Dane osobowe
Dane osobowe – oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej;
dr Jakub Rzymowski z kancelarii adwokackiej Eurokancelaria prof. M. Królikowska-Olczak.
Wszelkie informacje ...
Ze słów wytłuszczonych w cytacie: „oznaczają wszelkie informacje (…)” wnioskujemy, że każda informacja może być daną osobową. Nie ma informacji, która zawsze jest daną osobową. Informacja to po prostu informacja, daną osobową jest o ile spełnia warunki z komentowanej definicji. Daną osobową może być imię, nazwisko, numer buta, czy tonaż posiadanego statku albo wagomiar ulubionej haubicy.
o ...
Ze słowa „o” wytłuszczonego w cytacie: „(…) oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”) (…)” wnioskujemy, że dane osobowe to informacje dotyczące które dotyczą osoby fizycznej.
Osobie fizycznej ...
Ze słów wytłuszczonych w cytacie: „(…) oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”) (…)” wnioskujemy, że dane osobowe to informacje dotyczące żywych ludzi. Motyw 27 Preambuły RODO stanowi: Niniejsze rozporządzenie nie ma zastosowania do danych osobowych osób zmarłych. Państwa członkowskie mogą przyjąć przepisy o przetwarzaniu danych osobowych osób zmarłych. W Polsce takimi przepisami są np. przepisy dotyczące ochrony informacji o pacjencie po śmierci pacjenta, przepisy dotyczące tajemnic medycznych itp.
Zidentyfikowanej lub możliwej do zidentyfikowania ...
Ze słów wytłuszczonych w cytacie: „oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”)” wnioskujemy, że dane osobowe to informacje dotyczące dwóch kategorii ludzi. Jedna to ludzie zidentyfikowani, druga to ludzie możliwi do zidentyfikowania. Podkreślenia wymaga, że dane osobowe to informacje o osobie zidentyfikowanej lub możliwej do zidentyfikowania nie zaś jedynie informacje umożliwiające identyfikację osoby. Informacje umożliwiające identyfikacje osoby są, z samej ich istoty, danymi osobowymi. Jeżeli informacja umożliwia identyfikację osoby, to oczywiste jest że jest informacją o konkretnej osobie i tym samym daną osobową. Jeżeli informacja w oderwaniu od innych nie umożliwia identyfikacji osoby, jednak dotyczy ona osoby zidentyfikowanej lub możliwej do zidentyfikowania z wykorzystaniem innych informacji, to jest ona oczywiście daną osobową. Dane umożliwiające identyfikację – dane identyfikacyjne – są danymi osobowymi, ale nie dlatego, że umożliwiają identyfikację, bo o tym mowy w definicji danych osobowych nie ma, ale dlatego, że skoro umożliwiają identyfikację, to tym samym dotyczą osoby możliwej do zidentyfikowania.
Możliwa do zidentyfikowania osoba ...
Ze słów: „możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej” wnioskujemy, że przepis definiuje „możliwą do zidentyfikowania osobę fizyczną”.
Bezpośrednio lu pośrednio zidentyfikować ...
Ze słów wytłuszczonych w cytacie: „możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować” wnioskujemy, że przepis przewiduje, że osobę fizyczną można zidentyfikować bezpośrednio lub pośrednio. Niestety ani ze słów bezpośrednio lub pośrednio ani z dalszej, niżej omawianej części przepisu, nie wynika jaka jest różnica miedzy identyfikacją bezpośrednią a pośrednią. Prawodawca podzielił możliwości identyfikacji na bezpośrednie i pośrednie, jednak nie uzależnił czegokolwiek od tego, czy dana możliwość, metoda identyfikacji to możliwość bezpośrednia czy pośrednia. Nieistotne dla zrozumienia znaczenia definicji jest czy identyfikacja ma charakter bezpośredni czy pośredni. Dla określenia zakresu definicji danych osobowych ważne jest czy identyfikacja jest możliwa czy nie jest możliwa
W motywie 26 Preambuły czytamy: Aby stwierdzić, czy dana osoba fizyczna jest możliwa do zidentyfikowania, należy wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby (w tym wyodrębnienie wpisów dotyczących tej samej osoby), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej. Aby stwierdzić, czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby, należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas, potrzebne do jej zidentyfikowania, oraz uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny. Jak widać dla określenia zakresu definicji istotne jest czy konkretne, dostępne o danym człowieku informacje umożliwiają identyfikację tego człowieka, a nie czy identyfikację te nazwiemy identyfikacją bezpośrednią czy nazwie-my ją identyfikacją pośrednią.
