Co mówią przepisy RODO?

Według rozporządzenia RODO „dane osobowe” oznaczają:

informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej

W tym samym rozporządzeniu można przeczytać jednak:

Aby stwierdzić, czy dana osoba fizyczna jest możliwa do zidentyfikowania, należy wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby (w tym wyodrębnienie wpisów dotyczących tej samej osoby), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej. Aby stwierdzić, czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby, należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do jej zidentyfikowania, oraz uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny

Czy imię i nazwisko osoby wystarczy do jej zidentyfikowania?

Co to zasady - imię i nazwisko nie powiązane z innymi informacjami nie będzie danymi osobowymi. Dlaczego? W przeważającej ilości przypadków nie będzie możliwe wskazanie konkretnej osoby, ponieważ takie samo imię i nazwisko może nosić kilkadziesiąt, bądź kilkaset osób.

Przykładem będzie często spotykane i bardzo popularne imiona i nazwiska jak np. Jan Kowalski, Adam Nowak itp. Zidentyfikowanie osoby o takim imieniu i nazwisku byłoby trudne i czasochłonne. 

Czy numer telefonu to dane osobowe? Ważne stanowiska UODO i sądu

Kiedy nazwisko staje się daną osobową?

W Polsce najczęściej spotykane pięć nazwisk nosi około 590 tysięcy osób, jednak nawet najbardziej popularne imię i nazwisko, w zestawieniu z dodatkową porcją informacji może stać się daną osobową.

Jeśli połączymy imię i nazwisko z pełnioną przez daną osobę funkcją publiczną, jak np.: Jan Kowalski - premier, lub po prostu dodamy nazwę firmy np.: Adam Kowalski - pracownik firmy X, wówczas bez większego wysiłku - nakładu czasu ani pieniędzy - możemy zidentyfikować osobę, której dane dotyczą.

Warto pamiętać o innym przypadku. Na podstawie imienia i nazwiska, które są unikatowe (jak np. Elif Bortolomeo) można dokonać identyfikacji ich właściciela. Ani koszt, ani czas potrzebne do takiej operacji nie są duże, mamy więc do czynienia z danymi osobowymi.

Kradzież danych osobowych w internecie. Dowiedz się więcej

Dane osobowe. Imię i nazwisko w służbowym adresie e-mail

Kolejnym przykładem jest adres e-mail, który w formie ak@lexdigital.pl nie jest daną osobową. Natomiast służbowy adres e-mail w zasadniczej większości posiadający imię i nazwisko oraz nazwę danej firmy np. adam.kowalski@lexdigital.pl będzie stanowił dane osobowe.

Wskazane informacje  pozwolą na identyfikację takiej osoby w krótkim czasie, ponieważ posiadamy bardzo cenną informację jaką jest nazwa firmy, a co za tym idzie znajomość adresu miejsca pracy danej osoby. Istnieje znikoma szansa, że w danej firmie pracuje więcej niż jedna osoba o tym samym imieniu i nazwisku.

Sprawdź artykuł LexDigital: Dane osobowe wrażliwe, a dane osobowe zwykłe

Dane osobowe - pojedyncze informacje

Pojedyncze informacje o dużym stopniu ogólności np. nazwa ulicy i numer budynku, w którym mieszka kilkaset osób, nie będą danymi osobowymi. Informacja ta stanowi jednak daną osobową, gdy zostanie zestawiona z innymi dodatkowymi informacjami, takimi jak imię i nazwisko.

Kiedy jednak adres zamieszkania to dom jednorodzinny, może on posłużyć do zidentyfikowania osoby której dane dotyczą.

Przykładem pojedynczej informacji, która jednocześnie jest daną osobową jest numer PESEL, który według ustawy jest 11-cyfrowym symbolem numerycznym, jednoznacznie identyfikującym osobę fizyczną. Podobnie dane biometryczne, takie jak odciski linii papilarnych konkretnej osoby, które mogą same w sobie posłużyć do identyfikacji.

Czy umowa bez numeru dowodu jest ważna?

Dane osobowe - zależy, kto nimi dysponuje

Kwestia, czy dane będą uważane za osobowe, zależy od tego, kto nimi dysponuje w danym momencie.

Weźmy pod uwagę imię i nazwisko, które dla większości osób będzie informacją ogólną - Adam Nowak - dla operatorów telekomunikacyjnych lub banku jest to informacja, która zestawiona z innymi danymi może pozwolić na prostą i szybką identyfikację danej osoby. To samo dotyczy danych na fakturze.

Dokonując oceny, czy informacja stanowi dane osobowe należy ustalić koszt i czas oraz niezbędną technologię do zidentyfikowania osoby. Należy pamiętać również, że dla jednego podmiotu dana informacja będzie miała charakter danych osobowych, natomiast dla innego nie, ponieważ zidentyfikowanie osoby skutkowało by poniesieniem zbyt wysokich kosztów lub poświęcenia dużej ilości czasu.

Czy imię i nazwisko to dane osobowe? Na co zwrócić uwagę

Rozporządzenie o Ochronie Danych Osobowych wskazuje, że dane osobowe to informacje o osobie fizycznej, na podstawie których jest ona możliwa do zweryfikowania.

Aby trafnie ocenić, czy dane informacje są danymi osobowymi należy dokładnie zbadać zaistniałą sytuację. Czasami wystarczy jedna informacja, aby określić tożsamość osoby. Takimi danymi mogą być np. numer PE, numer identyfikacji podatkowej, dane o lokalizacji, numer IP. Ale na tym sprawa się nie zamyka.

Daną osobową mogą stanowić również jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

W celu ustalenia, czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby, należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do jej zidentyfikowania, oraz uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny.

– czytamy w rozporządzeniu RODO.

Dane, które pozwalają na identyfikację naszej tożsamości podlegają szczególnej ochronie prawnej. Publikacja imienia i nazwiska bez zgody może skończyć się w sądzie, szczególnie jeżeli są to dane pozwalające kogoś zidentyfikować.

Warto zauważyć, że katalog definicji danych osobowych nie jest katalogiem zamkniętym, dlatego należy każdorazowo upewnić się, czy informacje są danymi osobowymi czy też nie.

Kluczowe jest ustalenie, czy istnieje uzasadnione prawdopodobieństwo, iż dane mogą zostać wykorzystane w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej.