Dane osobowe umożliwiają określenie tożsamości osoby bez potrzeby poświęcenia na to zbyt dużej ilości czasu, zaangażowania i nakładu finansowego. Czym dokładnie są dane osobowe? I jak są chronione w zapisach ustawy o ochronie dany osobowych?
Ochrona dany osobowych stała się w ostatnim czasie popularną kwestią. Wraz ze wzrostem świadomości, społeczeństwo zaczęło domagać się zapewnienia bezpieczeństwa własnym danym osobowym. Każda możliwa do zidentyfikowania osoba fizyczna ma obecnie zapewnione prawo do bezpiecznego przechowywania jej danych osobowych przez ustawę o ochronie danych osobowych. Zapewnienie takiej ochrony to prawny obowiązek każdego podmiotu działającego na terenie Unii Europejskiej.
Spis treści
Dane osobowe: definicja. Co to są dane osobowe?
Podstawowa definicja danych osobowych podana na oficjalnej stronie Unii Europejskiej mówi o tym, że:
Dane osobowe stanowią wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania żyjącej osoby fizycznej. Poszczególne informacje, które w połączeniu ze sobą mogą prowadzić do zidentyfikowania tożsamości danej osoby, także stanowią dane osobowe.
Tak więc, za dane osobowe uważa się wszystkie informacje dotyczące możliwej do zidentyfikowania osoby fizycznej. Taką osobą jest ta, której tożsamość można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak numer identyfikacyjny.
Daną osobową są takie dane, które pozwalają na natychmiastową identyfikację tożsamości osoby lub przy pewnym nakładzie pracy, czasu i kosztów, są możliwe do jej ustalenia.
Za osobę możliwą do zidentyfikowania uznaje się osobę, której tożsamość można pośrednio lub bezpośrednio określić. W szczególności, dzięki powołaniu się na wspomniany wyżej numer identyfikacyjny lub na jeden bądź kilka specyficznych czynników określających cechy fizyczne, czyli fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. W RODO dodano także informacje takie jak dane o lokalizacji, identyfikator internetowy oraz informacje genetyczne.
Czym są dane osobowe?
Jak wynika z definicji, dane osobowe są informacjami, które dają nam możliwość zidentyfikowania danej osoby fizycznej w sposób pośredni lub bezpośredni. Pierwszy z nich wymaga od nas pewnego nakładu kosztów, czasu oraz pracy np. przy przeszukiwaniu portali społecznościowych. Drugi natomiast umożliwia natychmiastowe zidentyfikowanie osoby. Do takich danych zaliczamy zestawienie przynajmniej dwóch informacji lub pojedynczego identyfikatora, takie jak:
- imię i nazwisko
- adres zamieszkania;
- adres e-mail, taki jak imię.nazwisko@firma.com;
- numer dowodu tożsamości;
- dane o lokalizacji (np. ustawienia lokalizacji w telefonie komórkowym);
- adres IP, identyfikator internetowy;
- identyfikator plików cookie;
- identyfikator reklamowy w telefonie komórkowym;
- dane przechowywane przez szpital lub lekarza, które mogą jednoznacznie wskazywać tożsamość danej osoby.
Aby stwierdzić, czy osoba fizyczna może zostać zidentyfikowana, trzeba wziąć pod uwagę wszelkie obiektywne czynniki oraz wszelkie rozsądne i prawdopodobne sposoby, w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora danych do bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej. Do stwierdzenia czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do identyfikacji danej osoby, trzeba wziąć pod uwagę czynniki takie jak koszt, czas potrzebny do jej zidentyfikowania oraz uwzględnić technologię dostępną w momencie przetwarzania danych (umożliwiającą określenie tożsamości osoby).
Ustawa o ochronie danych osobowych: RODO
Ustawa o ochronie danych osobowych w Polsce została uchwalona 29 sierpnia 1997 roku, jednak wraz z wejściem w życie unijnego rozporządzenia RODO musiała zostać aktualizowana. Obecnie obowiązuje nas ustawa o ochronie danych osobowych z dnia 10 maja 2018 roku. W zapisach RODO wprowadzonych zostało kilka istotnych zmian, które gwarantują nam między innymi ochronę danych bez względu na technologię ich przetwarzania. W tym wypadku mówimy o neutralności pod względem technologii.
Oprócz tego zmieniła się także definicja. Mimo że różnica jest bardzo niewielka, to jednak jest dość istotna. Art. 4 rozporządzenia RODO mówi:
„Dane osobowe” oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej;
Do definicji dodane zostały informacje takie jak lokalizacja, identyfikatory internetowe oraz informacje genetyczne umożliwiające określenie tożsamości osoby fizycznej.
RODO wyróżnia także dwie kategorię danych:
- dane osobowe zwykłe — zaliczamy do nich wszystkie wymienione wyżej rodzaje danych,
- dane osobowe szczególnych kategorii (dane wrażliwe) – są to informacje ujawniające pochodzenie rasowe lub etniczne (jej cechy fizyczne), poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne, dane biometryczne, dane dotyczące zdrowia, seksualności lub orientacji seksualnej.
RODO nakłada także obowiązek informacyjny na wszystkich administratorów naszych danych w zakresie przetwarzania danych osobowych, przechowywania i ich udostępniania.
Co nie jest daną osobową?
Ustawa o ochronie danych osobowych nie mówi wprost o informacjach, których nie uznajemy za dane osobowe. Jednak z zapisów ustawy można wywnioskować, że danymi osobowymi nie są informacje, przez które nie jest możliwa identyfikacja konkretnej osoby. Zaliczyć do tego możemy np. samo imię lub nazwę ulicy.
W ustawie o ochronie danych osobowych pojawia się zapis, który mówi o tym, że:
Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań;
Natomiast na oficjalnej stronie Unii Europejskiej znajduje się również informacja dotycząca sytuacji, gdy dane osobowe tracą swój status:
Za dane osobowe nie uważa się danych osobowych zanonimizowanych w taki sposób, że osób, których dane dotyczą, w ogóle nie można zidentyfikować lub już nie można zidentyfikować. Aby dane były naprawdę anonimowe, anonimizacja musi być nieodwracalna.