Imię i nazwisko ...
Dane osobowe to informacje dotyczące żywego człowieka, któ-rego można zidentyfikować w szczególności na podstawie identyfi-katora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lo-kalizacji, identyfikator internetowy. Należy zwrócić uwagę, że imię i nazwisko uznano w przepisie za identyfikator analogiczny wobec pozostałych trzech. Wynika z tego wniosek, że jeżeli znamy jakieś imię i nazwisko, nie jesteśmy jednak w stanie powiązać tego imienia z konkretnym, żywym człowiekiem, to to imię i nazwisko nie jest daną osobową ani nie umożliwia identyfikacji tego człowieka. Jeżeli identyfikujemy człowieka nie używając w tym celu innej metody niż posługiwania się imieniem i nazwiskiem, po czym łączymy z danym zidentyfikowanym człowiekiem to konkretne imię i nazwisko, to to imię i nazwisko jest daną osobowa tego człowieka. Jeżeli zatem jes-teśmy w stanie jedynie dzięki podaniu imienia i nazwiska wskazać na konkretnego, żywego człowieka, to człowiek ten jest osobą zidenty-fikowaną, wszelkie informacje, które z nim łączymy są danymi osobo-wymi, jednocześnie imię i nazwisko tego człowieka też są danymi osobowymi tego człowieka.
Numer identyfikacyjny ...
Podobnie rzecz się ma z numerem identyfikacyjnym. Jeżeli je-steśmy w stanie jedynie dzięki podaniu numeru identyfikacyjnego wskazać na konkretnego, żywego człowieka, to człowiek ten jest osobą zidentyfikowaną, wszelkie informacje, które z nim łączymy są danymi osobowymi, jednocześnie numer identyfikacyjny tego człowieka, używany do identyfikacji też jest daną osobową tego człowieka. Przykładem numeru, który może służyć do identyfikacji jest numer studenckiego indeksu. Numer ten umożliwia identyfikację studenta o ile jesteśmy w stanie powiązać ten numer z konkretnym studentem. Podobnie rzecz się ma z numerem dowodu osobistego, pasz-portu itp. Jeśli chodzi o numer PESEL, to przyjęło się uważać, że numer ten jest daną osobową. Jest to jednak pogląd błędny. Jeżeli jesteśmy w stanie ustalić kogo dotyczy dany PESEL, to umożliwia on identyfikację osoby i jednocześnie jest daną osobową, jeżeli nie jesteśmy w stanie ustalić kogo dotyczy dany PESEL, to nie umożliwia on identyfikacji osoby i jednocześnie nie jest daną osobową.
Dane o lokalizacji ...
Dane o lokalizacji o których tu mowa to na przykład dane o lokalizacji zbierane przez stronę www, dane o lokalizacji użytkownika urządzenia nawigacyjnego na przykład w samochodzie, dane o lokali-zacji telefonu komórkowego itp. Danymi o lokalizacji są też informacje o położeniu samochodu, którym jedzie konkretny, zidentyfiko-wany człowiek. Mowa tu o informacjach, jakie posiadają niektórzy przedsiębiorcy, którzy wiedzą dzięki danym o lokalizacji, co mniej więcej w danej chwili robi ich pracownik, a przynajmniej gdzie on jest. Pozornie są to dane o lokalizacji pojazdu, jeżeli jednak praco-dawca wie kto w tym pojeździe się znajduje, to dla tego pracodawcy są to dane tego właśnie, znajdującego się w pojeździe człowieka.
