Co naprawdę znaczy „dane osobowe”

Danymi osobowymi jest każda informacja dotycząca osoby zidentyfikowanej lub możliwej do zidentyfikowania. Całą wagę niesie to drugie określenie. Możliwa do zidentyfikowania znaczy: wystarczy, że powiązanie dałoby się wykonać rozsądnym nakładem – nie, że faktycznie się je wykonuje.

Liczy się także droga okrężna przez osoby trzecie

Rozstrzygający punkt wyjaśnił w 2016 roku najwyższy sąd: adres IP jest daną osobową także wtedy, gdy sam operator strony nie potrafi przypisać go nikomu. Wystarczy, że istnieją środki prawne pozwalające dotrzeć do nazwiska przez dostawcę dostępu.

Tym samym odpada w znacznej mierze popularna obrona „przecież nie wiemy, kto to jest”. Liczą się wszystkie rozsądnie dostępne środki – dla kogokolwiek, nie tylko dla podmiotu przechowującego dane.

Pseudonimowe to nie anonimowe

Oba pojęcia bywają utożsamiane, a różnica ma poważne skutki: dane pseudonimowe podlegają RODO w całości, anonimowe wcale.

Dane pod szczególną ochroną

Niewielka grupa danych podlega surowszej ochronie: zdrowie, pochodzenie etniczne, poglądy polityczne, religia, przynależność związkowa, życie seksualne, dane biometryczne i genetyczne. Obowiązuje wobec nich zasadniczy zakaz przetwarzania z węższymi wyjątkami.

• Ochrona obejmuje także wskazówki pośrednie: odwiedziny strony o określonej chorobie to dana o zdrowiu.
• Przy reklamie opartej na takich danych w grę wchodzi praktycznie tylko wyraźna zgoda – uzasadniony interes tu nie wystarcza.
• Kto prowadzi stronę o wrażliwej tematyce, powinien więc szczególnie ostrożnie podchodzić do osadzonych usług zewnętrznych.

Rekord bez nazwiska nie jest daną anonimową. Najczęściej to po prostu dana pod innym imieniem.