Zgodnie z definicją zawartą w Art. 4 RODO:
„dane osobowe” oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej;
A zgodnie z obowiązującą jeszcze Ustawą o Ochronie Danych Osobowych:
Art. 6. 1. W rozumieniu ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.
2. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne.
3. Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań.
Jak widać, definicja danych osobowych praktycznie nie uległa zmianie.
W każdej sytuacji w której mamy świadomość, że dane dotyczą konkretnej osoby fizycznej powinniśmy zakładać, że mamy do czynienia z danymi osobowymi.
Przez dane osobowe rozumiemy wszelkie informacje jakie możemy z osobą fizyczną powiązać. Tak więc, dane osobowe to nie tylko: numery identyfikacyjne, imię, nazwisko adres ale również wszelkie informacje dotyczące osób fizycznych takie jak nr kont, informacje o stanie posiadania, sytuacji rodzinnej, udziale w przedsięwzięciach i imprezach itd. Pamiętajmy, że dane osobowe to zarówno dane identyfikujące osobę jak i dane opisujące osobę fizyczną.
Motyw 27 mówi: Niniejsze rozporządzenie nie ma zastosowania do danych osobowych osób zmarłych. Państwa członkowskie mogą przyjąć przepisy o przetwarzaniu danych osobowych osób zmarłych.
Motyw 26: Zasady ochrony danych powinny mieć zastosowanie do wszelkich informacji o zidentyfikowanych lub możliwych do zidentyfikowania osobach fizycznych. (...) Aby stwierdzić, czy dana osoba fizyczna jest możliwa do zidentyfikowania, należy wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby (w tym wyodrębnienie wpisów dotyczących tej samej osoby), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej. Aby stwierdzić, czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby, należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do jej zidentyfikowania, oraz uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny....
Jak widać podjęcie decyzji o tym czy mamy do czynienia z danymi osobowymi w szczególnych przypadkach może być mocno nie trywialne. Czy można w pełni obiektywnie uznać jakie koszty i czas potrzebny na zidentyfikowanie osoby fizycznej której dane dotyczą są racjonalnie uzasadnione? Proponuję przyjąć następującą zasadę:
„Jeśli Ty jesteś w stanie powiązać dane z konkretną osobą fizyczną to znaczy i inni będą w stanie to zrobić. Masz do czynienia z danymi osobowymi!!”
Comments