GDPR – Dane osobowe

Termin „dane osobowe” jest kluczowy dla zastosowania ogólnego rozporządzenia o ochronie danych (RODO). Tylko jeśli przetwarzanie danych dotyczy danych osobowych, ma zastosowanie ogólne rozporządzenie o ochronie danych. Termin jest zdefiniowany w art. 4 pkt 1 RODO. Dane osobowe to wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.

Osoby, których dane dotyczą, są możliwe do zidentyfikowania, jeśli można je zidentyfikować bezpośrednio lub pośrednio, w szczególności poprzez odniesienie do identyfikatora takiego jak imię, numer identyfikacyjny, dane lokalizacyjne, identyfikator online lub jedna z kilku szczególnych cech, które wyrażają fizyczną, fizjologiczną, genetyczną, psychiczną, handlową, kulturową lub społeczną tożsamość tych osób fizycznych. W praktyce obejmują one również wszystkie dane, które są przypisane lub mogą być przypisane osobie w jakikolwiek sposób. Na przykład, numer telefonu, numer karty kredytowej lub numer personalny osoby, dane konta, tablica rejestracyjna, wygląd, numer klienta czy adres to wszystkie dane osobowe.

Skoro definicja obejmuje „jakiekolwiek informacje”, należy przyjąć, że termin „dane osobowe” powinien być interpretowany możliwie najszerzej. Sugeruje to również orzecznictwo Trybunału Sprawiedliwości Unii Europejskiej, które również uznaje mniej oczywiste informacje, takie jak zapisy czasu pracy zawierające informacje o godzinach rozpoczęcia i zakończenia dnia pracy pracownika oraz przerwach lub czasach nieobjętych czasem pracy, za dane osobowe. Ponadto, pisemne odpowiedzi kandydata podczas testu i wszelkie uwagi egzaminatora dotyczące tych odpowiedzi są „danymi osobowymi”, jeśli kandydat może być teoretycznie zidentyfikowany. To samo dotyczy adresów IP. Jeśli administrator danych ma prawnie zagwarantowaną możliwość zobowiązania dostawcy do przekazania dodatkowych informacji, które pozwalają mu zidentyfikować użytkownika stojącego za adresem IP, są to również dane osobowe. Należy również zauważyć, że dane osobowe nie muszą być obiektywne. Subiektywne informacje, takie jak opinie, oceny czy szacunki, mogą być danymi osobowymi. W związku z tym obejmuje to ocenę zdolności kredytowej osoby lub oszacowanie wydajności pracy przez pracodawcę.

Ostatnia, lecz niemniej ważna kwestia, to prawo stanowi, że informacje do referencji osobowych muszą odnosić się do osoby fizycznej. Innymi słowy, ochrona danych nie ma zastosowania do informacji o osobach prawnych, takich jak korporacje, fundacje i instytucje. Natomiast w przypadku osób fizycznych ochrona rozpoczyna się i kończy wraz ze zdolnością prawną. Zasadniczo osoba nabywa tę zdolność z chwilą narodzin, a traci ją po śmierci. Dane muszą zatem być przypisane do zidentyfikowanych lub identyfikowalnych żyjących osób, aby były uważane za dane osobowe.

Oprócz ogólnych danych osobowych, należy przede wszystkim wziąć pod uwagę specjalne kategorie danych osobowych (znane również jako dane wrażliwe), które są szczególnie istotne, ponieważ podlegają wyższemu poziomowi ochrony. Do tych danych należą dane genetyczne, biometryczne i dotyczące zdrowia, jak również dane osobowe ujawniające pochodzenie rasowe i etniczne, poglądy polityczne, przekonania religijne lub ideologiczne oraz przynależność do związków zawodowych.