Co oznacza pojęcie danych osobowych?
Zgodnie z art. 4 ust. 1 RODO danymi osobowymi są wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Definicja obejmuje więc nie tylko informacje, które wprost podają imię i nazwisko. Może nią być także identyfikator techniczny, opis cechy albo zestaw danych, który pozwala wyodrębnić konkretną osobę.
Informacja może dotyczyć człowieka, ponieważ go opisuje, odnosi się do jego działań lub może zostać z nim powiązana. Znaczenie mogą mieć czynniki opisujące tożsamość fizyczną, fizjologiczną, psychiczną, ekonomiczną, kulturową lub społeczną. Dane nie muszą być poufne, wrażliwe ani ujawniać tajemnic, aby podlegały ochronie RODO.
Do typowych przykładów należą imię i nazwisko, adres zamieszkania, numer identyfikacyjny, dane kontaktowe, lokalizacja oraz informacje o zdrowiu, pracy, zachowaniu czy sytuacji ekonomicznej. Danymi osobowymi może być również identyfikator internetowy. To, czy konkretna informacja podlega RODO, zależy jednak od tego, czy w danym kontekście pozwala rozpoznać osobę.
Kiedy można uznać, że osoba jest możliwa do zidentyfikowania?
Identyfikacja może być bezpośrednia albo pośrednia. Bezpośrednio wskazywać na osobę może na przykład imię i nazwisko lub numer identyfikacyjny. Przy identyfikacji pośredniej potrzebne bywa połączenie kilku informacji, takich jak adres IP, czas połączenia i dane dostępne u dostawcy internetu.
Nie istnieje określony próg liczby cech, poziomu pewności ani czasu, po którego upływie informacja staje się osobowa. Decydują okoliczności i realna możliwość identyfikacji, a nie abstrakcyjna hipoteza, że ktoś mógłby kiedyś ustalić tożsamość. Należy uwzględnić między innymi dostępność dodatkowych danych, koszty i czas potrzebne do ich uzyskania, dostępną technologię oraz kontekst przetwarzania.
To samo oznaczenie może być anonimowe dla jednego podmiotu, a osobowe dla innego. Różnica może wynikać z tego, że jeden administrator nie ma dostępu do informacji uzupełniających, podczas gdy inny dysponuje nimi lub ma realną i zgodną z prawem możliwość ich uzyskania. Ocena powinna obejmować cały proces przetwarzania, a nie tylko sprawdzenie, czy baza zawiera imiona i nazwiska.
Czy adres IP i zestaw neutralnych informacji to dane osobowe?
Tak, mogą nimi być, jeśli w konkretnych okolicznościach pozwalają ustalić lub wyodrębnić użytkownika. Przykładem jest dynamiczny adres IP połączony z datą i godziną odwiedzin. W sprawie C-582/14 Trybunał Sprawiedliwości UE uznał, że taki adres może stanowić dane osobowe wobec operatora strony, jeżeli operator ma prawne środki, by połączyć go z dodatkowymi danymi dostawcy internetu i ustalić tożsamość użytkownika.
Podobnie należy oceniać lokalizację zestawioną z czasem i zachowaniem użytkownika. Pojedyncza informacja może wydawać się neutralna, ale kilka elementów razem może wskazać konkretną osobę. Przykładem jest połączenie miejsca, pory regularnych wizyt i informacji o aktywności. Liczy się to, czy takie zestawienie umożliwia identyfikację przy użyciu środków, których można racjonalnie oczekiwać.
W praktyce administrator strony powinien sprawdzić, jakie identyfikatory gromadzi i z czym można je połączyć. Sam brak nazwiska w logach serwera nie przesądza, że zapisane tam informacje są anonimowe. Istotne mogą być również dane dostępne u innych podmiotów, o ile ich uzyskanie jest realne w danym kontekście.
Czym różnią się dane osobowe, pseudonimizowane i anonimowe?
Dane osobowe dotyczą osoby, która jest już zidentyfikowana lub może zostać zidentyfikowana. Dane pseudonimizowane zostały przetworzone tak, aby bez dodatkowej informacji nie można było przypisać ich konkretnej osobie. Informację pozwalającą na ponowne przypisanie należy przechowywać oddzielnie i chronić odpowiednimi środkami technicznymi oraz organizacyjnymi.
Pseudonimizacja ogranicza bezpośrednie powiązanie danych z osobą, ale nie usuwa go na stałe. Jeśli identyfikator pseudonimowy można połączyć z kluczem przechowywanym osobno, dane nadal są osobowe. Pseudonimizacja nie jest tym samym co anonimizacja, dlatego nie należy zakładać, że zastąpienie nazwiska kodem samo wyłącza stosowanie RODO.
Dane anonimowe nie pozwalają zidentyfikować osoby przy użyciu środków, których można racjonalnie oczekiwać. Samo usunięcie imienia i nazwiska nie wystarczy, jeśli pozostałe informacje umożliwiają rozpoznanie człowieka. Przy ocenie trzeba uwzględnić możliwość łączenia danych z innymi zbiorami i dostępność informacji dodatkowych. Dopiero gdy identyfikacja nie jest realnie możliwa w danym kontekście, można mówić o anonimizacji.
Kiedy dane należą do szczególnych kategorii?
RODO wyróżnia szczególne kategorie danych, które wymagają dodatkowej ostrożności. Należą do nich informacje ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność związkową, zdrowie, życie seksualne lub orientację seksualną, a także dane genetyczne i biometryczne. Ich przetwarzanie jest co do zasady zabronione, chyba że zachodzi wyjątek przewidziany w RODO.
Dane biometryczne mają ten szczególny status, gdy wynikają ze szczególnego przetwarzania technicznego i są używane w celu jednoznacznego zidentyfikowania osoby. Dlatego sam obraz twarzy lub pomiar cechy ciała nie zawsze automatycznie oznacza przetwarzanie danych biometrycznych należących do szczególnej kategorii. Znaczenie ma sposób przetwarzania oraz jego cel.
Ostrożności wymaga również wnioskowanie o cechach wrażliwych na podstawie zwykłych danych. Należy ocenić cel i sposób przetwarzania, wiarygodność wniosku, dostępność danych pomocniczych oraz prawdopodobieństwo ujawnienia informacji szczególnej kategorii. W praktyce warto więc pytać nie tylko, jakie dane zebrano, lecz także co można z nich wywnioskować i z czym można je połączyć.
Źródła
- https://www.dpcuria.eu/case?reference=C-582/14
- https://www.edpb.europa.eu/system/files/2025-01/edpb_guidelines_202501_pseudonymisation_en.pdf
- https://www.edpb.europa.eu/system/files/consultation_feedback/1495/feedback_1495_edpb_guidelines_1_2026_consultation_response.pdf
- https://www.edpb.europa.eu/sme/learn-the-basics/data-protection-basics_en
- https://infocuria.curia.europa.eu/tabs/tout?lang=EN&searchTerm=C%252D582%252F14