RODO i dane osobowe. Kiedy informacja podlega ochronie?

Dane osobowe to nie tylko imię i nazwisko. Sprawdź, kiedy adres e-mail, IP, informacje o firmie lub dane pseudonimizowane podlegają RODO oraz jakie obowiązki wiążą się z ich przetwarzaniem.

Jak RODO definiuje dane osobowe?

RODO chroni informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Identyfikacja może nastąpić bezpośrednio, na przykład przez imię i nazwisko, albo pośrednio, z wykorzystaniem jednego lub kilku identyfikatorów. Nie trzeba więc znać nazwiska, aby informacja podlegała ochronie. Wystarczy, że w konkretnych okolicznościach można powiązać ją z określoną osobą.

Przy ocenie warto zadać trzy pytania: czy informacja dotyczy człowieka, czy można ustalić jego tożsamość oraz czy administrator lub inny podmiot może połączyć tę informację z dostępnym identyfikatorem. Znaczenie ma kontekst, dostępne zasoby i możliwość zestawienia danych. Samotny fragment informacji może wydawać się neutralny, ale w połączeniu z innymi danymi pozwalać na rozpoznanie konkretnej osoby.

Do danych osobowych mogą należeć między innymi imię i nazwisko, numer dokumentu, adres zamieszkania, numer telefonu, adres e-mail przypisany do konkretnego człowieka, adres IP, dane lokalizacyjne, informacje o dochodach, dane bankowe i dokumentacja medyczna. To, czy dana informacja podlega RODO, zależy jednak od możliwości identyfikacji, a nie wyłącznie od jej rodzaju.

Czy adres e-mail, adres IP i dane firmy podlegają RODO?

Imienny adres e-mail zwykle identyfikuje osobę, na przykład anna.nowak@firma.pl. Ogólny adres kontaktowy, taki jak biuro@firma.pl, może nie wskazywać konkretnego człowieka. Jeśli jednak wiadomo, kto obsługuje tę skrzynkę, albo można ustalić to na podstawie innych informacji, adres może w danym kontekście stać się daną osobową.

Podobnie należy oceniać adres IP. Sam ciąg cyfr nie zawsze pozwala od razu wskazać użytkownika, ale może być daną osobową, jeśli w określonych okolicznościach da się przypisać go do konkretnej osoby. Znaczenie mogą mieć dodatkowe informacje dostępne administratorowi lub innemu podmiotowi. W serwisach internetowych warto więc uwzględniać IP, identyfikatory urządzeń i dane lokalizacyjne w ocenie prywatności, zamiast z góry uznawać je za anonimowe.

Może Cię zainteresować: Jak sprawdzić stan konta w PKO SA i jakie masz możliwości dostępu?

Dane osoby prawnej jako takiej, na przykład nazwa spółki czy jej ogólny adres, zasadniczo nie są danymi osobowymi. RODO może jednak obejmować informacje o pracowniku, członku zarządu, przedsiębiorcy będącym osobą fizyczną lub pełnomocniku, jeśli pozwalają ustalić konkretną osobę. Dotyczy to osób fizycznych niezależnie od tego, czy występują jako klienci, pracownicy, przedsiębiorcy czy przedstawiciele organizacji.

Jakie dane zalicza się do szczególnych kategorii?

RODO wyróżnia dane szczególnych kategorii, które wymagają podwyższonej ochrony. Należą do nich informacje ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne oraz przynależność do związków zawodowych. Kategoria ta obejmuje także dane genetyczne, dane biometryczne wykorzystywane do jednoznacznej identyfikacji, informacje o zdrowiu, życiu seksualnym i orientacji seksualnej.

Zobacz także: Jak wybrać hosting i zadbać o bezpieczeństwo strony firmowej w Kraju Saary

Przetwarzanie takich danych jest co do zasady zakazane, ale przepisy przewidują wyjątki. Mogą one obejmować między innymi wyraźną zgodę osoby albo określone podstawy związane z interesem publicznym. W praktyce administrator powinien sprawdzić zarówno ogólną podstawę prawną przetwarzania, jak i właściwy wyjątek pozwalający użyć danych szczególnej kategorii. Sama potrzeba biznesowa nie wystarcza, by uzasadnić takie działanie.

