Dane osobowe jako wszelkie informacje o zidentyfikowanej bądź też możliwej do zidentyfikowania osobie fizycznej określała już uprzednio obowiązująca Dyrektywa 95/46/WE. Sama definicja nie uległa zmianie nawet wskutek rozpoczęcia stosowania RODO. Obecnie obowiązujące Rozporządzenie znacząco rozszerza nam jednak zarówno zakres przykładowo wskazanych danych zwykłych, jak i katalog danych podlegających szczególnej ochronie tj. danych wrażliwych, sprawiając, że pojęcia te mają charakter bardziej uniwersalny.
CZYM SĄ DANE OSOBOWE ?
Dane osobowe są to wszelkie „informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej”. Osobą zidentyfikowaną będzie więc osoba, której tożsamość można ustalić bezpośrednio. Natomiast osobą możliwą do zidentyfikowania jest osoba, która można zidentyfikować dopiero za pomocą dodatkowych identyfikatorów takich jak np. PESEL czy dane lokalizacyjne.
Ze względu na różnice w zakresie obowiązków administratorów, oceny ryzyka przetwarzania, obowiązku wyznaczenia Inspektora Ochrony Danych i co najważniejsze – przesłanek, które legalizują przetwarzanie, należy wyróżnić dane osobowe zwykłe i tzw. dane osobowe wrażliwe.
Jakie to DANE ZWYKŁE
RODO nie wymienia wprost katalogu danych osobowych „zwykłych”. Nie posługuje się też takim na nie określeniem. Jednak w art. 4 pkt 1 wskazuje: „możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej”. Tym samym w sposób pośredni zestawia przykładową listę danych osobowych zwykłych, za które uznaje się informacje podstawowe, niewymagające szczególnej ochrony. Sama definicja danych osobowych nie uległa znaczącej zmianie w porównaniu z uprzednio obowiązującą Dyrektywą 95/46/WE. Można jednak zauważyć, że została rozszerzona o wszelkie dane elektroniczne. Co więcej katalog tych danych jest otwarty, co sprawia, że RODO jest uniwersalne, elastyczne i uwzględnia szybki rozwój technologiczny. Oprócz wskazanych wyżej informacji może to być także numer telefonu, adres zamieszkania, adres e-mail, ale także waga, wiek, cechy wyglądu zewnętrznego czy głos. Są to więc wszelkie informacje, które dosyć często podawane są w różnych sytuacjach przez samych ich właścicieli, a wobec tego ich zdobycie nie będzie wymagało dużych nakładów wysiłku, czasu czy kosztów.
Co to DANE WRAŻLIWE
W art. 9 RODO wskazano listę danych, określonych jako „dane szczególnych kategorii”, do której zaliczono:
- dane ujawniające pochodzenie rasowe lub etniczne,
- poglądy polityczne,
- przekonania religijne lub światopoglądowe,
- przynależność do związków zawodowych
- dane genetyczne, dane biometryczne przetwarzane w celu jednoznacznego zidentyfikowania osoby fizycznej
- dane dotyczące zdrowia, seksualności lub orientacji seksualnej danej osoby.
W stosunku do Dyrektywy 95/46/WE RODO poszerza listę danych szczególnych kategorii, dodając do niej dane genetyczne i biometryczne. W odróżnieniu od danych zwykłych katalog informacji z art. 9 jest zamknięty, a więc wszelkie inne informacje należy traktować jako dane osobowe zwykłe. Oznacza to, że co do zasady żadnych innych informacji nie można arbitralnie uznać za dane szczególnych kategorii. Trzeba mieć jednak świadomość, że organ nadzoru czasem poprzez swoja interpretację rozszerza powyższy zakres obejmując nim dane, które są zbliżone do nich charakterem (np. informacja o ciąży lub informacja o stanie nietrzeźwości są uznawane jako informacje o stanie zdrowia).
Nie bez powodu wyszczególnione wyżej informacje nazywane są w doktrynie „danymi wrażliwymi”. Łatwo zauważyć, że ich przetwarzanie może wiązać się z większym ryzykiem naruszenia podstawowych praw lub wolności człowieka. Głównym zagrożeniem wydaje się być ewentualna dyskryminacja osoby, której dane dotyczą. Z racji ich charakteru wymagają one szczególnej ochrony, dlatego ich przetwarzanie co do zasady jest zabronione.
Szczególny status RODO nadaje danym, dotyczącym wyroków skazujących oraz naruszeń prawa. Nie bez powodu te informacje uregulowane są odrębnie od pozostałych danych wrażliwych. W myśl art. 10 RODO przetwarzanie danych, które dotyczą wyroków czy naruszeń prawa jest dozwolone „wyłącznie pod nadzorem władz publicznych lub jeżeli przetwarzanie jest dozwolone prawem Unii lub prawem państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą”.
Innymi słowy dane te mogą być przetwarzane przez organy do tego upoważnione, a przez inne podmioty jedynie wtedy, gdy istnieje ku temu konkretna podstawa prawna. Przykładowo prawo zezwala na przetwarzanie takich danych w przypadku grup pracowników jak: nauczyciele, detektywi czy straż graniczna. Bezprawnym będzie zatem wymóg przedstawienia zaświadczenia o niekaralności przy rekrutacji na stanowisko kelnera bądź pracownika biurowego w firmie.
Przedstawione wyżej okoliczności są jedynymi, które dopuszczają przetwarzanie danych wrażliwych. Jak można więc zauważyć ograniczenia są tutaj zdecydowanie większe niż w przypadku danych zwykłych, a zakres ochrony proporcjonalnie szerszy. Co więcej w przypadku, kiedy główną działalnością podmiotu jest przetwarzanie na dużą skalę tego rodzaju danych obowiązkowym jest wyznaczenie Inspektora Ochrony Danych oraz przeprowadzenie oceny skutków dla ochrony danych. Inna podstawa prawna, odrębnie uregulowany zakres obowiązków wynika z potrzeby dodatkowego i głębszego zabezpieczenia danych szczególnych kategorii. Wynika to z faktu, że dane te – w przeciwieństwie do zwykłych – dotykają bezpośrednio sfery prywatności, a czasem nawet intymności człowieka, a więc aspektów które powinny podlegać maksymalnej ochronie. Stąd też pojawia się w przepisach sam podział na dane zwykłe i wrażliwe.
