Jakie dane nie podlegają pod RODO?

Jakie dane osobowe nie podlegają RODO?

Wszyscy gadają o RODO, a ja mam wrażenie, że mało kto do końca łapie, kiedy to w ogóle nie ma zastosowania. To nie jest jakiś magiczny potwór, który czai się za każdym razem, gdy zapiszesz czyjeś imię.

RODO nie dotyczy zmarłych. To proste. Gdy kilka lat temu szukałem metryk mojego pradziadka w archiwum państwowym w Płocku, nikt nie zasłaniał się ochroną jego danych. To już jest historia, nie dane osobowe, które trzeba jakoś specjalnie chronić.

Z firmami to zupełnie inna bajka. Dane spółki jak NIP czy adres siedziby to nie są dane osobowe w rozumieniu RODO. One są publicznie dostępne w CEIDG czy KRS. Dlatego jak dzwoni do mnie handlowiec na numer firmowy, to jest okej, ale na moją prywatną komórkę już nie.

Albo weźmy taką zwykłą, domową sprawę. Trzymasz kontakty w telefonie. Adresy, telefony znajomych. To jest twoja prywatna sprawa, RODO tu nie wchodzi. To działalność czysto osobista, która nie ma nic wspólnego z zarabianiem pieniędzy czy jakąś firmą.

Pamiętam, jak w maju robiłem dla żony urodziny niespodziankę. Zrobiłem listę gości z numerami na prywatnej grupie w necie. To nie podlegało RODO, bo cel był mój, osobisty. Co innego, gdybym tę listę potem komuś sprzedał. Wtedy to już byłaby gruba sprawa.

Pytania i odpowiedzi

P: Jakie dane osobowe nie podlegają RODO? O: RODO nie ma zastosowania do danych osób zmarłych, danych podmiotów prawnych (np. firm) oraz danych przetwarzanych przez osoby fizyczne w ramach czynności o charakterze czysto osobistym lub domowym.

P: Czy dane firmy są chronione przez RODO? O: Nie, dane osoby prawnej, takie jak nazwa, NIP, REGON czy adres siedziby, nie są danymi osobowymi i nie podlegają ochronie RODO.

P: Czy RODO dotyczy osób zmarłych? O: Nie, ochrona danych osobowych w ramach RODO nie obejmuje informacji o osobach, które nie żyją.

Jakie dane osobowe nie podlegają ochronie?

Ochrona danych osobowych nie obejmuje wszystkich informacji. Status niektórych jest klarownie zdefiniowany.

• Osoby nieżyjące. Dane dotyczące zmarłych nie podlegają przepisom RODO. Przykładowo, informacje o śp. Anna Nowak, zmarłej w 2021 roku, traktowane są inaczej. Ich ochrona wynika z innych regulacji, nie RODO.
• Osoby prawne. Informacje o podmiotach takich jak spółki czy fundacje, na przykład dane firmy „Global Corp Sp. z o.o.” z siedzibą w Krakowie, nie stanowią danych osobowych. RODO chroni indywidualne osoby fizyczne.
• Cele osobiste. Przetwarzanie danych wyłącznie dla potrzeb prywatnych, niezwiązanych z żadną działalnością handlową czy zawodową, wyklucza zastosowanie reguł ochrony. Przykładem jest tworzenie listy gości na domowe przyjęcie, czy prywatny zbiór kontaktów rodzinnych.

Dodatkowe niuanse.

• Dane publicznie dostępne, jak adres siedziby "Solidbud S.A." widoczny w Krajowym Rejestrze Sądowym, dotyczą podmiotu prawnego. Nie podlegają one ochronie RODO.
• Historyczne zbiory danych, odnoszące się do minionych lat, osób dawno nieistniejących, jak archiwa miejskie czy parafialne, posiadają specyficzny status. Ich ochrona bywa ograniczona.
• Typowe użycie danych w ramach gospodarstwa domowego, np. notatki o wydatkach z imionami członków rodziny, pozostaje poza zakresem RODO. To sfera osobista.
• Dane zagregowane, które uniemożliwiają identyfikację konkretnej osoby, nie są objęte ochroną danych osobowych. To tylko statystyki, bez osobistego powiązania.

Jakich danych nie obejmuje RODO?

