Czy RODO dotyczy osób fizycznych?

RODO dotyczy osób fizycznych. Chroni informacje, które pozwalają zidentyfikować człowieka i reguluje ich przetwarzanie w każdym kontekście innym niż czysto prywatny. Obejmuje to działania osób prywatnych, firm i organizacji, jeśli operują na danych osobowych poza sferą domową.

Czy RODO dotyczy osób fizycznych?

Tak. RODO jest stworzone po to, aby chronić osoby fizyczne oraz ich dane osobowe. Ochrona nie jest związana z obywatelstwem ani z miejscem zamieszkania. Liczy się to, czy dane opisują zidentyfikowaną lub możliwą do zidentyfikowania osobę i czy przetwarzanie nie ma charakteru ściśle osobistego albo domowego.

Kogo i co dokładnie chroni RODO?

RODO chroni każdego człowieka od urodzenia do śmierci. Zakres ochrony obejmuje dane, które identyfikują lub mogą pośrednio identyfikować tę osobę. Nie obejmuje to osób prawnych jako takich oraz danych osób zmarłych.

Ochrona jest uniwersalna geograficznie. Ma zastosowanie do osób fizycznych bez względu na obywatelstwo oraz bez względu na to, gdzie te osoby mieszkają.

Jakie informacje są danymi osobowymi w rozumieniu RODO?

Dane osobowe to każda informacja o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Obejmuje to co najmniej:

• imię i nazwisko
• numer identyfikacyjny
• dane lokalizacyjne
• identyfikator internetowy
• cechy fizyczne, psychiczne, ekonomiczne, kulturowe lub społeczne

Jeśli konkretne informacje pozwalają ustalić tożsamość bezpośrednio albo pośrednio, są one kwalifikowane jako dane osobowe.

Na jakiej zasadzie RODO rozpoznaje dane osoby fizycznej?

Kluczowy jest mechanizm identyfikowalności. Jeżeli człowieka można zidentyfikować wprost lub poprzez zestawienia różnych informacji, wówczas dane podlegają przepisom RODO. Im więcej elementów opisowych, tym większe ryzyko, że dojdzie do identyfikacji i tym bardziej oczywiste staje się, że mamy do czynienia z danymi osobowymi.

Kiedy przetwarzanie danych osób fizycznych podlega RODO?

RODO stosuje się zawsze wtedy, gdy zachodzi operacja przetwarzania dotycząca danych osobowych poza sferą ściśle prywatną. Dotyczy to zarówno podmiotów gospodarczych i organizacji, jak i pojedynczej osoby, która działa w ramach aktywności zawodowej, handlowej lub podobnej.

Zakres stosowania wyznaczają dwie równoległe osie:

• czy informacje dotyczą osoby fizycznej
• czy przetwarzanie nie ma wyłącznie osobistego ani domowego charakteru

Na czym polega wyjątek domowy?

Wyjątek domowy oznacza, że RODO nie obowiązuje w sytuacji, gdy osoba fizyczna przetwarza dane osobowe wyłącznie w ramach czynności o czysto osobistym lub domowym charakterze. Wyjątek jest rozumiany wąsko i nie obejmuje czynności powiązanych choćby pośrednio z działalnością zawodową lub handlową.

Jakie operacje na danych wchodzą w zakres RODO?

RODO obejmuje pełne spektrum operacji przetwarzania, w tym zbieranie, używanie, przechowywanie, ujawnianie oraz usuwanie danych osobowych. Przepisy działają przy przetwarzaniu w pełni zautomatyzowanym, przy przetwarzaniu częściowo zautomatyzowanym oraz przy operacjach nieautomatycznych, o ile dane stanowią część zbioru danych lub są przeznaczone do włączenia do takiego zbioru.

Czy RODO obowiązuje niezależnie od obywatelstwa i miejsca zamieszkania?

Tak. Ochrona rozciąga się na osoby fizyczne bez względu na ich obywatelstwo i bez względu na miejsce zamieszkania. Kryterium decydującym jest związek z przetwarzaniem danych osobowych w rozumieniu przepisów oraz niespełnienie przesłanek wyjątku domowego.

Co z danymi osób prawnych i danych osób zmarłych?

RODO nie chroni danych osób prawnych jako takich. Przepisy nie obejmują również danych osób zmarłych. Jeśli jednak informacje identyfikują żyjącego człowieka, wówczas podlegają ochronie bez względu na kontekst podmiotowy.

Jak działa kryterium identyfikowalności osoby?

Ocena identyfikowalności uwzględnia dostępne środki i realny kontekst. Gdy istnieje możliwość przypisania informacji do konkretnego człowieka, dane podlegają reżimowi RODO. Zależność jest praktyczna: im bogatszy zestaw atrybutów, tym łatwiejsza rekonstrukcja tożsamości i tym silniejsza ochrona prawna.

Jakie zasady przetwarzania mają znaczenie?

Skoro przetwarzanie dotyczy danych osobowych osób fizycznych, konieczne staje się wdrożenie zasad wynikających z przepisów. Kluczowe są legalność przetwarzania, ograniczenie celu, minimalizacja danych oraz adekwatne bezpieczeństwo przetwarzania. Zasadniczo te wymagania obciążają administratora oraz podmiot przetwarzający zawsze wtedy, gdy nie zachodzi wyjątek domowy.

Kto odpowiada za zgodność przetwarzania danych osób fizycznych z RODO?

Odpowiedzialność spoczywa na podmiotach określonych przez przepisy jako administrator i podmiot przetwarzający. Obowiązki aktualizują się przy przetwarzaniu wykraczającym poza sferę osobistą oraz gdy operacje mieszczą się w zakresie działań opisanych przez RODO.

Kiedy RODO ma zastosowanie do pojedynczej osoby fizycznej?

Przepisy znajdują zastosowanie także wtedy, gdy pojedyncza osoba fizyczna przetwarza dane osobowe innych ludzi w ramach działalności zawodowej, handlowej lub innej podobnej aktywności. Jeżeli czynności nie są wyłącznie osobiste ani domowe, wymogi RODO stają się wiążące.

Jak ocenić, czy konkretne informacje są danymi osobowymi?

Należy sprawdzić, czy odnoszą się do zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. W praktyce oznacza to weryfikację, czy poprzez jeden atrybut albo zestaw atrybutów da się przypisać informacje do konkretnego człowieka. Gdy odpowiedź jest twierdząca, obowiązuje reżim ochrony przewidziany przez RODO.

Podsumowanie: co dokładnie oznacza, że RODO dotyczy osób fizycznych?

RODO chroni osoby fizyczne i ich dane osobowe niezależnie od obywatelstwa oraz miejsca zamieszkania. Nie obejmuje osób prawnych jako takich ani osób zmarłych. Stosuje się do przetwarzania poza sferą osobistą lub domową, w tym do działań pojedynczych ludzi wykonujących czynności w ramach aktywności zawodowej lub handlowej. Decydujące jest kryterium identyfikowalności oraz fakt, że operacje takie jak zbieranie, używanie, przechowywanie, ujawnianie i usuwanie danych mieszczą się w zakresie przepisów. Wyjątek domowy ma charakter wąski i nie znosi ochrony, gdy przetwarzanie wiąże się z celem zawodowym lub biznesowym. W tych granicach odpowiedź na pytanie jest jednoznaczna. Tak, RODO dotyczy osób fizycznych i reguluje przetwarzanie ich danych osobowych w każdym kontekście innym niż czysto prywatny.