Dane osobowe jako wszelkie informacje o zidentyfikowanej bądź możliwej do zidentyfikowania osobie fizycznej, były już definiowane w Dyrektywie 95/46/WE. Definicja ta została w dużej mierze zachowana w RODO, jednak doprecyzowano ją w kontekście rozwoju technologii, w szczególności poprzez uwzględnienie identyfikatorów internetowych oraz kryterium „rozsądnie prawdopodobnych sposobów identyfikacji”.
CZYM SĄ DANE OSOBOWE?
Dane osobowe to wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (art. 4 pkt 1 RODO). Osobą zidentyfikowaną jest osoba, której tożsamość można ustalić bezpośrednio. Natomiast osoba możliwa do zidentyfikowania to taka, którą można zidentyfikować pośrednio – przy uwzględnieniu wszystkich rozsądnie prawdopodobnych sposobów, jakimi może posłużyć się administrator lub inny podmiot (motyw 26 RODO; wyrok TSUE C‑582/14).
W praktyce oznacza to, że nie tylko oczywiste identyfikatory, takie jak PESEL, ale również zestawienie różnych informacji (np. danych lokalizacyjnych, identyfikatorów internetowych) mogą prowadzić do identyfikacji osoby.
Ze względu na różnice w zasadach przetwarzania wyróżnia się dane „zwykłe” oraz dane szczególnych kategorii (potocznie: wrażliwe). Podział ten ma charakter funkcjonalny i wpływa na przesłanki legalności przetwarzania oraz na zakres obowiązków administratora.
JAKIE TO DANE „ZWYKŁE”?
RODO nie zawiera zamkniętego katalogu danych zwykłych. Wskazuje jedynie przykładowe identyfikatory, takie jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji czy identyfikator internetowy.
Do danych osobowych mogą należeć m.in. numer telefonu, adres e-mail, wizerunek, głos czy cechy fizyczne – o ile pozwalają na identyfikację osoby. Istotne jest, że katalog ten jest otwarty i zależny od kontekstu przetwarzania.
Nie oznacza to jednak, że każda informacja „elektroniczna” jest automatycznie daną osobową – musi istnieć realna możliwość powiązania jej z konkretną osobą.
CO TO DANE SZCZEGÓLNYCH KATEGORII?
Zgodnie z art. 9 ust. 1 RODO do danych szczególnych kategorii należą m.in.:
-
dane o pochodzeniu rasowym lub etnicznym,
-
poglądy polityczne,
-
przekonania religijne lub światopoglądowe,
-
przynależność do związków zawodowych,
-
dane genetyczne i biometryczne (jeśli służą identyfikacji),
-
dane dotyczące zdrowia, seksualności lub orientacji seksualnej.
Katalog ten ma charakter zamknięty. Nie oznacza to jednak, że jego stosowanie jest sztywne – w praktyce interpretacja polega na kwalifikowaniu danych do istniejących kategorii. Przykładowo, informacje o ciąży czy stanie nietrzeźwości są traktowane jako dane dotyczące zdrowia (zgodnie z motywem 35 RODO i praktyką UODO).
Przetwarzanie tych danych jest co do zasady zabronione, chyba że zachodzi jedna z przesłanek z art. 9 ust. 2 RODO.
DANE O WYROKACH SKAZUJĄCYCH
Dane dotyczące wyroków skazujących i naruszeń prawa regulowane są odrębnie (art. 10 RODO). Mogą być przetwarzane wyłącznie pod nadzorem władz publicznych lub gdy istnieje wyraźna podstawa prawna w przepisach.
W praktyce oznacza to, że pracodawca może żądać zaświadczenia o niekaralności tylko wtedy, gdy przewiduje to przepis prawa. Brak takiej podstawy powoduje niezgodność z RODO (potwierdzone w orzecznictwie sądów administracyjnych i stanowiskach UODO).
ZAKRES OBOWIĄZKÓW ADMINISTRATORA
Przetwarzanie danych szczególnych kategorii wiąże się z podwyższonym ryzykiem naruszenia praw i wolności osób. W niektórych przypadkach może to skutkować obowiązkiem:
-
przeprowadzenia oceny skutków dla ochrony danych (DPIA),
-
wyznaczenia Inspektora Ochrony Danych.
Obowiązki te nie mają jednak charakteru automatycznego – wymagają analizy skali, charakteru i kontekstu przetwarzania (zgodnie z wytycznymi EDPB).
