Czy dane firmy są danymi osobowymi?

Nazwa spółki i jej ogólny adres kontaktowy zwykle nie podlegają RODO, ale dane pracowników, członków zarządu czy przedsiębiorców mogą być danymi osobowymi. Sprawdź, jak ocenić firmowe informacje i co zrobić, gdy pozwalają zidentyfikować konkretną osobę.

Czy dane firmy podlegają ochronie RODO?

Co do zasady dane dotyczące samej spółki lub innej osoby prawnej nie są danymi osobowymi. RODO chroni informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, a nie o podmiocie prawnym. Dlatego nazwa spółki, jej forma prawna, adres siedziby czy numer telefonu przypisany do firmowej centrali zwykle nie podlegają ochronie jako dane osobowe.

Podobnie jest z ogólnym adresem poczty elektronicznej, takim jak biuro@firma.pl albo kontakt@spolka.pl, jeśli służy do obsługi korespondencji przedsiębiorstwa i nie wskazuje na konkretną osobę. O tym, czy informacja ma charakter osobowy, nie decyduje jednak samo to, że znajduje się w dokumentach firmy albo została zebrana podczas kontaktu biznesowego. Istotne jest, kogo informacja dotyczy i czy umożliwia identyfikację osoby fizycznej.

Jedna informacja może odnosić się zarówno do przedsiębiorstwa, jak i do konkretnej osoby. Przykładowo nazwa spółki opisuje osobę prawną, natomiast imię i nazwisko jej członka zarządu wskazuje na osobę fizyczną. Właśnie dlatego firmowych danych nie warto automatycznie uznawać ani za objęte RODO, ani za wyłączone spod jego zasad.

Jak rozpoznać dane osobowe w firmowych informacjach?

Dane osobowe to wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Identyfikacja może być bezpośrednia, na przykład przez imię i nazwisko, albo pośrednia. W tym drugim przypadku znaczenie może mieć stanowisko, służbowy adres e-mail, numer telefonu lub połączenie kilku informacji, które razem pozwalają ustalić, o kogo chodzi.

Warto przeczytać: Jak wybrać niezawodny serwer i zadbać o bezpieczeństwo strony w Kraju Saary

Nie zawsze trzeba znać imię i nazwisko, aby możliwe było rozpoznanie osoby. Informacja o jedynym dyrektorze oddziału w małej miejscowości może wskazywać na konkretną osobę, jeśli w danym kontekście łatwo ustalić, kto pełni tę funkcję. Liczy się także możliwość zestawienia informacji z innymi dostępnymi danymi. Ocena zależy więc od treści, kontekstu i realnych możliwości identyfikacji.

Osoba fizyczna pozostaje podmiotem ochrony również wtedy, gdy występuje zawodowo, na przykład jako pracownik, członek zarządu, pełnomocnik lub reprezentant przedsiębiorstwa. Służbowy charakter informacji sam w sobie nie wyłącza RODO. Dane kontaktowe pracownika, który odpowiada za relacje z klientami, mogą być danymi osobowymi, jeśli pozwalają rozpoznać tę osobę.

Może Cię zainteresować: Przepisy RODO od kiedy obowiązują i co to oznacza?

Które dane firmowe mogą dotyczyć konkretnej osoby?

W relacjach biznesowych dane osobowe mogą obejmować imienne adresy e-mail, bezpośrednie numery telefonów, imiona i nazwiska osób kontaktowych oraz informacje o członkach organów spółki i pełnomocnikach. Przykładowo zapis „Anna Kowalska, członkini zarządu ABC sp. z o.o.” zawiera informację o spółce, ale jednocześnie identyfikuje konkretną osobę fizyczną.

Warto odróżniać dane dotyczące przedsiębiorstwa od danych osób z nim związanych. Numer rejestrowy spółki może opisywać samą osobę prawną, natomiast imię i nazwisko członka zarządu ujawnione w rejestrze dotyczy osoby fizycznej. Podobnie dane pracownika wskazanego jako osoba do kontaktu mogą podlegać RODO, jeżeli umożliwiają jego identyfikację.

