Source: http://okolicebiznesu.pl/pojecie-i-kategorie-danych-osobowych-na-gruncie-rodo/
Timestamp: 2020-08-14 16:53:48
Legal References Found: art. 4
 art. 43
 art. 5
 art. 5
 art. 9
 art. 10
 art. 9
 art. 9
 art. 9
 art. 4
 art. 4
 art. 10
 art. 6
 Art. 10

Document Content:
Pojęcie i kategorie danych osobowych na gruncie RODO – Okolice Biznesu
10 czerwca 2020 Prawo i podatkidane osobowe, RODOKrzysztof
Pojęcie i kategorie danych osobowych na gruncie RODO
Celem Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku – w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), przywoływanego w dalszej części jako: „RODO”, jest ochrona osób fizycznych w związku z przetwarzaniem danych osobowych. W związku z tym, przystępując do analizy kluczowych aspektów powyższego aktu prawnego oraz jego wpływu na nasze codzienne życie (zarówno prywatne, jak i zawodowe), należy już na samym początku wyjaśnić, czym na gruncie RODO są dane osobowe oraz jakie kategorie danych osobowych możemy wyróżnić.
Pojęcie danych osobowych definiowane jest w art. 4 pkt 1 RODO. Stosownie do treści tego przepisu, oznaczają one wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”), przy czym możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej;
Tak określona definicja danych osobowych, jak i osoby fizycznej powoduje, że ma ona de facto zastosowanie do każdego z nas. Co więcej, ma ona charakter otwarty, gdyż niemożliwym jest wymienienie wszystkich typów informacji, które wypełniają pojęcie danych osobowych (wynika ona także z zastosowanego w przepisie zwrotu „w szczególności”).
Zgodnie z doktryną, do przykładowego katalogu danych osobowych można niewątpliwie zaliczyć takie informacje jak:
identyfikatory internetowe,
identyfikatory plików cookie – generowanych przez urządzenia, aplikacje, narzędzia i protokoły,
głos na nagraniu rozmowy telefonicznej,
twarz na nagraniu z kamery,
płeć, kolor i kształt tęczówki,
informacje o przebywaniu w konkretnym miejscu,
informacje o przejeździe środkami komunikacji miejskiej,
struktura kodu genetycznego.
Istotna rzecz, na którą trzeba zwrócić uwagę, to fakt, iż dane osobowe dotyczą osób fizycznych, co implikuje z kolei, iż nie podlegają ochronie prawnej na gruncie RODO dane osób prawnych oraz jednostek organizacyjnych mających zdolność prawną, a nieposiadających osobowości prawnej. Tak samo rzecz się ma, jeśli chodzi o osoby fizyczne reprezentujące osoby prawne (takie jak np. spółki kapitałowe) – mocą przepisów szczególnych niektóre dane osobowe takich podmiotów podlegają ujawnieniu (m.in. w KRS czy CRBR). W przypadku jednoosobowej spółki z o.o. informacje dotyczące osoby fizycznej mogą okazać się tożsame z informacjami dotyczącymi osoby prawnej, z kolei w przypadku osób fizycznych prowadzących działalność gospodarczą, katalog danych jawnych, udostępnianych w CEIDG, może być ograniczony wolą przedsiębiorcy (zgodnie z art. 43 ust. 1 ustawy z dnia 6 marca 2018 roku – o Centralnej Ewidencji i Informacji o Działalności Gospodarczej i Punkcie Informacji dla Przedsiębiorcy (Dz. U. z 2019 r., poz. 1291), CEIDG udostępnia zawarte w niej dane i informacje, o których mowa w art. 5 ust. 1 i 2, z wyjątkiem numeru PESEL, daty urodzenia oraz danych kontaktowych, o których mowa w art. 5 ust. 1 pkt 7, w przypadku gdy, podając je, osoba uprawniona sprzeciwiła się ich udostępnianiu w CEIDG).
Na gruncie przepisów RODO możemy wyróżnić trzy podstawowe kategorie danych osobowych:
tzw. zwykłe dane osobowe
szczególne dane osobowe z art. 9 RODO (tzw. dane wrażliwe)
dane dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa (wymienione w art. 10 RODO).
Jeśli chodzi o zwykłe dane osobowe, to co do zasady można do nich zaliczyć wszystkie dane, których nie można zaklasyfikować do pozostałych kategorii. O ile takimi danymi będą przykładowo imię, nazwisko, NIP, PESEL, czy wykonywany zawód, o tyle przymiotu zwykłych danych osobowych nie będą posiadały takie informacje jak wizerunek, grupa krwi, odcisk linii papilarnych, temperatura ciała, czy zawartość alkoholu w wydychanym powietrzu.
Szczególne dane osobowe (dane wrażliwe) tym różnią się od zwykłych danych osobowych, że ze względu na ich charakter przetwarzanie jest zasadniczo zabronione. Zakaz ten wynika z art. 9 ust. 1 RODO, który stanowi:
„Zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.”.
Nie ma on jednak charakteru absolutnego – zgodnie z art. 9 ust. 2 RODO, nawet dane wrażliwe będą mogły być przetwarzane, jeśli spełniony jest choćby jeden z poniższych warunków:
Co więcej, z przepisu art. 9 ust. 1 RODO wynikają 4 grupy danych wrażliwych:
O ile dane z pkt 1 nie wymagają szerszego omówienia, o tyle należy pochylić się nad tym, jakie faktory determinują pozostałe grupy danych.