No więc tak, RODO to niby wszystko obejmuje, ale są pewne wyjątki, wiesz? Chodzi głównie o te dane firmowe, takie typowo dla osób prawnych, czyli na przykład dla spółek. Jak masz dane o nazwie firmy, jej formie prawnej, albo adres, to RODO tego nie rusza. To tak jakby firmę traktować inaczej niż człowieka, co ma sens, bo firma to nie osoba fizyczna, prawda?

Inna sprawa, że to nie dotyczy też takich sytuacji, kiedy dane są przetwarzane wyłącznie do celów prywatnych, albo takich, które są związane z bezpieczeństwem narodowym, albo jak coś się dzieje w związku z wymiarem sprawiedliwości. Też są wyjątki dla dziennikarzy, ale to już trochę inna bajka. Ale te firmowe, to tak na pewno nie. To chyba oczywiste, bo przecież inaczej by się nie dało prowadzić biznesu.

A, i jeszcze ważne, te dane dotyczące zmarłych osób też nie są objęte RODO. Czyli jak ktoś umrze, to jego dane już nie podlegają tym przepisom. Ale tu też są pewne niuanse, zależy kto i po co te dane chce mieć. Czasami trzeba się skonsultować, żeby mieć pewność.

Podsumowując, RODO nie obejmuje:

• Danych osób prawnych (np. dane spółek, firmy, formy prawnej, danych kontaktowych osoby prawnej).
• Przetwarzania danych wyłącznie do celów prywatnych.
• Przetwarzania danych w celu zapewnienia bezpieczeństwa narodowego.
• Przetwarzania danych w związku z działaniami wymiaru sprawiedliwości.
• Przetwarzania danych zmarłych osób.

Co nie zalicza się do danych osobowych?

No masakra, co to w ogóle znaczy, że coś nie jest dane osobowe? Cały czas o tym słyszę, RODO i w ogóle. Ale przecież wszystko jest o mnie! Albo o kimś. Mój numer telefonu to dane osobowe, a numer buta? Jeśli mam jedyny taki rozmiar to też? Dziwne.

Tak naprawdę nie zalicza się do danych osobowych tych, które zostały zanonimizowane skutecznie, absolutnie nie da się namierzyć konkretnej osoby. Czyli, jeśli wezmę i usunę wszystkie informacje, które wskazują na mnie, na przykład na moją siostrę, Karolinę Wójcik, lat 29, z Wrocławia, i zostanie tylko jej wzrost 170 cm i preferencja kawy z mlekiem, to już to nie jest jej. No chyba, że jest jedyna taka na świecie, wtedy lipa. To anonimizacja jest kluczowa. Musi być niemożliwe zidentyfikowanie osoby.

No dobra, ale jak to działa w praktyce? To nie jest takie łatwe chyba. Przecież firmy zbierają tyle o nas, nie? Moja historia wyszukiwania, co kupiłem ostatnio w Lidlu, nawet to, że lubię oglądać kotki na YouTube. To wszystko przecież jest o mnie.

Co nie zalicza się do danych osobowych:

• Dane zanonimizowane – takie, z których nie da się odtworzyć tożsamości osoby. To jest podstawa. Czyli jak wezmę listę 1000 osób i usunę ich imiona, nazwiska, adresy, PESEL-e, cokolwiek co by ich wskazało. Zostanie tylko płeć i wiek – no i to nie są już dane osobowe, bo ja, Jacek Nowak, lat 35, nie wiem kim jest ta osoba, której dane mam. To po prostu liczba, statystyka.
• Dane zagregowane i statystyczne – jak na przykład "80% Polaków pije kawę rano". To jest fakt, ale nie o mnie, Jacku, tylko o ogólnej populacji. Albo "średnia wieku klientów banku X w 2024 roku wynosi 42 lata". To nie jest dane osobowe nikogo konkretnego. Ważne, żeby nie było możliwości powiązania z konkretnym Kowalskim czy Nowakiem.
• Informacje o osobach zmarłych – często (ale nie zawsze, zależy od przepisów) dane osób, które już nie żyją, przestają być chronione jako dane osobowe. No bo kogo mają chronić? Zmarłego? Nie ma już tej osoby. To też ważne.

Czasami myślę o tym, jak mój kolega Paweł, informatyk, zawsze gada o tych wszystkich metadanych. Mówi, że to jest dopiero pole minowe. Niby coś nie jest daną osobową, a jak połączyć parę takich "nie-danych" to nagle okazuje się, że masz już pełen profil. Chyba chodzi o to, żeby było tak dobrze zanonimizowane, że nawet jak połączysz dziesięć różnych źródeł, to nadal nic. Trudne to.

