Čo (nie) je osobný údaj? Je ním fotografia, telefónne číslo alebo názov firmy?

Čo patrí medzi osobné údaje a čo nie nám prezradila senior právna expertka Lucia Semančínová z advokátskej kancelárie SEMANČÍN & PARTNERS.

V každom jednotlivom prípade, aj v zmysle GDPR, je potrebné postupovať individuálne pri určovaní, či istá informácia je alebo nie je osobným údajom. Závisí to od posúdenia dostupných údajov, ich vzájomnej súvislosti, od kontextu situácie ako celku. Posudzuje sa, či ide o zmysluplný kontext, ktorý dáva jednotlivým údajom zmysel a robí z nich informácie týkajúce sa fyzických osôb.

Čo sú osobné údaje?

Osobné údaje sú všetky informácie, ktoré sa týkajú identifikovanej alebo identifikovateľnej fyzickej osoby - jednotlivca. Aj informácie, ktoré po ich spojení môžu viesť k identifikácii jednotlivca, takisto predstavujú osobné údaje.

Jednotlivec je „identifikovaný“ alebo „identifikovateľný“, ak je ho možné odlíšiť od iných jednotlivcov. Nie je potrebné poznať meno osoby, aby sme mohli hovoriť o identifikovaní, stačí že vieme, že je to určitá osoba, ktorú vieme odlíšiť od iných osôb práve na základe daných informácií. Ak je jednotlivec identifikovateľný z informácií, ktoré sa ho týkajú, môžu tieto informácie predstavovať osobné údaje.

Za osobné údaje možno považovať napríklad meno a priezvisko, dátum narodenia či rodné číslo, fotografiu, lokalizačné údaje a pod.

Príklad - zamestnanecké číslo:

Zamestnanec má vo firme pridelené zamestnanecké číslo, prostredníctvom ktorého má komunikovať so svojimi kolegami. Toto číslo môžeme považovať za osobný údaj, nakoľko ide o informáciu, prostredníctvom ktorej ho jeho kolegovia aj zamestnávateľ priamo identifikujú bez toho, aby potrebovali ďalšie informácie. Títo kolegovia daného jednotlivca identifikujú, a to aj napriek tomu, že možno nevedia povedať aké je jeho meno.

Príklad - fotografia z festivalu:

Organizátor koncertu na podujatí vytvára fotografie a tie za účelom propagácie svojej organizácie zverejní na svojej web stránke. Samotný organizátor podujatia nevie identifikovať tieto osoby, a preto sa domnieva, že to nie sú osobné údaje, Účastníci podujatia ako aj ich známi ich však na uvedených fotografiách dokážu identifikovať. Tieto osoby sú pre organizátora podujatia identifikovateľné aj keď nie identifikované, nakoľko existuje primeraná pravdepodobnosť, že samotní účastníci podujatia ako aj iné osoby sa na web stránku organizátora pozrú, a tým pádom dôjde k identifikácii dotknutých osôb.

Je osobným údajom dátum narodenia a vek?

Za osobné údaje možno považovať aj dátum narodenia či vek. Avšak to, či na základe tejto informácie ako identifikátora možno konkrétnu fyzickú osobu identifikovať, záleží vždy od posúdenia konkrétnej situácie. Samostatne uvedený dátum narodenia či vek je iba číslo, ktoré bez toho, aby bolo spojené s ďalšími informáciami (napríklad meno), ktoré možno priradiť k určitému jednotlivcovi, nie je osobným údajom.

Rodné číslo je považované za všeobecne použiteľný identifikátor, ktorý jednoznačne odlíši jednotlivca od iných osôb. Je považovaný za trvalý identifikačný údaj, ktorý zabezpečuje jednoznačnosť jeho priradenia ku konkrétnemu jednotlivcovi a za osobný údaj, a je takmer k každej situácii spracúvania považované za osobný údaj.

Pri rodnom čísle je potrebné vždy zvažovať to, či existuje primeraná pravdepodobnosť, že existuje osoba, ktorá dokáže toto číslo použiť na identifikáciu fyzickej osoby.

Kedy je firemná e-mailová adresa osobným údajom?

Firemný email zamestnanca by mohol byť jeho osobným údajom, ak by obsahoval meno zamestnanca, napríklad [email protected]. Naopak, všeobecný email vo forme [email protected] sa za osobný údaj s najväčšou pravdepodobnosťou považovať nebude, ak vylúčime jeho spojitosť s konkrétnou fyzickou osobou.

Kedy je telefónne číslo osobným údajom?

Služobné telefónne číslo bude zväčša považované za osobný údaj v spojení s inými informáciami o osobe, napríklad s jej menom či pracovnou pozíciou.

Aj zákon č. 18/2018 Z.z. o ochrane osobných údajov uvádza tieto informácie ako osobné údaje, keď umožňuje zamestnávateľovi bez súhlasu zamestnanca poskytovať jeho osobné údaje v rozsahu „titul, meno, priezvisko, pracovné zaradenie, služobné zaradenie, funkčné zaradenie, osobné číslo zamestnanca alebo zamestnanecké číslo zamestnanca, odborný útvar, miesto výkonu práce, telefónne číslo, faxové číslo, adresa elektronickej pošty na pracovisko a identifikačné údaje zamestnávateľa“.

Aj súkromné telefónne číslo je možné považovať za osobný údaj, nakoľko ide o informáciu, ktorá sa týka konkrétneho jednotlivca a je vysoko pravdepodobné, že existuje osoba, ktorá na základe tejto informácie dokáže identifikovať túto osobu. V určitých informačných systémoch je spájané vždy s menom konkrétnej osoby za účelom jej kontaktovania, ktoré je ďalšou informáciou, prostredníctvom ktorej možno jednotlivca identifikovať.

