Czy RODO dotyczy zmarłych i jak to wpływa na ochronę danych?
RODO co do zasady nie obejmuje danych osób zmarłych, ponieważ rozporządzenie chroni wyłącznie osoby żyjące w momencie przetwarzania danych, co wynika z motywu 27 i definicji osoby, której dane dotyczą [1][2][3][4]. Państwa członkowskie mogą jednak wprowadzać własne regulacje odnośnie danych pośmiertnych, dlatego zakres i standard praktyk różni się w Europie [1][2]. Jednocześnie informacje o zmarłym mogą ujawniać dane osób żyjących, a wtedy ochrona na gruncie RODO nadal obowiązuje i wpływa na ochronę danych tych osób [3][5].
Czy RODO dotyczy osób zmarłych?
Nie. Motyw 27 preambuły jasno wskazuje, że RODO nie ma zastosowania do danych osób zmarłych, a „osoba, której dane dotyczą” to osoba fizyczna możliwa do zidentyfikowania, która żyje w chwili przetwarzania [1][2][3][4]. Ochrona przewidziana przez rozporządzenie przysługuje zatem wyłącznie osobom żyjącym, a nie podmiotom prawnym, jednostkom organizacyjnym ani pamięci o osobie po śmierci [3][4].
Jednocześnie Unia nie ustanowiła jednolitego, wspólnotowego reżimu dla danych pośmiertnych: motyw 27 pozostawia państwom członkowskim swobodę przyjmowania krajowych przepisów w tym obszarze, co oznacza, że treść i skala ochrony po śmierci może być rozstrzygana na poziomie krajowym [1][2].
Na czym polega znaczenie momentu przetwarzania?
O wyłączeniu danych spod RODO decyduje moment operacji na danych. Jeżeli przetwarzanie miało miejsce, gdy dana osoba żyła, to takie działania ocenia się według RODO niezależnie od późniejszej śmierci tej osoby [5]. Przedmiotem ochrony jest więc przetwarzanie dotyczące osoby żyjącej w chwili przetwarzania, a nie status po czasie [3][4].
Jeżeli natomiast określone przetwarzanie dotyczy wyłącznie danych po śmierci, to co do zasady nie podlega ono rozporządzeniu. Ocena legalności i dopuszczalności ujawnienia powinna wtedy opierać się na innych przepisach niż RODO, w tym na normach prawa krajowego przewidzianych właśnie dla danych pośmiertnych [1][2][6][7].
Co w praktyce oznacza wyłączenie danych zmarłych spod RODO?
Brak zastosowania RODO do danych osób zmarłych nie oznacza dowolności. Znaczenie mają m.in. regulacje prawa cywilnego, spadkowego, autorskiego, archiwalnego, tajemnicy zawodowej, tajemnicy medycznej, ochrony dóbr osobistych oraz regulaminy usług i platform, które mogą ograniczać lub warunkować dostęp oraz publikację informacji o zmarłym [6][7]. W szczególności dobra osobiste osób bliskich, w tym kult pamięci o osobie zmarłej, mogą być dochodzone na drodze cywilnej [6][7].
W wielu sytuacjach te same dokumenty dotyczące zmarłego zawierają również dane osób żyjących. Taka część materiału nadal podlega RODO i wymaga odrębnego potraktowania, zgodnie z zasadami i podstawami prawnymi przetwarzania danych osób żyjących [3][5].
Jak rozgraniczać dane zmarłego a dane osób żyjących?
Na początku trzeba ustalić status osoby w chwili konkretnego przetwarzania oraz zidentyfikować zakres informacji: czy dane odnoszą się wyłącznie do zmarłego, czy także do osób żyjących, których prawa i wolności mogą być dotknięte ujawnieniem [3][5]. Jeżeli dokument obejmuje dane żyjących, należy zastosować do tej części instrumenty RODO, w tym dobranie adekwatnej podstawy przetwarzania i respektowanie zasad minimalizacji oraz rozliczalności [3][8].
Następnie informacje powinny zostać rozdzielone: dane dotyczące zmarłego ocenia się według odpowiednich przepisów poza RODO, a dane żyjących według RODO. Zakres ujawnienia należy ograniczyć do niezbędnego minimum i udokumentować decyzje co do tego, które fragmenty ujawniono, ograniczono lub utajniono w celu ochrony praw osób żyjących [8][5].
Kiedy administrator powinien odmówić, a kiedy udzielić informacji o zmarłym?
Administrator nie powinien automatycznie odmawiać odpowiedzi, powołując się na RODO, gdy wniosek dotyczy wyłącznie danych osób zmarłych. Podstawę odmowy lub udostępnienia należy ocenić na gruncie innych przepisów, uwzględniając ochronę dóbr osobistych bliskich, tajemnice prawnie chronione oraz regulacje sektorowe [6][7].
