Czym są dane osobowe i kogo dotyczy RODO

RODO nie traktuje wszystkich danych jednakowo. Warto znać trzy „półki”:

1. Dane „zwykłe” — imię, nazwisko, adres, telefon, PESEL, wynagrodzenie, numer konta. Nazwa „zwykłe” nie znaczy „mało ważne”: PESEL z numerem dowodu pozwala oszustowi wziąć kredyt na cudze nazwisko.
2. Dane szczególnych kategorii (art. 9 RODO) — zdrowie (zwolnienia lekarskie z kodem choroby, orzeczenie o niepełnosprawności, wyniki badań, informacja o ciąży), pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne (np. zapis na religię lub etykę w szkole), przynależność do związku zawodowego, dane genetyczne, biometryczne (odcisk palca do czytnika), seksualność i orientacja seksualna. Co do zasady ich przetwarzanie jest zakazane, chyba że pozwala na to wyjątek z art. 9 ust. 2.
3. Dane o wyrokach i czynach zabronionych (art. 10 RODO) — zaświadczenie o niekaralności, informacja o karze. Wolno je przetwarzać tylko wtedy, gdy pozwala na to przepis (np. przy zatrudnianiu nauczycieli czy osób pracujących z dziećmi).

Szczególne kategorie wymagają szczególnej ostrożności: węższego kręgu osób z dostępem, mocniejszych zabezpieczeń, a ich wyciek prawie zawsze oznacza wysokie ryzyko dla osoby. Także kara dla pracownika z art. 107 ustawy o ochronie danych osobowych jest wyższa, gdy chodzi o te dane.

Wiele osób myśli, że RODO dotyczy tylko „baz danych” i informatyków. Tymczasem przetwarzaniem jest każda operacja na danych — ręczna lub w komputerze (art. 4 pkt 2 RODO):

• przyjęcie wniosku od klienta i zapisanie go w rejestrze,
• wpisanie danych do programu kadrowo-płacowego lub dziennika elektronicznego,
• samo przeglądanie danych na ekranie,
• wydrukowanie listy obecności, skopiowanie pliku na pendrive, zrobienie zdjęcia dokumentu telefonem,
• wysłanie maila, przekazanie danych biuru rachunkowemu, podanie ich przez telefon,
• przechowywanie teczek w archiwum,
• usunięcie i zniszczenie — także to musi być zrobione bezpiecznie.

RODO obejmuje dane w systemach informatycznych oraz dane papierowe, jeśli są lub mają być uporządkowane według jakiegoś klucza (segregator „Pracownicy A–Z”, kartoteka pacjentów, rejestr wniosków). W praktyce przyjmij prostą zasadę: wszystko, co robisz w pracy z informacjami o ludziach, podlega RODO.

Często słyszymy: „zakryłem nazwisko, więc to już nie są dane osobowe”. Nie zawsze.

• Anonimizacja — dane przekształca się tak, że nikt rozsądnymi środkami nie ustali, kogo dotyczą. Takie dane wychodzą spod RODO (np. „w 2025 r. w gminie złożono 1240 wniosków o dodatek”).
• Pseudonimizacja — nazwisko zastępuje się numerem, kodem lub inicjałami, ale gdzieś istnieje klucz (lista numerów, system), który pozwala wrócić do osoby (art. 4 pkt 5 RODO). To nadal dane osobowe — tylko lepiej zabezpieczone.

Pułapki z praktyki:

• inicjały w małym zespole — „A.K. z księgowości” w pięcioosobowym biurze to po prostu Anna Kowalska,
• zamazanie w PDF czarnym prostokątem, pod którym tekst dalej da się skopiować,
• zestaw cech — wiek, stanowisko, miejscowość i data zatrudnienia razem mogą wskazać jedną osobę,
• zdjęcie z rozmytą twarzą, ale z charakterystycznym tatuażem lub samochodem.

W ochronie danych są stałe role. Warto je znać, bo od nich zależy, kogo pytać i kto odpowiada:

• Administrator — ustala cele i sposoby przetwarzania (art. 4 pkt 7). To pracodawca jako całość: spółka, szkoła (dyrektor), gmina (wójt, burmistrz), przychodnia, sklep. Odpowiada za zgodność z RODO i płaci ewentualne kary administracyjne.
• Podmiot przetwarzający — firma zewnętrzna, która przetwarza dane w imieniu administratora na podstawie umowy powierzenia (art. 28): biuro rachunkowe, dostawca programu kadrowego w chmurze, firma niszcząca dokumenty, informatyk.
• Osoba upoważniona — pracownik lub współpracownik, który przetwarza dane z upoważnienia i na polecenie administratora (art. 29). To Ty.
• Inspektor ochrony danych (IOD) — doradza, kontroluje i szkoli; jest punktem kontaktowym dla osób i UODO (art. 37–39). Jest obowiązkowy m.in. w urzędach, szkołach publicznych i podmiotach przetwarzających na dużą skalę dane o zdrowiu; mała firma może go nie mieć.
• Prezes Urzędu Ochrony Danych Osobowych — organ nadzorczy w Polsce: rozpatruje skargi, kontroluje, przyjmuje zgłoszenia naruszeń, nakłada kary.

Z punktu widzenia RODO pracownik nie jest „osobnym administratorem”. Działa w imieniu pracodawcy, więc nie może sam decydować o nowych celach przetwarzania, przekazywaniu danych na zewnątrz czy zakładaniu własnych baz.

RODO nie stosuje się do przetwarzania danych przez osobę fizyczną w ramach czynności czysto osobistych lub domowych (art. 2 ust. 2 lit. c). Twoja prywatna lista kontaktów w telefonie, zaproszenia na urodziny czy zdjęcia z rodzinnego grilla to Twoja prywatna sprawa.

Ale to wyłączenie kończy się tam, gdzie zaczyna się praca:

• prywatny telefon z grupą w komunikatorze „Rodzice 2a”, którą prowadzisz jako wychowawczyni — to dane szkoły,
• notes z numerami klientów firmy, który trzymasz w torebce — to dane pracodawcy,
• zdjęcie dokumentu klienta zrobione prywatnym telefonem „na szybko” — to przetwarzanie w imieniu firmy,
• przesłanie sobie pliku z pracy na prywatną skrzynkę — to przekazanie danych poza systemy administratora.

RODO nie dotyczy też osób zmarłych ani danych firm (np. NIP spółki), ale dotyczy jednoosobowych działalności, bo wskazują konkretnego człowieka.

Wniosek dla pracownika: wszystko, co robisz z danymi w związku z pracą, robisz w imieniu administratora — niezależnie od tego, czy używasz komputera służbowego, czy własnego telefonu. Dlatego firmy coraz częściej zakazują przetwarzania danych na prywatnych urządzeniach albo opisują, jak wolno to robić.