Czy podanie imienia i nazwiska jest naruszeniem danych osobowych?

Imię i nazwisko co do zasady to dane osobowe, ponieważ umożliwiają identyfikację osoby fizycznej lub mogą to zrobić w połączeniu z innymi informacjami [1][2]. Jednocześnie samo podanie imienia i nazwiska nie jest automatycznie naruszeniem danych osobowych. Do naruszenia dochodzi dopiero wtedy, gdy przetwarzanie jest bezprawne, następuje ujawnienie bez podstawy lub dochodzi do działania niezgodnego z celem przetwarzania [3][1].

Czym są dane osobowe w rozumieniu RODO?

Dane osobowe w RODO to wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Osoba jest możliwa do zidentyfikowania, jeśli można ją określić bezpośrednio lub pośrednio na podstawie dostępnych informacji [1]. Ta definicja jest szeroka i obejmuje zarówno pojedyncze identyfikatory, jak i zestawy informacji, które łącznie pozwalają na identyfikację [1].

W oficjalnych materiałach UE imię i nazwisko jest wskazywane wprost jako klasyczny identyfikator osoby, co potwierdza zakres ochrony przewidziany przez RODO dla takich danych [1].

Czy imię i nazwisko to dane osobowe?

Tak. Imię i nazwisko jest uznawane za dane osobowe, ponieważ w większości sytuacji pozwala na zidentyfikowanie konkretnej osoby albo czyni to możliwym po zestawieniu z innymi informacjami [1][2]. Urząd Ochrony Danych Osobowych podkreśla w komunikatach, że imię i nazwisko identyfikuje człowieka i podlega reżimowi ochrony danych [2].

W praktyce znaczenie ma kontekst i zestaw informacji. Samo nazwisko nie zawsze zapewnia identyfikację, natomiast połączenie imienia i nazwiska zwykle już tak, zwłaszcza gdy występują informacje towarzyszące zwiększające identyfikowalność [3][4][1].

Czy podanie imienia i nazwiska jest naruszeniem RODO?

Nie. Samo podanie imienia i nazwiska nie oznacza jeszcze naruszenia danych osobowych. Naruszenie pojawia się dopiero wtedy, gdy dochodzi do bezprawnego przetwarzania, braku podstawy prawnej, nieuprawnionego ujawnienia lub użycia danych w sposób niezgodny z deklarowanym celem [3][1].

RODO dopuszcza przetwarzanie danych, w tym imienia i nazwiska, jeśli administrator dysponuje adekwatną podstawą wynikającą z przepisów oraz przestrzega zasad zgodności, rzetelności, przejrzystości, ograniczenia celu, minimalizacji, prawidłowości, ograniczenia przechowywania i integralności oraz poufności [1].

Jak krok po kroku ocenić, czy doszło do naruszenia?

Ocena powinna zaczynać się od ustalenia, czy doszło do przetwarzania danych osobowych, a więc czy imię i nazwisko pozwala na identyfikację osoby samodzielnie lub w połączeniu z innymi informacjami. Jeśli odpowiedź jest twierdząca, wchodzi w grę reżim RODO [1][2].

Kolejny element to istnienie właściwej podstawy prawnej i zgodność celu przetwarzania z tą podstawą. Bez podstawy przetwarzanie jest bezprawne i może stanowić naruszenie [1].

Następnie należy przeanalizować zakres udostępnienia i adekwatność. Ujawnienie danych ponad to, co niezbędne do realizacji celu, może naruszać zasadę minimalizacji oraz prowadzić do naruszenia poufności [3][1].

Istotne są także środki bezpieczeństwa. Nieprawidłowe zabezpieczenia skutkują ryzykiem dla praw i wolności osób, co może zostać zakwalifikowane jako naruszenie ochrony danych [1].

W ocenie ryzyka należy uwzględnić również to, że do identyfikacji często wystarcza połączenie imienia i nazwiska z innymi informacjami, dlatego każdy dodatkowy element kontekstu zwiększa ciężar prawny przetwarzania [4][1].

Dlaczego kontekst przetwarzania jest decydujący?

Kontekst określa identyfikowalność, zakres ujawnienia i ryzyko. W różnych procesach imię i nazwisko może pełnić inną funkcję i generować inne ryzyka, mimo że formalnie pozostaje tą samą informacją. Z tych powodów ocena zgodności zawsze wymaga odniesienia do celu, podstawy i niezbędnego zakresu przetwarzania [3][1].

W praktyce spory rzadko dotyczą tego, czy imię i nazwisko jest daną osobową. Najczęściej kluczowe jest to, czy sposób pozyskania, użycia i ujawnienia był zgodny z RODO oraz zasadą proporcjonalności [3][2].

Na czym polega aktualna linia interpretacyjna w Polsce?

Aktualny kierunek interpretacyjny jest spójny. Imię i nazwisko jest traktowane jako dane osobowe, a punkt ciężkości oceny przenosi się na legalność czynności przetwarzania, adekwatność i proporcjonalność ujawnienia oraz spełnienie obowiązków wynikających z RODO [3][1][2].

Stanowiska organów i materiały informacyjne podkreślają, że o naruszeniu przesądzają nieuprawnione działania na danych, a nie sam fakt, że dana informacja należy do kategorii danych osobowych [3][2].

Co zrobić, aby podanie imienia i nazwiska było zgodne z RODO?

Po pierwsze należy jednoznacznie określić cel i oprzeć przetwarzanie na właściwej podstawie prawnej. Każdy cel wymaga samodzielnej weryfikacji i dokumentacji zgodnie z wymogami RODO [1].

Po drugie trzeba ograniczyć zakres do minimum niezbędnego do realizacji celu, kontrolować dostęp oraz zapewnić adekwatne środki techniczne i organizacyjne chroniące poufność i integralność danych [1].

Po trzecie należy realizować obowiązki informacyjne, respektować prawa osób, stosować ograniczenie przechowywania, a w razie potrzeby przeprowadzić ocenę ryzyka i odnotować czynności przetwarzania w odpowiedniej dokumentacji [1].

Kiedy imię i nazwisko nie wystarcza do identyfikacji osoby?

Istnieją sytuacje, w których pojedyncza informacja nie pozwala na jednoznaczną identyfikację. Jednak połączenie imienia i nazwiska z dodatkowymi danymi zazwyczaj znacząco podnosi identyfikowalność. Właśnie ta możliwość łączenia informacji przesądza o ochronie przewidzianej przez RODO [4][1].

W praktyce oznacza to, że nawet jeśli pojedynczy element wydaje się niewystarczający, to w zestawieniu z innymi informacjami może już prowadzić do ustalenia tożsamości, więc nadal podlega zasadom RODO [4][1].

Podsumowanie

Imię i nazwisko stanowi dane osobowe, ponieważ umożliwia identyfikację osoby bezpośrednio lub pośrednio [1][2]. Samo podanie imienia i nazwiska nie jest jednak automatycznie naruszeniem danych osobowych. Naruszenie występuje, gdy przetwarzanie jest niezgodne z prawem, następuje bez podstawy lub w sposób nieproporcjonalny do celu [3][1]. W ocenie decydujące są identyfikowalność, podstawa prawna, cel, zakres ujawnienia i bezpieczeństwo [3][4][1][2].