RODO - Rozdział I - Artykuł 4

ROZDZIAŁ I  - Przepisy ogólne

Artykuł 4  - Definicje

Na użytek niniejszego rozporządzenia:  

1) „dane osobowe” oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej  („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio  lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer  identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby  fizycznej;  

2) „przetwarzanie” oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych  osobowych w sposób zautomatyzowany lub nie zautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie,  porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie,  ujawnianie poprzez przesyłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie,  ograniczanie, usuwanie lub niszczenie;  

3) „ograniczenie przetwarzania” oznacza oznaczenie przechowywanych danych osobowych w celu ograniczenia ich  przyszłego przetwarzania;  

4) „profilowanie” oznacza dowolną formę zautomatyzowanego przetwarzania danych osobowych, które polega na  wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do  analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia,  osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się;  

5) „pseudonimizacja” oznacza przetwarzanie danych osobowych w taki sposób, by nie można ich było już przypisać  konkretnej osobie, której dane dotyczą, bez użycia dodatkowych informacji, pod warunkiem że takie dodatkowe  informacje są przechowywane osobno i są objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi ich  przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej;  

6) „zbiór danych” oznacza uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów,  niezależnie od tego, czy zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub  geograficznie;  

7) „administrator” oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który  samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby  takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii  lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone  konkretne kryteria jego wyznaczania;  

8) „podmiot przetwarzający” oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który  przetwarza dane osobowe w imieniu administratora;  

9) „odbiorca” oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, któremu ujawnia się  dane osobowe, niezależnie od tego, czy jest stroną trzecią. Organy publiczne, które mogą otrzymywać dane osobowe w ramach konkretnego postępowania zgodnie z prawem Unii lub prawem państwa członkowskiego, nie  są jednak uznawane za odbiorców; przetwarzanie tych danych przez te organy publiczne musi być zgodne  z przepisami o ochronie danych mającymi zastosowanie stosownie do celów przetwarzania;  

10) „strona trzecia” oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub podmiot inny niż osoba, której  dane dotyczą, administrator, podmiot przetwarzający czy osoby, które – z upoważnienia administratora lub  podmiotu przetwarzającego – mogą przetwarzać dane osobowe;  

11) „zgoda” osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli,  którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala  na przetwarzanie dotyczących jej danych osobowych;  

12) „naruszenie ochrony danych osobowych” oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub  niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego  dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych;  

13) „dane genetyczne” oznaczają dane osobowe dotyczące odziedziczonych lub nabytych cech genetycznych osoby  fizycznej, które ujawniają niepowtarzalne informacje o fizjologii lub zdrowiu tej osoby i które wynikają  w szczególności z analizy próbki biologicznej pochodzącej od tej osoby fizycznej;  

14) „dane biometryczne” oznaczają dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą  cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają  jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne;  

15) „dane dotyczące zdrowia” oznaczają dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej – w tym  o korzystaniu z usług opieki zdrowotnej – ujawniające informacje o stanie jej zdrowia;  

16) „główna jednostka organizacyjna” oznacza:  

a) jeżeli chodzi o administratora posiadającego jednostki organizacyjne w więcej niż jednym państwie  członkowskim – miejsce, w którym znajduje się jego centralna administracja w Unii, a jeżeli decyzje co do celów  i sposobów przetwarzania danych osobowych zapadają w innej jednostce organizacyjnej tego administratora  w Unii i ta jednostka organizacyjna ma prawo nakazać wykonanie takich decyzji, to za główną jednostkę organizacyjną uznaje się jednostkę organizacyjną, w której zapadają takie decyzje;  

b) jeżeli chodzi o podmiot przetwarzający posiadający jednostki organizacyjne w więcej niż jednym państwie  członkowskim – miejsce, w którym znajduje się jego centralna administracja w Unii lub, w przypadku gdy  podmiot przetwarzający nie ma centralnej administracji w Unii – jednostkę organizacyjną podmiotu przetwarzającego w Unii, w której odbywają się główne czynności przetwarzania w ramach działalności jednostki organizacyjnej podmiotu przetwarzającego, w zakresie w jakim podmiot przetwarzający podlega szczególnym  obowiązkom na mocy niniejszego rozporządzenia;  

