Przejdź do treści
← Powrót do artykułów
2026-11-04

Jakie dane są danymi osobowymi w rozumieniu RODO?

Jakie dane są danymi osobowymi w rozumieniu RODO?
Dane osobowe to nie tylko imię i nazwisko czy PESEL. Sprawdź, kiedy adres IP, identyfikator użytkownika, lokalizacja lub zestaw pozornie zwykłych informacji pozwalają ustalić tożsamość człowieka.

Co oznacza pojęcie danych osobowych?

Dane osobowe to wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. To szeroka definicja: informacja nie musi sama ujawniać imienia ani nazwiska, by podlegała ochronie. Wystarczy, że można ją powiązać z konkretnym człowiekiem bezpośrednio albo pośrednio, z użyciem środków, których wykorzystanie jest rozsądnie prawdopodobne.

Przy ocenie warto zadać dwa pytania: czy informacja dotyczy osoby fizycznej oraz czy tę osobę można zidentyfikować na podstawie dostępnych danych. Liczy się kontekst i całość informacji, a nie sama nazwa pola w systemie. Numer zapisany jako „ID użytkownika” może być daną osobową, jeśli administrator potrafi przypisać go do konkretnej osoby.

RODO wymienia przykładowo imię i nazwisko, numer identyfikacyjny, dane lokalizacyjne oraz identyfikator internetowy. Dane mogą też opisywać fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość człowieka. Nie jest to zamknięta lista, dlatego nowe rodzaje informacji również mogą podlegać ochronie.

Jakie informacje mogą identyfikować osobę?

Niektóre dane wskazują na konkretną osobę bezpośrednio. Inne nabierają takiego znaczenia dopiero po połączeniu z dodatkowymi informacjami. Przykłady obejmują:

Informacja nie musi być poufna ani szczególnie delikatna, żeby była daną osobową. Zwykły służbowy adres e-mail, dane kontaktowe pracownika czy identyfikator użytkownika mogą podlegać RODO, jeśli odnoszą się do możliwej do ustalenia osoby. Ochrona dotyczy ludzi niezależnie od ich roli: konsumenta, pracownika, przedsiębiorcy, członka zarządu czy osoby kontaktowej w firmie. Nie obejmuje natomiast samej osoby prawnej, choć informacje o jej pracownikach lub reprezentantach mogą być danymi osobowymi.

Może Cię zainteresować: Jak systemy kontroli dostępu zmieniają bezpieczeństwo w firmach i instytucjach

Znaczenie ma także łączenie pozornie mało charakterystycznych informacji. Data urodzenia, kod pocztowy i płeć mogą osobno nie wskazywać konkretnego człowieka, ale razem z innymi danymi mogą pozwolić go wyróżnić. Jeśli zestaw umożliwia identyfikację, nie przestaje być osobowy tylko dlatego, że nie zawiera nazwiska.

Czy adres IP, pseudonim i obraz z monitoringu to dane osobowe?

To zależy od okoliczności. Dynamiczny adres IP nie jest automatycznie daną osobową w każdym przypadku. Może nią być dla usługodawcy, jeżeli istnieje realna droga prawna i praktyczna, by uzyskać od dostawcy internetu informacje o abonencie i powiązać adres z konkretnym użytkownikiem. Ocenia się więc nie tylko to, co administrator już wie, lecz także dostępne mu rozsądnie prawdopodobne sposoby identyfikacji.

Przeczytaj też: Jak uruchomić komputer z pendrive’a z Windows 7?

Podobnie należy oceniać numer klienta, pseudonim, identyfikator urządzenia czy zapis aktywności w systemie. Jeśli można je połączyć z kontem, dokumentacją lub innym zbiorem danych i w ten sposób ustalić osobę, mogą podlegać RODO. Nagranie z monitoringu lub głos również mogą być danymi osobowymi, gdy pozwalają rozpoznać człowieka. Sama obecność obrazu albo dźwięku nie przesądza jednak o statusie: liczy się możliwość identyfikacji w konkretnych warunkach.

