Dane osobowe: czym są i kiedy stosujesz RODO

Po tej lekcji rozpoznasz, które informacje w Twojej pracy są danymi osobowymi, a które z nich wymagają szczególnej ostrożności. Dowiesz się też, kiedy RODO ma zastosowanie, a kiedy nie.

Dane osobowe w definicji RODO

Ogólne rozporządzenie o ochronie danych (RODO, rozporządzenie UE 2016/679) obowiązuje w Polsce od 25 maja 2018 r. Art. 4 pkt 1 definiuje dane osobowe jako informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Kluczowe jest słowo „możliwej”: daną osobową jest nie tylko imię i nazwisko, ale każda informacja, dzięki której da się ustalić, o kogo chodzi, bezpośrednio albo po połączeniu z innymi informacjami.

Przez cały kurs będziemy wracać do jednego przykładu: Kwadrat sp. z o.o., hurtownia materiałów biurowych z Łodzi, zatrudnia 40 osób. Ola pracuje w obsłudze klienta, Marta w kadrach, a Piotr odpowiada za IT. Spójrz, jakie dane osobowe przewijają się przez ich biurka w jeden dzień:

• imię, nazwisko, numer telefonu i adres e-mail klienta, który dzwoni z reklamacją;
• numer PESEL i numer rachunku bankowego pracownika na liście płac;
• adres IP i identyfikator urządzenia w logach systemu sprzedaży;
• numer rejestracyjny auta kuriera zapisany przy bramie;
• nagranie z kamery w magazynie;
• notatka „pani z działu zakupów w szkole nr 12, ta z rudymi włosami”, bo po kilku takich szczegółach łatwo wskazać konkretną osobę.

Dane firmy (nazwa spółki, jej NIP, adres siedziby) nie są danymi osobowymi, bo RODO chroni osoby fizyczne. Uwaga jednak na jednoosobową działalność gospodarczą: nazwa firmy pana Jana Nowaka zawiera jego imię i nazwisko, więc dane takiego przedsiębiorcy często pozwalają zidentyfikować człowieka. Służbowy adres e-mail pracownika klienta w formacie imie.nazwisko@... też jest daną osobową.

Na podstawie art. 4 pkt 1 RODO, stan na październik 2026.

Szczególne kategorie danych

Część danych RODO traktuje surowiej, bo ich ujawnienie może człowiekowi poważnie zaszkodzić. Art. 9 ust. 1 zakazuje co do zasady przetwarzania danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, a także danych genetycznych, biometrycznych (w celu jednoznacznej identyfikacji), danych dotyczących zdrowia, seksualności lub orientacji seksualnej. Wyjątki wymienia art. 9 ust. 2, na przykład wyraźna zgoda osoby albo obowiązki z zakresu prawa pracy.

Osobno art. 10 RODO reguluje dane dotyczące wyroków skazujących i czynów zabronionych. W praktyce biura najczęściej spotkasz się z danymi o zdrowiu: zwolnienie lekarskie, orzeczenie o niepełnosprawności, informacja o ciąży, zaświadczenie z badań medycyny pracy. W Kwadracie dostęp do nich ma tylko Marta z kadr, a nie cały zespół.

Czym jest przetwarzanie

Art. 4 pkt 2 RODO podaje szeroką definicję: przetwarzanie to każda operacja na danych, automatyczna lub ręczna. Zbieranie, zapisywanie, porządkowanie, przechowywanie, przeglądanie, wysyłanie, łączenie, usuwanie i niszczenie. Oznacza to, że przetwarzasz dane także wtedy, gdy tylko otwierasz arkusz z listą klientów albo wrzucasz stary wydruk do niszczarki.

RODO obejmuje przetwarzanie zautomatyzowane (systemy, poczta, arkusze) oraz papierowe, jeśli dokumenty są częścią zbioru uporządkowanego według kryteriów, na przykład segregatora z teczkami pracowników ułożonymi alfabetycznie (art. 2 ust. 1). Nie obejmuje działań osoby fizycznej o czysto osobistym lub domowym charakterze (art. 2 ust. 2 lit. c), takich jak prywatny kalendarz z urodzinami znajomych. Ten sam kontakt zapisany w służbowym CRM już podlega RODO.

Każdy etap to przetwarzanie w rozumieniu art. 4 pkt 2 RODO.

Anonimizacja i pseudonimizacja

Dane naprawdę zanonimizowane, czyli takie, z których nikt rozsądnymi środkami nie ustali tożsamości osoby, przestają być danymi osobowymi (motyw 26 RODO). Pseudonimizacja to coś innego: zastępujesz nazwisko kodem, ale klucz do odszyfrowania nadal istnieje i jest przechowywany osobno (art. 4 pkt 5). Dane spseudonimizowane nadal są danymi osobowymi, choć ryzyko przy nich jest mniejsze.

Przykład z Kwadratu: Ola przygotowuje dla zarządu raport reklamacji. Zamiast nazwisk klientów wpisuje numery K-001, K-002, a tabelę łączącą numery z nazwiskami zostawia w systemie obsługi klienta. To pseudonimizacja. Gdyby pokazała tylko liczbę reklamacji w każdym miesiącu, bez jakichkolwiek identyfikatorów, byłyby to dane statystyczne.

Najważniejsze w 3 punktach

1. Dane osobowe to każda informacja, która pozwala ustalić tożsamość człowieka, wprost albo po połączeniu z innymi danymi.
2. Dane o zdrowiu, poglądach, przynależności związkowej czy biometria należą do szczególnych kategorii i wymagają dodatkowej ochrony (art. 9 RODO).
3. Przetwarzanie to każda operacja na danych, także przeglądanie i niszczenie, w systemach i w uporządkowanych dokumentach papierowych.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 2, 4, 9, 10, motyw 26, Dz. Urz. UE L 119 z 4.05.2016, https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Urząd Ochrony Danych Osobowych, https://uodo.gov.pl

Materiał edukacyjny, nie porada prawna. W sprawach dotyczących Twojej organizacji skonsultuj się z inspektorem ochrony danych lub prawnikiem. Aktualne na: październik 2026.