Kategorie danych osobowych w RODO

W tym artykule:

• Pojęcie danych osobowych
• Katalogi i kategorie danych osobowych
• Różna kategorie danych, wspólne zasady przetwarzania
• Kategorie danych osobowych w poszczególnych regulacjach RODO
• Zabezpieczenie poszczególnych kategorii danych osobowych

1. Pojęcie danych osobowych

Pojęcie „dane osobowe” otwiera drzwi do Ogólnego rozporządzenia o ochronie danych osobowych (RODO). Legalną definicję danych osobowych przynosi art. 4 ust. 1 RODO, który stanowi, że dane osobowe to wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”). Definicja danych osobowych jest zatem z założenia szeroka i przy tym „neutralna osobowo”, o czym przesądza użycie zwrotu „wszelkie informacje”, nie odnosząc ich do jakiejkolwiek kategorii danych.

Kolejny kamień milowy na drodze do uznania, że mamy do czynienia z danymi osobowymi to identyfikowalność osoby, której dane dotyczą. Mowa tutaj zarówno o bezpośredniej, jak i pośredniej identyfikowalności. W wielu aspektach identyfikowalność osoby może być względna i uzależniona od tego, kto daną informację przetwarza, w jakim kontekście tego dokonuje oraz jakimi środkami się posługuje.

Identyfikacja osoby, której dane dotyczą.

Zgodnie z RODO, osoby fizyczne, których dane dotyczą, muszą być zidentyfikowane lub możliwe do zidentyfikowania. Możemy je bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub na podstawie jednej lub kilku szczególnych cech, które określają fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osób fizycznych. W praktyce są to również wszelkie dane, które są lub mogą być w jakikolwiek sposób przypisane do osoby, zarówno te obiektywne, jak i subiektywne, prawdziwe jak i nieprawdziwe.  

Ostatni element przesądzający o tym, że mamy do czynienia z danymi osobowymi to fakt, że informacja odnosi się do osób fizycznych, czyli do żyjących ludzi będących z natury rzeczy podmiotami praw i obowiązków.

2. Katalogi i kategorie danych osobowych

Wczytując się w treść poszczególnych przepisów RODO, trafnym wydaje się być uznanie, że kategorie danych osobowych należy postrzegać jako ich rodzaje.  W art. 9 ust. 1 RODO wybrane kategorie danych osobowych zostały skatalogowane. Sformułowany tutaj został zamknięty katalog danych szczególnych kategorii. RODO zalicza do nich dane osobowe ujawniające:

• pochodzenie rasowe lub etniczne,
• poglądy polityczne,
• przekonania religijne lub światopoglądowe,
• przynależność do związków zawodowych, a także
• dane genetyczne,
• dane biometryczne przetwarzane w celu jednoznacznego zidentyfikowania osoby fizycznej lub dane dotyczące zdrowia, seksualności lub orientacji seksualnej danej osoby.

  

Dlaczego akurat te dane, a nie inne stanowią zamknięty katalog danych szczególnych kategorii? W literaturze często podnoszony jest argument, że to właśnie te kategorie danych należą do szczególnych stref prywatności człowieka, a ich utrata wiąże się z większym niż przy innych kategoriach danych osobowych poczuciem zagrożenia.

Część danych szczególnych kategorii została przez prawodawcę unijnego dodatkowo wyciągnięta przed nawias za sprawą odpowiedniego ich zdefiniowania w art.4 pkt 13 - dane genetyczne, art. 4 pkt 14 - dane biometryczne, art.4 pkt 15 - dane dotyczące zdrowia.

Różne kategorie danych osobowych

Dane nieobjęte katalogiem z art. 9 uznaje się za dane tzw. „zwykle”, co mogłoby wskazywać, że mamy do czynienia z katalogiem danych osobowych „drugiej kategorii”. Jak dowodzi praktyka, nie do końca jest to prawda. Biorąc pod uwagę, chociażby decyzje administracyjne Prezesa Urzędu Ochrony Danych Osobowych warto odnotować dużą wagę, jaka jest przykładana do negatywnych zdarzeń związanych, chociażby z numerem PESEL, nieujętym przecież w katalogu danych osobowych szczególnych kategorii.

RODO nie wymienia w katalogu danych szczególnych kategorii informacji o wyrokach skazujących i czynach zabronionych, jednocześnie poddaje je osobnej regulacji w art. 10 a także wskazuje na nie chociażby w art. 35 i 37.

Analizując przepisy Rozporządzenia natrafimy także na termin „danych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą”. Termin ten został użyty w art. 9 ust. 2 lit. e. RODO, jako przesłanka znosząca zakaz przetwarzania danych osobowych szczególnych kategorii.

W odróżnieniu od danych osobowych zwykłych przetwarzanie danych osobowych szczególnych kategorii jest bowiem zakazane, z zastrzeżeniem wyjątków wskazanych w art. 9 ust. 2 RODO.  