Dane o wyrokach skazujących i naruszeniach prawa podlegają odrębnym, szczególnym ograniczeniom. Nie należy automatycznie zaliczać ich do katalogu szczególnych kategorii z art. 9 RODO, ponieważ przepisy traktują je osobno.

Zobacz także: Jakie dane osobowe może przetwarzać pracodawca zgodnie z RODO?

Czy RODO obejmuje dane papierowe i pseudonimizowane?

RODO dotyczy nie tylko plików, systemów informatycznych i poczty elektronicznej. Obejmuje również uporządkowane zbiory papierowe, takie jak kartoteki czy dokumentacja, jeśli można odnaleźć w nich informacje według określonych kryteriów. Samo prowadzenie bazy lub dokumentacji może oznaczać przetwarzanie danych.

Przetwarzanie to szeroki zestaw działań: zbieranie, utrwalanie, przechowywanie, przeglądanie, wykorzystywanie, ujawnianie, przesyłanie, ograniczanie i usuwanie informacji. Obowiązki mogą więc dotyczyć zarówno firmy przechowującej dane klientów, jak i osoby, która przegląda je lub przekazuje innemu odbiorcy.

Przeczytaj także: Jak stworzyć stronę www w notatniku i na co zwrócić uwagę?

Pseudonimizacja polega na zastąpieniu bezpośrednich identyfikatorów, takich jak nazwisko, kodem lub innym oznaczeniem. Jeśli jednak istnieje możliwość ponownego przypisania kodu do osoby, dane nadal podlegają RODO i trzeba je odpowiednio zabezpieczać. Inaczej jest z informacjami rzeczywiście zanonimizowanymi. Nie są one danymi osobowymi, jeśli identyfikacja nie jest rozsądnie możliwa, także po zestawieniu ich z innymi dostępnymi zasobami.

Jak bezpiecznie przetwarzać dane osobowe?

Ustalenie, że informacja jest daną osobową, to dopiero początek. Administrator powinien określić cel i podstawę prawną przetwarzania, a następnie zebrać tylko informacje potrzebne do realizacji tego celu. Powinien również ograniczyć dostęp do danych i przechowywać je nie dłużej, niż jest to uzasadnione. RODO wymaga między innymi zgodności z prawem, rzetelności i przejrzystości, ograniczenia celu, minimalizacji danych, prawidłowości, ograniczenia przechowywania, integralności, poufności oraz rozliczalności. Administrator musi umieć wykazać, że stosuje te zasady.

Przeczytaj także: Jakie dane osobowe obejmuje ochrona RODO?

Ryzyko naruszenia pojawia się nie tylko przy ataku na system. Może nim być wysłanie korespondencji do niewłaściwego odbiorcy, udostępnienie danych nieuprawnionej osobie, publikacja bez prawidłowej anonimizacji, zagubienie nośnika albo nieuprawniony dostęp do bazy. Zagrożeniem jest również działanie złośliwego oprogramowania. W 2025 roku administratorzy zgłosili Prezesowi UODO 22 435 naruszeń ochrony danych, wobec 14 842 rok wcześniej, co oznacza wzrost o 51 procent. W tym samym okresie do UODO wpłynęło 12 827 skarg, w porównaniu z 8 056 w 2024 roku.

Przed zebraniem lub udostępnieniem informacji warto sprawdzić, czy rzeczywiście są potrzebne, komu będą dostępne i jak długo trzeba je przechowywać. W przypadku witryn internetowych oznacza to również przemyślenie zakresu logów, dostępu do poczty i baz danych oraz zabezpieczeń kopii zapasowych. Ochrona obejmuje cały cykl życia danych, od ich pozyskania po usunięcie, a nie tylko moment przechowywania na serwerze.

Wykorzystane materiały

https://uodo.gov.pl/pl/138/4555
https://europa.eu/youreurope/business/governance-and-sustainability/digital-and-data-compliance/data-protection-gdpr/index_en.htm
https://uodo.gov.pl/file/7930
https://uodo.gov.pl/data/filemanager_pl/641.pdf