GIODO o danych osobowych

Czym są dane osobowe, jak interpretować art. 6 ust. 3 ustawy o ochronie danych osobowych?

Zgodnie z art. 6 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne (art. 6 ust. 2 ustawy). Stosownie do ust. 3 powołanego przepisu, informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu i działań. Danymi osobowymi będą zatem zarówno takie dane, które pozwalają na określenie tożsamości konkretnej osoby, jak i takie, które nie pozwalają na jej natychmiastową identyfikację, ale są, przy pewnym nakładzie kosztów, czasu i działań, wystarczające do jej ustalenia. Daną osobową będzie taka informacja, która pozwala na ustalenie tożsamości danej osoby, bez nadzwyczajnego wysiłku i nakładów, zwłaszcza przy wykorzystaniu łatwo osiągalnych i powszechnie dostępnych źródeł. Poza zakresem przedmiotowej definicji znajdzie się zatem taka informacja, na podstawie której identyfikacja osoby wymagać będzie nieracjonalnych, nieproporcjonalnie dużych nakładów kosztów, czasu lub działań.

W świetle powyższej definicji należy przyjąć, że danymi osobowymi nie będą pojedyncze informacje o dużym stopniu ogólności, np. nazwa ulicy i numer domu czy wysokość wynagrodzenia. Informacja ta będzie jednak stanowić daną osobową wówczas, gdy zostanie zestawiona z innymi dodatkowymi informacjami, które w konsekwencji można odnieść do konkretnej osoby. Przykładem pojedynczej informacji stanowiącej daną osobową jest natomiast numer PESEL, który zgodnie z art. 31a ust. 1 ustawy z dnia 10 kwietnia 1974 r. o ewidencji ludności i dowodach osobistych (t. j. Dz. U. z 2001 r. Nr 87, poz. 960 ze zm.) jest 11-cyfrowym, stałym symbolem numerycznym, jednoznacznie identyfikującym osobę fizyczną, w którym sześć pierwszych cyfr oznacza datę urodzenia (rok, miesiąc, dzień), kolejne cztery – liczbę porządkową i płeć osoby, a ostatnia jest cyfrą kontrolną służącą do komputerowej kontroli poprawności nadanego numeru ewidencyjnego. Można więc stwierdzić, że numer PESEL ex definitione stanowi daną osobową, a jej przetwarzanie podlega wszelkim rygorom przewidzianym w ustawie o ochronie danych osobowych.

Ustawodawca formułując art. 6 ustawy o ochronie danych osobowych posłużył się klauzulą generalną. Tym samym nie określił zamkniętego katalogu informacji stanowiących dane osobowe. Dlatego też przy rozstrzyganiu czy określona informacja lub informacje stanowią dane osobowe, w większości przypadków, nieuniknione jest dokonanie zindywidualizowanej oceny, przy uwzględnieniu konkretnych okoliczności oraz rodzaju środków czy metod potrzebnych w określonej sytuacji do identyfikacji osoby.

Czy pracodawca ma prawo publikować na swoich stronach internetowych takie dane osobowe pracowników jak ich imiona i nazwiska, stanowiska, dokładne miejsce pracy (numer pokoju, telefon, adres e-mail), bez zgody tych osób.

Takie informacje o pracowniku, jak jego imię i nazwisko, służbowy adres e-mail, czy też służbowy numer telefonu są ściśle związane z życiem zawodowym pracownika i z wykonywaniem przez niego obowiązków służbowych. Z uwagi na to dane te mogą być wykorzystywane przez pracodawcę – także bez zgody osoby, której one dotyczą.

Pogląd ten podzielił w swoim orzecznictwie również Sąd Najwyższy (wyrok z dnia 19 listopada 2003 r. o sygn. I PK 590/02) stwierdzając, że „najistotniejszym składnikiem zakładu pracy (przedsiębiorstwa) są ludzie, a funkcjonowanie zakładu wiąże się nierozłącznie z kontaktami zewnętrznymi – z kontrahentami, klientami (…). Dlatego pracodawca nie może być pozbawiony możliwości ujawniania nazwisk pracowników, zajmujących określone stanowiska w ramach instytucji. Przeciwne stanowisko prowadziłoby do sparaliżowania lub poważnego ograniczenia możliwości działania pracodawcy, bez żadnego rozsądnego uzasadnienia w ochronie interesów i praw pracownika.(…) Imiona i nazwiska pracowników widnieją na drzwiach w zakładach pracy, umieszcza się je na pieczątkach imiennych, pismach sporządzanych w związku z pracą, prezentuje w informatorach o instytucjach i przedsiębiorstwach, co oznacza, że zgodnie z powszechną praktyką są one zasadniczo jawne”;.

Nie ma więc przeszkód w umieszczeniu na stronach internetowych pracodawcy informacji o pracownikach, jeśli dane te nie dotyczą prywatnej sfery jego życia.

CZY PUBLIKACJE W PRASIE I KSIĄŻKACH PODLEGAJĄ PRZEPISOM USTAWY O OCHRONIE DANYCH OSOBOWYCH?

Publikacje w prasie i książkach, zwierające dane osobowe w formie nieuporządkowanej nie stanowią przetwarzania danych osobowych w zbiorze, a więc nie podlegają przepisom ustawy o ochronie danych osobowych. Ustawa o ochronie danych osobowych reguluje bowiem zasady przetwarzania danych w zbiorach. Istnienie zbioru jest obojętne jedynie w przypadku przetwarzania danych w systemie informatycznym. Pozyskiwanie danych w celu ich publikacji w prasie i książkach podlega natomiast ustawie, jeśli następuje ze zbioru danych osobowych. W takim przypadku ustawę stosuje podmiot udostępniający dane (administrator).

Podstawowe znaczenie ma tutaj definicja zbioru. Zgodnie z art. 7 pkt 1 ustawy zbiorem danych jest każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony czy podzielony funkcjonalnie. Dostępność dotyczy tu konkretnych danych osobowych, a nie innych informacji, które mogą w sposób pośredni umożliwić  dostęp do szukanych danych. Publikacje w prasie i książkach z samej istoty są publikacjami, w których pojawiają się dane osobowe, jednak zasadnicze znaczenie ma tutaj fakt, czy mamy do czynienia z przetwarzaniem w zbiorze. Niewątpliwie zgodnie z definicją określoną w art. 7 pkt 1 ustawy za przetwarzanie w zbiorze uznać należy publikowanie nazwisk w formie list, not biograficznych, czy też opracowań encyklopedycznych lub leksykalnych. Kryterium dostępu jest tu jasno określone i uporządkowane strukturalnie, zazwyczaj w formie alfabetycznej, czasami z dodatkowymi kryteriami (dziedzina, rok ukończenia szkoły itp.).

Informacji publikowanych w formie nieuporządkowanej, a więc np. nazwisk, które wymienia się w artykułach, nie moŻna uznać za formę przetwarzania danych osobowych w zbiorze. Tym samym nie podlegają one przepisom ustawy o ochronie danych.