Je fotografia s mojou osobou osobným údajom?

Fotografie sú osobnými údajmi v prípade, keď zachytávajú podobizne jednotlivých fyzických osôb, na ktorých možno tieto osoby identifikovať. Rozsah údajov, ktorý postačí na identifikáciu fyzickej osoby, záleží od posúdenia konkrétneho prípadu. Niekedy postačí samotná podobizeň a je možné presne určiť, kto je na fotografii, inokedy je potrebná ďalšia dodatočná informácia a nemusí to byť nevyhnutne meno osoby na fotografii.

Napríklad, fotografia zamestnanca uverejnená na web stránke zamestnávateľa, bude osobným údajom aj napriek tomu, že nie je k nej uvedené meno zamestnanca, nakoľko je vysoko pravdepodobné, že iní jeho kolegovia ho dokážu identifikovať.  

Je názov firmy osobný údaj?

Aj napriek tomu že vo všeobecnosti názov firmy nie je považovaný za osobný údaj, v určitých situáciách ho za osobný údaj považujeme. Typickým príkladom sú práve advokátske kancelárie, ktoré zvyčajne obsahujú priezviská spoločníkov a tieto priezviská prostredníctvom bežne dostupných identifikátorov, ktoré nájdeme cez Obchodný register, dokážeme priradiť hneď ku konkrétnym jednotlivcom.

Je IČO živnostníka osobný údaj?  

Rovnako aj IČO živnostníka je možné považovať za osobný údaj, nakoľko ide o informáciu, ktorá sa týka konkrétneho jednotlivca – fyzickej osoby, a je vysoko pravdepodobné, že existuje osoba, ktorá na základe tejto informácie dokáže identifikovať jednotlivca, ktorému je pridelené dané IČO. Jednotlivca tak možno identifikovať aj nepriamo napríklad prostredníctvom charakteristík a znakov (napríklad zo živnostenského registra), ktoré tvoria jeho ekonomickú identitu, miesta podnikania, ktorý je zväčša adresou pobytu živnostníka a ďalších informácii, ktoré možno k IČO živnostníka priradiť a prostredníctvom nich a ich vzájomnej súvislosti ho identifikovať.

Napriek tomu, že sú to určité business dáta zasadané do kontextu výkonu povolania, tieto informácie môžu byť považované za osobné údaje.

Je číslo účtu živnostníka alebo s.r.o. osobný údaj?

Aj číslo účtu živnostníka je možné považovať za osobný údaj, nakoľko ide o informáciu, ktorá sa týka fyzickej osoby a je vysoko pravdepodobné, že existuje osoba, ktorá na základe tejto informácie dokáže identifikovať majiteľa účtu.

Číslo účtu s.r.o. samo o sebe s najväčšou pravdepodobnosťou nemožno považovať za osobný údaj, nakoľko aj samotná banka účet vedie na obchodné meno firmy. Napriek tomu v kontexte konkrétnej situácie a s priradením ďalších informácii, nemožno vylúčiť, že by konkrétneho jednotlivca (napríklad jediného spoločníka, ktorý je zároveň jediným konateľom v prípade jednoosobových s.r.o.) nebolo možné identifikovať.

Je IP adresa osobným údajom?

IP adresa vo všeobecnosti nepredstavuje informáciu, ktorú je nevyhnutné hneď zahŕňať pod definíciu osobného údaja. Táto informácia sa osobným údajom stáva vtedy, ak napríklad prevádzkovateľ internetovej stránky má k dispozícii prostriedky, ktorými dokáže identifikovať dotknutého návštevníka web stránky vďaka ďalším informáciám, ktorými disponuje poskytovateľ internetového pripojenia a tie sú použité ako prostriedok, ktorý môže byť rozumne použitý pre identifikáciu dotknutej osoby.

Ako príklad možno uviesť e-shop, ktorý spracúva osobné údaje o návštevníkoch svojej web stránky na účely zobrazovania personalizovanej reklamy. Zbiera o týchto návštevníkoch IP adresu, čas navštívenia, zobrazený obsah geografickú polohu a prostredníctvom cookies pridelí návštevníkovi web stránky jedinečný identifikátor. Prostredníctvom údajov, ktoré o návštevníkoch e-shop zbiera, ich potom zaradí do príslušných zoznamov a podľa toho prispôsobuje pre nich personalizovanú reklamu. V tomto prípade pravdepodobne IP adresa osobným údajom bude.

Čo je a čo obvykle nie je osobný údaj? 

V každom jednotlivom prípade je vždy potrebné postupovať individuálne pri určovaní, či istá informácia je osobným údajom. Ak si prevádzkovateľ nie je istý, či ide o osobný údaj, odporúča sa s informáciou nakladať ako s osobným údajom.

Samotná  pseudonymizácia nezbavuje prevádzkovateľa povinnosti spracúvať osobné údaje v súlade s GDPR. Dochádza síce k zníženiu rizika porušenia ochrany osobných údajov, čo je rozhodne dobrým krokom, ale stále sú tieto údaje považované za osobné údaje, nakoľko by sa použitím dodatočných informácií mohli predsa len priradiť ku konkrétnemu jednotlivcovi. Jedine pri správne anonymizovaných údajoch je možné povedať, že osobné údaje nie sú naďalej spracúvané, nakoľko dotknutá osoba už nie je na ich základe identifikovateľná.