W naszej praktyce często spotykamy się z wątpliwościami dotyczącymi tego czym są „dane wrażliwe”. Czy przykładowo numer PESEL jest tego rodzaju informacją? Kiedy przedsiębiorca może przetwarzać takie dane?
Dane „wrażliwe” to tak naprawdę szczególna kategoria danych osobowych w rozumieniu art. 9 RODO. Samo rozporządzenie RODO ani wcześniejsza polska ustawa o ochronie danych osobowych z 1997 r. nie posługują się tym pojęciem, jest ono jednak obecne w praktyce od dawna. Same dane wrażliwe (inaczej nazywane też sensytywnymi) to informacje dotyczące najbardziej osobistej, intymnej sfery życia człowieka. Inaczej mówiąc są szczególnym typem danych osobowych i dotyczą sfery prywatnej konkretnych osób. Ich gromadzenie i przetwarzanie obwarowano w RODO zdecydowanie większymi rygorami, niż ma to miejsce w przypadku „zwykłych” danych osobowych.
Zgodnie z art. 9 RODO, dane szczególnej kategorii (czyli właśnie „dane wrażliwe”) to dane osobowe ujawniające:
- pochodzenie rasowe lub etniczne,
- poglądy polityczne,
- przekonania religijne lub światopoglądowe,
- przynależność do związków zawodowych
oraz dane osobowe (o ile pozwalają na jednoznaczne zidentyfikowanie osoby fizycznej) będące:
- danymi genetycznymi,
- danymi biometrycznymi (dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne),
- danymi dotyczącymi stanu zdrowia (dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej – w tym o korzystaniu z usług opieki zdrowotnej – ujawniające informacje o stanie zdrowia),
- danymi dotyczącymi seksualności lub orientacji seksualnej.
Wszystkie te kategorie danych osobowych (o ile są lub mogą zostać przypisane do konkretnej osoby fizycznej), stanowią więc dane wrażliwe. Przetwarzanie tych kategorii danych jest dozwolone, ale obwarowane zdecydowanie bardziej rygorystycznymi wymogami, niż te wynikające z art. 6 RODO. Przetwarzanie tych kategorii danych osobowych jest więc dopuszczalne jeżeli:
- osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, chyba że przepisy prawa wyraźnie zakazują takiego przetwarzania;
- przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą;
- przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody;
- przetwarzania dokonuje się w ramach uprawnionej działalności prowadzonej z zachowaniem odpowiednich zabezpieczeń przez fundację, stowarzyszenie lub inny niezarobkowy podmiot o celach politycznych, światopoglądowych, religijnych lub związkowych, pod warunkiem że przetwarzanie dotyczy wyłącznie członków lub byłych członków tego podmiotu lub osób utrzymujących z nim stałe kontakty w związku z jego celami oraz że dane osobowe nie są ujawniane poza tym podmiotem bez zgody osób, których dane dotyczą;
- przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą;
- przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub w ramach sprawowania wymiaru sprawiedliwości przez sądy;
- przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą;
- przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia i z zastrzeżeniem odpowiednich warunków i zabezpieczeń,
- przetwarzanie jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych, na podstawie prawa Unii lub prawa państwa członkowskiego, które przewidują odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową;
- przetwarzanie jest niezbędne do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych zgodnie z art. 89 ust. 1 RODO, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie, konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą.
Danymi „wrażliwymi” nie są więc np. numer PESEL, numer dowodu osobistego czy nawet numer PIN czy CVV/CVC do karty kredytowej. Chociaż ujawnienie tego typu kategorii danych osobowych może rodzić dużo bardziej poważne konsekwencje, w świetle podziału danych obecnego w RODO dane takie nie są danymi szczególnej kategorii w rozumieniu art. 9 RODO.
Danymi „wrażliwymi” są natomiast dane osobowe dotyczące stanu zdrowia. W przypadku większości firm są one podstawowymi i często jedynymi danymi osobowymi zaliczanymi do szczególnie chronionych na podstawie art. 9 RODO danych osobowych. Stąd szczególnie ważne jest zapewnienie jednej z podstaw prawnych legalizujących przetwarzanie danych dotyczących zdrowia pracowników, współpracowników, klientów, dłużników lub innych osób kontaktujących się za pośrednictwem różnych kanałów komunikacji.