Przy ocenie identyfikowalności bierze się pod uwagę między innymi czas i koszt potrzebny do ustalenia tożsamości, dostępne technologie, możliwość uzyskania dodatkowych informacji oraz realną szansę połączenia zbiorów. Istotne jest również to, czy takie działania są zgodne z prawem i rozsądnie prawdopodobne. Nie ma jednego progu liczbowego, który pozwalałby w każdej sytuacji rozstrzygnąć, czy informacja jest osobowa.

Zobacz więcej: Kto może zostać inspektorem ochrony danych?

Czym różnią się dane zwykłe, wrażliwe i anonimowe?

Określenie „dane wrażliwe” jest potocznym skrótem odnoszącym się do szczególnych kategorii danych, których przetwarzanie podlega dodatkowym ograniczeniom. Należą do nich między innymi informacje o zdrowiu, pochodzeniu rasowym lub etnicznym, poglądach politycznych, przekonaniach religijnych, przynależności związkowej, życiu seksualnym lub orientacji seksualnej. Szczególną kategorię stanowią też dane genetyczne oraz dane biometryczne używane do jednoznacznej identyfikacji osoby.

Dane zwykłe również mogą podlegać ochronie. Adres e-mail, numer telefonu czy identyfikator użytkownika nie muszą ujawniać szczególnych informacji o człowieku, ale nadal są danymi osobowymi, jeżeli pozwalają go ustalić. To, że informacja nie jest wrażliwa, nie oznacza więc, że można przetwarzać ją bez uwzględnienia zasad RODO.

Zobacz więcej: Jak nowoczesne systemy kontroli dostępu usprawniają zarządzanie uczestnikami zajęć fitness i tanecznych

Pseudonimizacja nie jest anonimizacją. Polega między innymi na zastąpieniu bezpośrednich identyfikatorów kodem i oddzieleniu informacji, które pozwalają odwrócić ten zabieg. Ogranicza ryzyko, ale dane pozostają osobowe, jeśli można przypisać je do człowieka przy użyciu dodatkowych informacji.

Anonimizacja wyłącza dane spod RODO tylko wtedy, gdy identyfikacja nie jest już możliwa także po uwzględnieniu informacji dostępnych w praktyce. Usunięcie imienia i nazwiska może nie wystarczyć: osobę mogą wskazywać szczegółowa lokalizacja, rzadkie zdarzenie albo kombinacja pozostałych cech. Ogólna statystyka sprzedaży, której nie da się przypisać do klienta ani połączyć z innymi informacjami w celu jego identyfikacji, może być nieosobowa. Jeśli jednak jej szczegółowość pozwala wyodrębnić konkretną osobę, ocena może być inna.

Jak ocenić dane w konkretnym przypadku?

Administrator powinien analizować dane w kontekście konkretnego przetwarzania, a nie wyłącznie na podstawie ich formatu czy nazwy. Warto ustalić, do kogo informacja się odnosi, jakie inne zbiory są dostępne oraz czy połączenie ich pozwoli zidentyfikować osobę. Sam fakt, że administrator nie zna nazwiska, nie przesądza o anonimowości danych.

Przeczytaj też: Jak sprawdzić jaki ma się Windows?

Ocena powinna uwzględniać prawdopodobne metody identyfikacji, czas i koszt ich zastosowania, dostępne technologie oraz możliwość uzyskania informacji od innych podmiotów. W praktyce warto też ograniczać zakres gromadzonych danych do niezbędnego minimum i stosować zabezpieczenia odpowiednie do ryzyka. Jeżeli dane są pseudonimizowane, należy chronić również informacje pozwalające powiązać kod z osobą.

Dane dotyczące osoby zmarłej nie mieszczą się w definicji danych osobowych RODO. Nie oznacza to jednak, że każda informacja o osobie zmarłej jest pozbawiona ochrony: określone informacje mogą być objęte odrębnymi przepisami krajowymi lub innymi regulacjami.

Najważniejsza zasada jest prosta: o statusie informacji decyduje możliwość powiązania jej z osobą fizyczną w konkretnych okolicznościach. Dlatego zarówno pojedynczy identyfikator, jak i zestaw zwykłych danych może podlegać RODO, jeśli pozwala ustalić, kogo dotyczą.

Źródła

← Wróć do artykułów