Dane osobowe

Dane osobowedane osoboweDane osobowe to informacje, na podstawie których można bezpośrednio lub pośrednio zidentyfikować konkretną osobę fizyczną. Nie należą do nich informacje bardzo ogólne, ale jeśli po połączeniu z innymi danymi pozwalają one ustalić, kim jest dana osoba, również możemy nazwać je danymi osobowymi.

Aby stwierdzić, czy dany zestaw informacji może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby, należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do jej zidentyfikowania, oraz uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny. Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań.

Ustawodawca wyróżnił dwie kategorie danych osobowych.

Zbieranie danych osobowych

Zbieranie danych osobowych to powszechna praktyka, która towarzyszy nam w wielu sytuacjach – zarówno online, jak i w codziennym życiu. Dane te mogą obejmować imię, nazwisko, adres e‑mail, numer telefonu, PESEL czy adres zamieszkania. Firmy, szkoły, urzędy czy sklepy internetowe gromadzą je w konkretnym celu – np. aby założyć konto klienta, zapisać ucznia do szkoły, wystawić fakturę czy wysyłać newsletter.

Przykłady:

• Rejestracja w serwisie społecznościowym (np. Facebook) – podajesz imię, datę urodzenia, adres e‑mail.

• Składanie zamówienia w sklepie internetowym – wymagane są dane kontaktowe i adres dostawy.

• Wizyta u lekarza – dane osobowe są potrzebne do założenia karty pacjenta.

Ważne jest, by dane były zbierane zgodnie z przepisami prawa, za wiedzą i zgodą osoby, której dotyczą, oraz tylko w niezbędnym zakresie.

Zbieranie danych osobowych musi spełniać konkretne warunki, które są określone m.in. przez RODORODORODO obowiązujące w całej Unii Europejskiej. Oto najważniejsze zasady:

1. Zgoda osoby, której dane dotyczą
   Dane można zbierać tylko wtedy, gdy osoba wyrazi na to dobrowolną, konkretną, świadomą i jednoznaczną zgodę (np. zaznaczenie checkboxa, podpis).

2. Określony cel zbierania danych
   Dane muszą być zbierane w konkretnym i jasno określonym celu (np. zapis na newsletter, realizacja zamówienia). Nie można używać ich później do innych celów bez nowej zgody.

3. Minimalizacja danych
   Zbierane powinny być tylko te dane, które są niezbędne do osiągnięcia danego celu – nie wolno zbierać „na zapas”.

4. Przejrzystość
   Osoba, której dane są zbierane, musi być jasno poinformowana, m.in.:

• kto jest administratorem danych,

• w jakim celu dane są zbierane,

• jak długo będą przechowywane,

• komu mogą być udostępniane,

• jakie prawa jej przysługują.

5. Bezpieczeństwo danych
   Zbierający dane musi je odpowiednio chronić – przed dostępem osób nieupoważnionych, utratą czy wyciekiem.

6. Możliwość wycofania zgody
   Osoba musi mieć możliwość w każdej chwili wycofać zgodę i zażądać usunięcia swoich danych („prawo do bycia zapomnianym”).

Administrator danych osobowych (ADO)

Do obowiązków administratora danych osobowychadministrator danych osobowychadministratora danych osobowych należy:

• zapewnienie bezpieczeństwa danych osobowych (szyfrowanie danych, pseudonimizacjapseudonimizacjapseudonimizacja danych);

• spełnienie obowiązku informacyjnego osób, wobec których dane będą zbierane i przetwarzane;

• powołanie Inspektora Ochrony Danych (IOD), jeśli takiego powołania wymagają przepisy prawa;

• informowanie właściwych organów nadzoru o nieprawidłowościach lub naruszeniach bezpieczeństwa danych;

• prowadzenie rejestru czynności przetwarzania danych.

Inspektor ochrony danych (IOD)

Powołanie inspektora ochrony danych jest konieczne, gdy:

• przetwarzania dokonuje organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości (np. Narodowy Bank Polski, instytuty badawcze);

• główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania na dużą skalę, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą (np. sektor usług finansowych, sektor usług transportu lotniczego);

• główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych lub danych osobowych dotyczących wyroków skazujących i czynów zabronionych (np. prywatne centra medyczne, podmioty przetwarzające dane o skazaniach).

Dane osobowe w sieci

Obecnie niemal wszystkie przedsiębiorstwa działające w sieci posługują się narzędziami, które służą do śledzenia – i co więcej – profilowania użytkowników. Robią to za pomocą plików cookie, dzięki którym jest możliwe śledzenie ruchu na stronie oraz poznawanie preferencji użytkowników odwiedzających daną stronę. Narzędziem, po które firmy sięgają najczęściej, jest Google Analytics.

Google Analytics nie zbiera co prawda bezpośrednich danych o osobie, a jedynie dane techniczne, jednak przy dużej liczbie takich danych możliwe jest ujawnienie informacji, za pomocą których można zidentyfikować daną osobę. Dlatego w takim przypadku konieczne jest uzyskanie zgody użytkownika.

Dane osobowe w mediach społecznościowych

Obecnie portale społecznościowe nie zbierają wyłącznie podstawowych informacji o swoich użytkownikach, takich jak: imię i nazwisko, lokalizacja, zainteresowania czy adres e‑mail. Coraz większego znaczenia nabierają algorytmy, za pomocą których analizuje się treści, które użytkownik udostępnia w internecie. Algorytmy te dzięki wielkiej próbie statystycznej poznają człowieka, a administrator uzyskuje mnóstwo informacji na temat danej osoby. Media społecznościowe są zatem cennym źródłem informacji o każdym z nas, a co za tym idzie – dobrym miejscem dla różnego rodzaju działań marketingowych.

Facebook profiluje swoich użytkowników, dzięki czemu może dopasować informacje sponsorowane do konkretnej osoby. Jest to tzw. personifikacja reklamy. Pojęcie „administratora danych” obejmuje także administratora fanpage’a, który jest prowadzony np. na Facebooku.

Słownik