Dodatkowe informacje, bo to nie takie proste:

• Pseudonimizacja to nie anonimizacja! – Często ludzie to mylą. Pseudonimizacja to zaszyfrowanie danych, albo zastąpienie ich jakimś identyfikatorem, ale nadal istnieje klucz do odszyfrowania lub powiązania z prawdziwą osobą. Czyli jest Paweł, ale w systemie widnieje jako "Użytkownik_ABC_123". Nadal mogę go zidentyfikować, jak mam ten klucz.
• Definicja jest ścisła – Prawo Unii Europejskiej (RODO, to słynne RODO) bardzo jasno mówi, że jeśli istnieje jakakolwiek możliwość (nawet mała) zidentyfikowania osoby, to nadal są to dane osobowe. Liczy się całokształt środków, które ktoś może wykorzystać.
• Dane o firmach (jednoosobowych) – Tu jest myląco. Jeśli moje nazwisko Jacek Nowak jest częścią nazwy firmy "Jacek Nowak Usługi IT", to dane tej firmy (adres, NIP) mogą być uznane za dane osobowe, bo odnoszą się do konkretnej osoby fizycznej prowadzącej działalność. Ale np. dane dużych spółek kapitałowych, gdzie nie ma bezpośredniego powiązania z pojedynczą osobą fizyczną, nie są danymi osobowymi. To tak na wszelki wypadek.
• Zawsze aktualne – Interpretacje przepisów mogą się zmieniać. To co dzisiaj jest anonimowe, jutro może nie być, bo pojawią się nowe technologie do deszyfracji czy łączenia danych. Trzeba być na bieżąco. To jest rok 2024, więc to, co mówię, jest aktualne teraz.
• Cele przetwarzania – Czasami nawet dane o chorobach mogą nie być danymi osobowymi, jeśli są to wyniki badań laboratoryjnych bez żadnych identyfikatorów, i mają służyć tylko do ogólnych badań statystycznych w medycynie. Ale to mega rzadkie i musi być super ścisłe.

No, koniec końców, jak ktoś chce, żeby jego dane nie były danymi osobowymi, to musi je tak przerobić, żeby nikt, ale to nikt nie był w stanie go zidentyfikować. To jest esencja.

Jakich danych nie dotyczy RODO?

Myślisz, że RODO to jakiś Wielki Brat, co pilnuje wszystkiego jak sołtys na dożynkach? A gdzie tam! To całe RODO jest jak pies obronny – pilnuje człowieka, a nie jego budy. Taka jest prawda.

Na chłopski rozum: RODO nie dotyczy danych firm i innych osób prawnych. Serio. Twoje dane, jako Zbyszka Nowaka, są chronione na amen. Ale dane firmy "Zbyszek-Budex S.A."? RODO ma to kompletnie w nosie. To tak jakbyś chciał chronić NIP firmy przed kradzieżą tożsamości. No absurd!

Czego RODO nie tyka nawet kijem przez szmatę:

• Nazwa firmy i jej forma prawna (czy to spółka z o.o. czy inna akcyjna, ganc egal).
• Adres siedziby firmy – niech se każdy bierze, po to jest, żeby listy dochodziły!
• Numer NIP, REGON, KRS – to są dane publiczne jak menu w barze mlecznym, chłopie!
• Ogólny firmowy email, taki jak biuro@ albo kontakt@ – ten adres nie ma uczuć i nie pójdzie na skargę, że dostaje spam o fotowoltaice po raz setny. To jest ważne, no mówię wam, ważne.

A co z firmą jednoosobową Janka Kowalskiego? No i tu jest myk! Dane samego Janka Kowalskiego jako osoby fizycznej są chronione, bo on jest człowiekiem z krwi i kości. Ale już sam NIP jego firmy to inna bajka. To jest pomieszane jak bigos po trzech dniach, ale zasada prosta: chronimy człowieka, nie jego papiery firmowe.

I jeszcze jedno, hit sezonu! RODO nie dotyczy osób zmarłych. Tak, dobrze czytasz. RODO nie jest nekromantą i nie bawi się w wywoływanie duchów, żeby chronić ich dane. Jak ktoś już kopnął w kalendarz, to jego dane osobowe tracą tę magiczną ochronę. Twarde, ale prawdziwe.