Dane genetyczne zdefiniowane są w art. 4 pkt 13 RODO i oznaczają dane osobowe dotyczące odziedziczonych lub nabytych cech genetycznych osoby fizycznej, które ujawniają niepowtarzalne informacje o fizjologii lub zdrowiu tej osoby i które wynikają w szczególności z analizy próbki biologicznej pochodzącej od tej osoby fizycznej. Jak wskazuje P. Fajgielski, „(…) W motywie 34 preambuły wskazano, że dane genetyczne to dane dotyczące odziedziczonych lub nabytych cech genetycznych osoby fizycznej, uzyskane z analizy próbki biologicznej danej osoby fizycznej, w szczególności z analizy chromosomów, kwasu dezoksyrybonukleinowego (DNA) lub kwasu rybonukleinowego (RNA) lub z analizy innych elementów umożliwiających pozyskanie równoważnych informacji. Informacje te mogą wskazywać np. na predyspozycje osoby do wystąpienia różnych chorób. (…)”.
Z kolei dane biometryczne oznaczają dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne (art. 4 pkt 14 RODO). Oprócz kategorii wskazanych expressis verbis w powyższym przepisie, w ramach tej grupy coraz częściej wykorzystywane są inne kategorie danych, jak np. obraz tęczówki oka, geometria dłoni, układ naczyń krwionośnych dłoni (odzwierciedlające różnorodne cechy fizyczne lub fizjologiczne). Danymi biometrycznymi mogą być również informacje dotyczące sposobu zachowania się człowieka, a więc cech behawioralnych, jak np. brzmienie głosu, sposób poruszania się. We współczesnych czasach dane biometryczne są coraz częściej wykorzystywane np. w dokumentach tożsamości, w systemach zabezpieczeń dostępu, w bankomatach itp..
Wreszcie, zgodnie z art. 4 pkt 15 RODO, przez dane dotyczące zdrowia należy rozumieć dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej – w tym o korzystaniu z usług opieki zdrowotnej – ujawniające informacje o stanie jej zdrowia. Definicja ta jest dosyć szeroka, gdyż obejmuje nie tylko informacje odnoszące się do zdrowia fizycznego lub psychicznego osoby (np. informacja, na jakie schorzenie cierpi osoba), ale obejmują również informacje o korzystaniu z usług opieki zdrowotnej (np. wizyt u lekarza, świadczeń medycznych, przepisanych lekarstw itp.). W przepisie nie wskazano explicite informacji dotyczących nałogów danej osoby, jednakże zgodnie z większościowym poglądem w doktrynie, również informacje o nałogach czy uzależnieniach wchodzą w zakres danych dotyczących zdrowia.
Na koniec wypada wspomnieć także, czym są dane dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa (nienależące ani do kategorii zwykłych danych osobowych, ani do kategorii szczególnych danych osobowych). Kategoria ta odnosi się danych dotyczących wyroków skazujących oraz naruszeń prawa. Mimo, że polski ustawodawca przyznał omawianej kategorii danych status danych wrażliwych, prawodawca unijny nie uwzględnia powyższych danych w katalogu danych wrażliwych. Zgodnie bowiem z treścią art. 10 ust. 1 RODO,
„Przetwarzania danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa na podstawie art. 6 ust. 1 wolno dokonywać wyłącznie pod nadzorem władz publicznych lub jeżeli przetwarzanie jest dozwolone prawem Unii lub prawem państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą. Wszelkie kompletne rejestry wyroków skazujących są prowadzone wyłącznie pod nadzorem władz publicznych.”.
Nie wchodząc w szczegóły dotyczące tej grupy danych, trzeba jedynie zasygnalizować, że rejestrami, o których mowa w zdaniu drugim powyższego przepisu, są Krajowy Rejestr Karny oraz Rejestr Sprawców Przestępstw na Tle Seksualnym.
Pojęcie danych osobowych na gruncie RODO jest bardzo szerokie i możemy uznać, że każda informacja odnosząca się do pewnej indywidualnie wskazanej osoby tę definicję wypełnia. Bardzo ważne jest także określenie kategorii danych, bowiem ma to wpływ na istnienie możliwości przetwarzania konkretnej informacji. Szczególne istotne jest przestrzeganie zakazu przetwarzania danych szczególnych (wrażliwych), choć i tutaj prawodawca unijny przewidział szereg wyłączeń. W razie wątpliwości w konkretnej sprawie warto przed podjęciem decyzji o przetwarzaniu skonsultować się z profesjonalnym doradcą w zakresie RODO, co zminimalizuje ryzyko powstania po stronie podmiotu przetwarzającego dane zapłaty administracyjnej kary pieniężnej bądź odszkodowania.
Glumińska-Pawlic Jadwiga, Bielecka Dominika, Derela Klaudia, Grzybczyk Paulina, Hofman Artur, Markowicz Jan, Mikuła Marek, Mrozińska Agata , Oleś Artur, Orpik Klaudia, Sikorski Jakub i Zarzycki Łukasz. 4. Rozporządzenie 2016/679. W: Działalność gospodarcza w sektorze MŚP. Wolters Kluwer Polska, 2020.
Kuba Magdalena. Art. 10. W: RODO. Ogólne rozporządzenie o ochronie danych. Komentarz. Wolters Kluwer Polska, 2018.
← Środki ochrony prawnej przed nadużyciami władzy publicznej w czasie epidemii	Zasady przetwarzania danych osobowych na gruncie RODO →