Pojęcie „dane osobowe” jest powszechnie znane, jednak organ nadzorczy – GIODO – wielokrotnie doprecyzowywał ten termin, aby przetwarzanie danych osobowych było procesem zrozumiałym dla wszystkich. Nadal w praktyce, nie zawsze jest jasne, co i w jakich sytuacjach stanowi dane osobowe i podlega ochronie.
Co to są dane osobowe?
Aby trafnie ocenić, czy dane informacje są danymi osobowymi należy dokładnie zbadać zaistniałą sytuację. Czasami wystarczy jedna informacja, aby określić tożsamość osoby, w innym przypadku niezbędne będą dodatkowe dane. Obecna Ustawa o ochronie danych osobowych z 29 sierpnia 1997 r., jak również nowy stan prawny, który będzie obowiązywał po wejściu w życie RODO, wskazują, że dane osobowe to informacje o osobie fizycznej, na podstawie których jest ona możliwa do zweryfikowania.
Takimi danymi mogą być np. numer pesel, numer identyfikacji podatkowej, dane o lokalizacji, numer IP. Ale na tym sprawa się nie zamyka. Daną osobową mogą stanowić również jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
Imię i nazwisko to nie dane osobowe
Co to zasady – imię i nazwisko nie powiązane z innymi informacjami nie będzie danymi osobowymi. W przeważającej ilości przypadków nie będzie możliwe wskazanie konkretnej osoby, ponieważ takie samo imię i nazwisko może nosić kilkadziesiąt, bądź kilkaset osób. Przykładem będzie często spotykane i bardzo popularne imiona i nazwiska jak np. Jan Kowalski, Adam Nowak itp. Zidentyfikowanie osoby o takim imieniu i nazwisku byłoby trudne i czasochłonne.
Imię i nazwisko to dane osobowe
Od każdej reguły istnieje wyjątek jakim są unikatowe imiona i nazwiska np. Elif Bortolomeo. Identyfikacja osoby posiadającej tak unikatowe imię i nazwisko będzie stosunkowo szybka i prosta. Wówczas imię i nazwisko staje się daną osobową.
W Polsce najczęściej spotykane pięć nazwisk nosi około 590 tysięcy osób, jednak nawet najbardziej popularne imię i nazwisko, w zestawieniu z dodatkową informacją może stać się daną osobową. Jeśli połączymy imię i nazwisko z pełnioną przez daną osobę funkcją publiczną, jak np.: Jak Kowalski – premier, lub po prostu dodamy nazwę firmy np.: Adam Kowalski – pracownik firmy X, wówczas bez większego wysiłku – nakładu czasu ani pieniędzy – możemy zidentyfikować osobę, której dane dotyczą.
Dane osobowe – Imię i nazwisko w służbowym adresie e-mail.
Kolejnym przykładem jest adres e-mail, który w formie ak@lexdigital.pl nie jest daną osobową. Natomiast służbowy adres e-mail w zasadniczej większości posiadający imię i nazwisko oraz nazwę danej firmy np. adam.kowalski@lexdigital.pl będzie stanowił dane osobowe. Wskazane informacje pozwolą na identyfikację takiej osoby w krótkim czasie, ponieważ posiadamy bardzo cenną informację jaką jest nazwa firmy, a co za tym idzie znajomość adresu miejsca pracy danej osoby. Istnieje znikome ryzyko, że w danej firmie pracuje więcej niż jedna osoba o tym samym imieniu i nazwisku.
Dane osobowe – pojedyncze informacje
Pojedyncze informacje o dużym stopniu ogólności np. nazwa ulicy i numer budynku, w którym mieszka kilkaset osób, nie będą danymi osobowymi. Informacja ta stanowi jednak daną osobową, gdy zostanie zestawiona z innymi dodatkowymi informacjami, takimi jak imię i nazwisko.
Przykładem pojedynczej informacji, która jednocześnie jest daną osobową jest numer PESEL, który zgodnie z art. 15 ust. 2 ustawy z dnia 24 września 2010 r. o ewidencji ludności (Dz.U. z 2015 r. poz. 388) jest 11-cyfrowym symbolem numerycznym, jednoznacznie identyfikującym osobę fizyczną, w którym sześć pierwszych cyfr oznacza datę urodzenia (rok, miesiąc, dzień), kolejne cztery – liczbę porządkową i płeć osoby, a ostatnia jest cyfrą kontrolną służącą do elektronicznej kontroli poprawności nadanego numeru ewidencyjnego.
Dane osobowe – zależy, kto nimi dysponuje
Kwestia czy dane będą uważane za osobowe, wskazuje fakt kto nimi dysponuje w danym momencie. Weźmy pod uwagę imię i nazwisko, które dla większości osób będzie informacją ogólną – Adam Nowak – dla operatorów telekomunikacyjnych lub banku jest to informacja, która zestawiona z innymi danymi może pozwolić na prostą i szybką identyfikację danej osoby.
Dokonując oceny, czy informacja stanowi dane osobowe należy ustalić koszt i czas oraz niezbędną technologię do zidentyfikowania osoby. Należy pamiętać również, że dla jednego podmiotu dana informacja będzie miała charakter danych osobowych, natomiast dla innego nie, ponieważ zidentyfikowanie osoby skutkowało by poniesieniem zbyt wysokich kosztów lub poświęcenia dużej ilości czasu.
Ochrona danych osobowych
Dane, które pozwalają na identyfikację naszej tożsamości podlegają szczególnej ochronie prawnej. Warto zauważyć, że katalog definicji danych osobowych nie jest katalogiem zamkniętym, dlatego należy każdorazowo sprawdzić czy dane informacje są danymi osobowymi czy też nie.
Każdorazowo, należy podjąć wszelkie starania, wykorzystując dostępne środki, w celu ustalenia tożsamości danej osoby. Pozwoli to skutecznie chronić dane osób trzecich i uniknąć sytuacji konfliktowej. A jeśli do takiej dojdzie, mieć możliwość uargumentowania swojego działania i udowodnienia, że wykorzystano wszystkie dostępne środki, aby nie szkodzić osobom, których dane osobowe dotyczą.