Identyfikator internetowy ...
Identyfikator internetowy o którym tu mowa to na przykład numer komunikatora, na przykład Gadu-gadu, nazwa w portalu społecznościowym, na przykład w Facebooku, adres poczty elektronicznej, nazwa użytkownika forum internetowego itp.
Czynniki ...
Jeśli chodzi o czynniki określające fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej, to należy przyjąć, że jeżeli jesteśmy w stanie wskazać na konkretnego człowieka poprzez określenie nie identyfikatora (bo o identyfikatorach było wyżej), ale poprzez określenie cech jego tożsamości, to informacje dotyczące tego człowieka są dla nas jego danymi osobowymi.
Dane jawne, jako dane osobowe ...
Dane niepoufne nie tracą przymiotu danych osobowych, inaczej – dane jawne są danymi osobowymi nie mniej niż dane poufne.
Obiektywizacja zakresu definicji ...
Niezwykle ciekawy wniosek wynika z motywu 26 Preambuły RODO. Jedno ze zdań tego przepisu stanowi: Aby stwierdzić, czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby, należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do jej zidentyfikowania, oraz uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny. Zdanie to jest niezwykle doniosłe, czyni bowiem bardzo szerokim zakres definicji danych osobowych. Prawodawca wskazuje, że o identyfikowalności osoby decydują obiektywne czynniki i dostępna w momencie przetwarzania danych technologia. Lektura cytowanego zdania preambuły nie nastraja optymistycznie. Jeżeli brano by pod uwagę jedynie czynniki takie jak technologia i postęp technologiczny, to zakres definicji danych osobowych byłby niezwykle szeroki.
Współczesne technologie umożliwiają identyfikację osób, na-prawdę na podstawie niezwykle nikłych danych. Państwa posiadają zbiory danych, na podstawie, których zapewne mogą identyfikować obywateli. Myśl tu przedstawiona ma charakter pewnej, trudnej dla mnie do udowodnienia hipotezy, ale zakładam, że zdjęcia we współczesnych dowodach osobistych wydawanych w Polsce, mają charakter biometryczny. Nie wiem oczywiście, czy państwo polskie zbiera zdjęcia obywateli, by móc ich rozpoznawać, jest to jednak możliwe, a co więcej wydaje się to racjonalne. Zostawiając na boku, wskazany tu hipotetyczny przykład, zwracam uwagę na fakt, że państwa, służby specjalne, czy nawet prywatne agencje, nie dzielące się szeroko wiedzą, którą posiadają lub podmioty lecznicze posiadają zapewne zbiory danych, do których nie udzielają dostępu zwykłym obywatelom. Jak więc widać obiektywizacja czynników umożliwiających identyfikację osoby fizycznej, nie do końca jest możliwa.
Z założenia subiektywny charakter mają dwa pozostałe czynniki wskazane przez prawodawcę, a to koszt i czas. Być może inaczej niż prawodawca rozumiem obiektywność kosztu i obiektywność czasu, ale dla mnie te czynniki mają charakter subiektywny. Koszt zidentyfikowania osoby jest jakiś. Administrator danych może ten koszt ponieść lub nie. Może ponieść – ustali kogo dotyczą posiadane przezeń informacje, nie może ponieść – nie ustali kogo dotyczą posiadane przezeń informacje. O tym czy informacje umożliwiają identyfikację osoby, decyduje to, czy administrator może na zidentyfikowanie osoby na podstawie tych informacji ponieść takie a nie inne koszta. Wynika z tego, że informacje, które dla jednego administratora są danymi osobowymi, dla innego nie są. Dostrzegam tu silny element subiektywizujący zakres definicji.