Przeczytaj też: Kiedy trzeba powołać inspektora danych osobowych?

Znaczenie ma również to, czy informacja wskazuje na jedną osobę, czy na firmową funkcję lub kanał komunikacji. Ogólny adres kontakt@spolka.pl zwykle odnosi się do przedsiębiorstwa. Adres anna.kowalska@spolka.pl może natomiast wskazywać na konkretną osobę. Nie należy jednak rozstrzygać tego wyłącznie na podstawie formatu adresu. Trzeba uwzględnić jego przeznaczenie, sposób używania i to, czy w praktyce można połączyć go z konkretnym pracownikiem.

Czy dane jednoosobowej działalności gospodarczej są osobowe?

Inaczej należy oceniać informacje o spółce będącej odrębną osobą prawną, a inaczej dane przedsiębiorcy prowadzącego jednoosobową działalność gospodarczą. Jednoosobowa działalność nie jest odrębną od przedsiębiorcy osobą fizyczną. Jej nazwa często zawiera imię i nazwisko właściciela, dlatego może bezpośrednio identyfikować konkretną osobę.

Nie oznacza to, że każda informacja o działalności automatycznie jest daną osobową. Trzeba ocenić konkretne dane i kontekst, w którym są wykorzystywane. Informacja o usługach lub godzinach pracy może opisywać działalność, ale jeśli łączy się z nazwiskiem przedsiębiorcy, adresem czy numerem telefonu i pozwala ustalić jego tożsamość, może podlegać ochronie. Forma prowadzenia działalności nie zmienia podstawowej zasady: RODO dotyczy informacji o osobach fizycznych.

Przeczytaj także: Jak zgłosić inspektora ochrony danych przez ePUAP?

Wielkość firmy ani liczba jej pracowników nie rozstrzygają o tym, czy dana informacja jest osobowa. Mała spółka może przetwarzać dane osobowe swoich pracowników, a dane dużej spółki jako osoby prawnej mogą pozostawać poza zakresem RODO. Decyduje charakter podmiotu, którego dotyczą informacje, oraz możliwość identyfikacji osoby fizycznej.

Co zrobić, gdy firmowa informacja identyfikuje osobę?

Jeśli informacja dotyczy możliwej do zidentyfikowania osoby fizycznej, firma powinna traktować ją zgodnie z zasadami RODO. W praktyce należy ustalić cel przetwarzania i właściwą podstawę prawną, gromadzić tylko dane potrzebne do tego celu oraz zabezpieczyć je przed nieuprawnionym dostępem. Gdy wymagają tego przepisy, trzeba również przekazać osobie informacje o przetwarzaniu jej danych.

Może Cię zainteresować: Jak wybrać niezawodny hosting i zabezpieczyć stronę w Kraju Saary

Osobie, której dane są przetwarzane, mogą przysługiwać między innymi prawa dostępu do danych, ich sprostowania, usunięcia lub ograniczenia przetwarzania. Zakres tych praw zależy od okoliczności i nie oznacza, że każde żądanie musi zostać spełnione bezwarunkowo. Firma powinna rozpatrywać je zgodnie z obowiązującymi zasadami i charakterem przetwarzania.

Przydatna reguła brzmi: zamiast pytać wyłącznie, czy informacja pochodzi z firmy, należy sprawdzić, czy dotyczy możliwej do zidentyfikowania osoby fizycznej. Nazwa spółki i ogólny adres kontaktowy zwykle opisują osobę prawną. Imienny e-mail, bezpośredni numer telefonu czy dane przedsiębiorcy prowadzącego działalność mogą natomiast wskazywać na konkretną osobę. Ostateczna ocena zawsze zależy od informacji i kontekstu, w którym jest wykorzystywana.

Wykorzystane materiały

https://uodo.gov.pl/pl/676/4253
https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/application-gdpr_en
https://europa.eu/youreurope/business/governance-and-sustainability/digital-and-data-compliance/data-protection-gdpr/index_pl.htm
https://uodo.gov.pl/pl/493/2254