17) „przedstawiciel” oznacza osobę fizyczną lub prawną mającą miejsce zamieszkania lub siedzibę w Unii, która została  wyznaczona na piśmie przez administratora lub podmiot przetwarzający na mocy art. 27 do reprezentowania  administratora lub podmiotu przetwarzającego w zakresie ich obowiązków wynikających z niniejszego rozporządzenia;  

18) „przedsiębiorca” oznacza osobę fizyczną lub prawną prowadzącą działalność gospodarczą, niezależnie od formy  prawnej, w tym spółki osobowe lub zrzeszenia prowadzące regularną działalność gospodarczą;  

19) „grupa przedsiębiorstw” oznacza przedsiębiorstwo sprawujące kontrolę oraz przedsiębiorstwa przez nie  kontrolowane;  

20) „wiążące reguły korporacyjne” oznaczają polityki ochrony danych osobowych stosowane przez administratora lub  podmiot przetwarzający, którzy posiadają jednostkę organizacyjną na terytorium państwa członkowskiego, przy  jednorazowym lub wielokrotnym przekazaniu danych osobowych administratorowi lub podmiotowi przetwarzającemu w co najmniej jednym państwie trzecim w ramach grupy przedsiębiorstw lub grupy przedsiębiorców  prowadzących wspólną działalność gospodarczą;  

21) „organ nadzorczy” oznacza niezależny organ publiczny ustanowiony przez państwo członkowskie zgodnie  z art. 51;  

22) „organ nadzorczy, którego sprawa dotyczy” oznacza organ nadzorczy, którego dotyczy przetwarzanie danych  osobowych, ponieważ:  

a) administrator lub podmiot przetwarzający posiadają jednostkę organizacyjną na terytorium państwa członkowskiego tego organu nadzorczego;  

b) przetwarzanie znacznie wpływa lub może znacznie wpłynąć na osoby, których dane dotyczą, mające miejsce  zamieszkania w państwie członkowskim tego organu nadzorczego; lub  

c) wniesiono do niego skargę;  

23) „transgraniczne przetwarzanie” oznacza:  

a) przetwarzanie danych osobowych, które odbywa się w Unii w ramach działalności jednostek organizacyjnych  w więcej, niż jednym państwie członkowskim administratora lub podmiotu przetwarzającego w Unii posiadającego jednostki organizacyjne w więcej niż jednym państwie członkowskim; albo  

b) przetwarzanie danych osobowych, które odbywa się w Unii w ramach działalności pojedynczej jednostki organizacyjnej administratora lub podmiotu przetwarzającego w Unii, ale które znacznie wpływa lub może znacznie  wpłynąć na osoby, których dane dotyczą, w więcej niż jednym państwie członkowskim;  

24) „mający znaczenie dla sprawy i uzasadniony sprzeciw” oznacza sprzeciw wobec projektu decyzji dotyczącej tego,  czy doszło do naruszenia niniejszego rozporządzenia lub czy planowane działanie wobec administratora lub  podmiotu przetwarzającego jest zgodne z niniejszym rozporządzeniem, który to sprzeciw musi jasno wskazywać  wagę wynikającego z projektu decyzji ryzyka naruszenia podstawowych praw lub wolności osób, których dane  dotyczą, oraz gdy ma to zastosowanie – wagę ryzyka zakłócenia swobodnego przepływu danych osobowych  w Unii;  

25) „usługa społeczeństwa informacyjnego” oznacza usługę w rozumieniu art. 1 ust. 1 lit. b) dyrektywy Parlamentu  Europejskiego i Rady (UE) 2015/1535 (1);  

26) „organizacja międzynarodowa” oznacza organizację i organy jej podlegające działające na podstawie prawa międzynarodowego publicznego lub inny organ powołany w drodze umowy między co najmniej dwoma państwami lub  na podstawie takiej umowy.