym aspektem jest przestrzeganie zakresu przetwarzanych danych osobowych w taki sposób aby zbierane dane nie były np. nadmiarowe w stosunku do celu, w którym są zbierane.
Placówki edukacyjne, banki, małe lub większe przedsiębiorstwa – każdy z tych podmiotów związany jest przepisami o ochronie danych osobowych i powinien dokładać wszelkich starań dla zapewniania przetwarzania danych osobowych w zgodzie z obowiązującym prawem oraz nie udostępniać danych osobowych bez zgody ich właściciela. Jednym z wymiernych efektów wejścia w życie RODO jest boom związany z zapewniem przez właścicieli/operatorów stron internetowych gromadzących dane osobowe funkcjonowania na ich stronie polityk prywatności. Polityka prywatności jest bardzo ważnym dokumentem, który określa zasady dotyczące danych osobowych. Więcej informacji na temat polityki prywatności znajdziesz w naszym artykule poświęconym polityce prywatności.
Jeśli masz jakiekolwiek wątpliwości związane z przetwarzaniem danych osobowych oraz obowiązkami, które ciążą na Tobie jako przedsiębiorcy zapraszam do kontaktu z naszymi ekspertami.
Zespół Follow Legal