Jeżeli wniosek obejmuje zarówno dane zmarłego, jak i dane osób żyjących, administrator powinien rozdzielić informacje i zastosować RODO do części dotyczącej osób żyjących, z właściwą podstawą prawną przetwarzania oraz wdrożonymi zasadami ograniczenia celu i minimalizacji [3][8][5].
Dlaczego informacja o zmarłym może wpływać na ochronę danych osób żyjących?
Publikacja lub udostępnienie informacji o zmarłym nierzadko ujawnia tożsamość, relacje rodzinne bądź inne wrażliwe aspekty dotyczące osób żyjących. Taka informacja w zakresie odnoszącym się do osób żyjących pozostaje pod ochroną RODO i podlega zasadom zgodnego z prawem przetwarzania, ocenie ryzyka oraz ograniczeniu dostępu [3][5].
W materiałach o charakterze historycznym lub genealogicznym wyłączenie dotyczące danych pośmiertnych nie przekłada się na pełną swobodę publikacji, jeżeli dokumenty równolegle zawierają dane osób żyjących, które nadal są chronione przepisami RODO [9].
Jakie obszary działalności wymagają szczególnej uwagi?
Instytucje prowadzące dokumentację, podmioty realizujące zadania publiczne, organizacje świadczące usługi cyfrowe, a także podmioty sektora ochrony zdrowia oraz finansów, obracające informacjami o zmarłych, muszą każdorazowo oceniać, czy przetwarzane dane odnoszą się również do osób żyjących i czy zachodzi podstawa z RODO dla tej części informacji [3][8]. Jednocześnie konieczne jest badanie ograniczeń wynikających z przepisów szczególnych poza RODO, w tym dotyczących dokumentacji, archiwizacji oraz tajemnic zawodowych [6][7][8].
Ile czasu obowiązuje ochrona danych po śmierci w świetle RODO?
RODO nie ustanawia jednolitego unijnego okresu ochrony danych po śmierci, ponieważ całokształt rozwiązań w tej sferze pozostawiono prawu krajowemu państw członkowskich poprzez motyw 27 [1][2]. Czas i zakres dostępności oraz ograniczeń przetwarzania danych pośmiertnych wynikają więc z ustaw szczególnych oraz z norm dotyczących dokumentacji, archiwów, tajemnic zawodowych i ochrony dóbr osobistych [6][7].
Co zrobić, gdy naruszenie danych nastąpiło za życia osoby, która później zmarła?
Jeżeli przetwarzanie lub naruszenie danych miało miejsce, gdy osoba żyła, podlega ono ocenie na gruncie RODO mimo późniejszej śmierci. Ewentualne postępowanie przed organem nadzorczym może koncentrować się na zdarzeniach sprzed śmierci, ponieważ to wtedy doszło do przetwarzania danych osoby żyjącej [5]. Późniejsze operacje na danych, już po śmierci, zasadniczo nie podlegają rozporządzeniu, chyba że dotyczą także danych osób żyjących [1][2][5].
Podsumowanie
RODO co do zasady nie obejmuje danych osób zmarłych, co wprost wynika z motywu 27, jednak państwa członkowskie mogą tworzyć własne regulacje w tym obszarze [1][2]. Oceniając każdą sprawę, należy ustalić moment przetwarzania oraz wyodrębnić dane osób żyjących, które wciąż podlegają ochronie danych na gruncie RODO [3][5]. Nawet bez zastosowania rozporządzenia kluczowe są inne mechanizmy ochrony, w tym dobra osobiste, tajemnice prawnie chronione i regulacje dokumentacyjne, które ograniczają zakres ujawnienia informacji o zmarłym [6][7].
Wykorzystane materiały
- https://eur-lex.europa.eu/legal-content/EN/ALL/?uri=celex:32016R0679&;tid=%20111503798
- https://gdpr-info.eu/recitals/no-27/
- https://commission.europa.eu/law/law-topic/data-protection/data-protection-explained_en
- https://eur-lex.europa.eu/legal-content/DE-HR-EN/TXT/?uri=CELEX:32016R0679
- https://bip.brpo.gov.pl/pl/content/rpo-syn-poslanki-ujawnienie-danych-osobowych-puodo-postepowanie
- https://uck.pl/content/download/Szkolenie—Ochrona-danych-osobowych-Podstawowe-pojecia-i-informacje.pdf
- https://uck.pl/content/download/2022/09/Szkolenie-na-strone-UCK_2022.pdf
- https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/application-gdpr_en
- https://commission.europa.eu/law/law-topic/data-protection/data-protection-explained_en
CyberThreat.pl to zespół pasjonatów i ekspertów cyberbezpieczeństwa, którzy przekładają skomplikowane zagadnienia na praktyczne porady i rzetelne analizy. Wierzymy, że wiedza i świadomość to najlepsza ochrona przed zagrożeniami cyfrowego świata. Nasze treści tworzymy z myślą o wszystkich użytkownikach internetu, dbając o wiarygodność, przejrzystość oraz edukację. CyberThreat.pl – szyfrujemy Twoją ciekawość!