Co nie jest objęte RODO?

RODO nie obejmuje danych:

• Osoby zmarłej.
• Podmiotu prawnego.
• Przetwarzanych poza sferą zawodową/gospodarczą.

Szczegóły:

• Dane zmarłych: Ochrona ustaje z chwilą śmierci. Dziedziczenie praw do informacji lub możliwość ich udostępnienia regulują inne przepisy.
• Podmioty prawne:Nie są osobami fizycznymi. Ich dane, jak nazwa firmy, adres siedziby, NIP, nie podlegają RODO. Dotyczy to jednak tylko danych stricte firmowych.
• Cele niegospodarcze: Dane przetwarzane wyłącznie w celach prywatnych, hobbystycznych, artystycznych, dla potrzeb osobistych dokumentów, nie wymagają zgodności z RODO. Przykład: prywatny album ze zdjęciami rodziny.

Dodatkowe kluczowe punkty:

• Śledzenie ruchu na stronie: Anonimowe dane analityczne, bez możliwości identyfikacji użytkownika, nie wymagają zgody RODO.
• Dane publicznie dostępne: Dane ogólnodostępne (np. w KRS, CEIDG) nie są automatycznie wyłączone z RODO, jeśli są przetwarzane w celu innym niż ich publikacja.
• Cel przetwarzania: Decydujący jest cel, dla którego dane są gromadzone.
• Informacje kontaktowe: Prywatny numer telefonu czy adres e-mail osoby fizycznej, używany do celów prywatnych, nie podlega RODO. W kontekście biznesowym sytuacja się zmienia.

Jakich danych nie można podawać?

Dobra, to jest jakiś koszmar z tymi danymi. Wszędzie chcą wszystko wiedzieć. Ania, 28 lat, Warszawa. Już to samo w sobie to za dużo. Wypełniasz jakiś durny formularz, żeby dostać zniżkę, a oni pytają o rzeczy, które są kompletnie nieistotne. Po co im to wszystko wiedzieć? No po prostu nie i już. Nie i już.

Zrobiłam sobie taką listę, czego unikać jak ognia w necie. To są te dane wrażliwe, których nikt nie powinien o ciebie wiedzieć, bo potem jest tylko problem. Masakra jakaś.

• Pochodzenie rasowe albo etniczne – serio, kogo to obchodzi i do czego jest im to potrzebne.
• Poglądy polityczne – podasz i zaraz się zacznie gównoburza w komentarzach albo trafisz na jakąś listę.
• Przekonania religijne czy światopoglądowe – to samo co z polityką, to jest prywatna sprawa.
• Przynależność do związków zawodowych – absolutnie nie.
• Dane genetyczne i biometryczne – czyli odciski palca, skany twarzy, wszystko co cię jednoznacznie identyfikuje. To już w ogóle przegięcie.
• Dane dotyczące zdrowia – o chorobach, leczeniu. To sprawa między mną a lekarzem.
• Dane o seksualności lub orientacji seksualnej.

To wszystko to są tak zwane szczególne kategorie danych osobowych chronione przez RODO (ogólne rozporządzenie o ochronie danych). Przetwarzanie ich jest co do zasady zakazane, chyba że jest wyraźna zgoda albo inny wyjątek prawny. Czyli jak jakaś apka albo strona o to pyta, to powinna ci się zapalić czerwona lampka. I tak wszystko wycieknie.

Jakich danych nie można udostępniać?

Dane wrażliwe: Unikaj ujawniania.

• Pochodzenie rasowe lub etniczne: Podstawa dyskryminacji.
• Przekonania polityczne, religijne, światopoglądowe: Naruszenie prywatności.
• Stan zdrowia, dane biometryczne, genetyczne: Informacje osobiste, łatwe do nadużycia.
• Orientacja seksualna: Prywatność, której należy strzec.

Dodatkowe punkty:

• Dane finansowe: Szczegóły kont, karty kredytowe – potencjalne zagrożenie dla bezpieczeństwa majątkowego.
• Dane lokalizacyjne: Precyzyjne położenie w czasie rzeczywistym – zagrożenie bezpieczeństwa osobistego.
• Dane dotyczące aktywności w sieci: Historia przeglądania, aktywność na portalach – łatwo kształtować wizerunek.