3. Różne kategorie danych, wspólne zasady przetwarzania

RODO nie kategoryzuje danych osobowych z puntu widzenia ogólnych zasad dotyczących ich przetwarzania wskazanych w art. 5. Zarówno na dane definiowane jako dane szczególnej kategorii, jak i pozostałe dane osobowe uznawane za tzw. "zwykłe” oddziaływują generalne, nadrzędne nad innymi przepisami Rozporządzenia, zasady, tj:

• zasada legalności i rzetelności,
• zasada przejrzystości,
• zasada ograniczenia celu,
• zasada minimalizacji danych,
• zasada prawidłowości,
• zasada ograniczenia przechowywania,
• zasada integralności i poufności,
• zasada rozliczalności.

Rozróżnienie kategorii danych osobowych pojawia się na etapie rozwinięcia i realizacji poszczególnych zasad, np. w zakresie spełnienia przesłanek legalizacyjnych osobno dla danych osobowych „zwykłych” wskazanych w art. 6 oraz danych szczególnej kategorii wskazanych w art. 9 RODO.

4. Kategorie danych osobowych w poszczególnych regulacjach RODO

Pojęcie kategorii danych osobowych pojawia się w Rozporządzeniu wielokrotnie. Administrator, by skutecznie stosować RODO, musi identyfikować przetwarzane kategorie danych osobowych i analizować związane z nimi czynności przetwarzania. Wiedza o przetwarzanych kategoriach danych osobowych ma doniosłe znaczenie w skutecznym stosowaniu RODO i będzie potrzebna administratorowi m.in. w zakresie:

• określania przesłanek legalizujących przetwarzanie danych osobowych,
• spełniania obowiązków informacyjnych,
• realizacji praw osób, których dotyczą dane osobowe,
• powierzenia przetwarzania danych osobowych,
• rejestrowania czynności przetwarzania,
• zgłaszania naruszeń ochrony danych osobowych organowi nadzorczemu,
• oceny skutków dla ochrony danych,
• podejmowaniu decyzji o potrzebie wyznaczenia IOD,
• transferu danych do krajów trzecich.

  

  5. Zabezpieczenie poszczególnych kategorii danych osobowych

Zgodnie z art. 24 RODO, na co zwraca uwagę Prezes Urzędu Ochrony Danych Osobowych m.in. w wydawanych decyzjach, administrator przy wdrażaniu zabezpieczeń winien uwzględniać charakter, zakres, kontekst i cele przetwarzania, a także uwzględniać ryzyko naruszenia praw i wolności osób fizycznych. Jednocześnie, aby móc wykazać przestrzeganie Rozporządzenia, administrator powinien przyjąć wewnętrzne polityki oraz wdrożyć środki, które są zgodne w szczególności z zasadą uwzględniania ochrony danych w fazie projektowania oraz z zasadą domyślnej ochrony danych.

Ryzyko naruszenia praw lub wolności osób może mieć różne prawdopodobieństwo oraz różną wagę zagrożeń. Jak czytamy w motywie 75 preambuły RODO takie ryzyko jest determinowane przetwarzaniem danych mogącym prowadzić do uszczerbku fizycznego lub szkód majątkowych czy niemajątkowych. Na przykład w związku z przetwarzaniem danych osobowych szczególnych kategorii, lub gdy przetwarzane są dane osobowe osób wymagających szczególnej opieki, przede wszystkim dzieci albo gdy przetwarzanie dotyczy dużej ilości danych osobowych i wpływa na dużą liczbę osób, których dane dotyczą. W art. 35 ust. 3b RODO legislator utożsamia wysokie ryzyko m.in z czynnościami przetwarzania na dużą skalę szczególnych kategorii danych osobowych, lub danych osobowych dotyczących wyroków skazujących i czynów zabronionych. Jako reakcję na to ryzyko wskazuje potrzebę przeprowadzenia oceny skutków dla ochrony danych. Ocena skutków powinna w szczególności obejmować planowane środki, zabezpieczenia i mechanizmy mające minimalizować ryzyko.

W art. 32 RODO wymieniony został katalog środków zarówno technicznych, jak i organizacyjnych mogących oddziaływać na stwierdzone przez administratora ryzyka. Wskazane zostały takie środki jak pseudonimizacja i szyfrowanie danych, zdolność do ciągłego zapewnienia bezpieczeństwa i odporności systemów i usług przetwarzania, zdolność do szybkiego przywrócenia dostępu do danych w razie incydentu, a także działania dotyczące testowania, pomiaru i oceny skuteczności stosowanych zabezpieczeń.

Identyfikacja ryzyka i w związku z tym przeprowadzenie oceny na ile prawdopodobne jest, że ryzyko się zmaterializuje oraz jak dotkliwe z tego powodu będą skutki dla praw i wolności osób, których dotyczą dane osobowe to zadanie dla administratora. Działania te powinny być przeprowadzane na bazie rzeczowej i obiektywnej oceny, z uwzględnieniem zidentyfikowanych i scharakteryzowanych procesów przetwarzania poszczególnych kategorii danych osobowych. Adekwatna do zagrożeń ochrona danych osobowych powinna być zapewniona podczas całego okresu ich przetwarzania. Szczególnie wysoką staranność administrator musi wykazać w procesach przetwarzania danych szczególnych kategorii ze względu na ich potencjalny negatywny wpływ na prawa i wolności osób w przypadku naruszenia ich ochrony.