Dane osobowe wokół Ciebie: co chroni RODO

Po tej lekcji rozpoznasz dane osobowe w dokumentach, plikach i rozmowach, z którymi masz styczność w pracy, i odróżnisz dane zwykłe od danych szczególnych kategorii. To fundament wszystkich kolejnych decyzji w kursie.

Dane osobowe są wszędzie, nie tylko w kadrach

RODO, czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, definiuje dane osobowe szeroko: to wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (art. 4 pkt 1). Liczy się nie tylko imię i nazwisko. Daną osobową jest każda informacja, która razem z innymi pozwala ustalić, o kogo chodzi.

W kursie towarzyszy Ci firma Mosty sp. z o.o. z Łodzi, która organizuje szkolenia i wydarzenia firmowe i zatrudnia 40 osób. Zobacz, ile danych osobowych przewija się przez jeden zwykły wtorek:

• Kasia z biura obsługi klienta odbiera telefon od uczestnika szkolenia i notuje jego numer w systemie;
• Marek, handlowiec, zapisuje w CRM, że dyrektor klienta „woli kontakt po 15:00”;
• Ewa z kadr skanuje zaświadczenie o niepełnosprawności nowej pracowniczki;
• recepcja przyjmuje listę gości wydarzenia z numerami rejestracyjnymi samochodów do wjazdu na parking.

Każdy z tych przykładów to przetwarzanie danych osobowych. Przetwarzanie to według RODO każda operacja: zbieranie, zapisywanie, przeglądanie, wysyłanie, przechowywanie i usuwanie (art. 4 pkt 2). Samo otwarcie pliku z listą uczestników też się liczy.

Przykład szkoleniowy, firma fikcyjna.

Co jest daną osobową, a co nie

Daną osobową są między innymi: imię i nazwisko, numer PESEL, adres e-mail w formacie imie.nazwisko@firma.pl, numer telefonu, numer rejestracyjny auta prywatnego, zdjęcie, nagranie głosu, adres IP czy identyfikator klienta w systemie, jeśli da się go powiązać z osobą.

Nie są danymi osobowymi informacje o firmach jako takich: nazwa spółki, jej NIP, KRS i adres siedziby. RODO chroni osoby fizyczne. Uwaga na jednoosobowe działalności gospodarcze: dane przedsiębiorcy, takie jak imię i nazwisko w nazwie firmy, nadal dotyczą konkretnego człowieka.

Pseudonimizacja to nie anonimizacja. Jeśli w raporcie zamiast nazwisk wpiszesz numery uczestników, a w innym pliku trzymasz klucz „numer = nazwisko”, to nadal są dane osobowe (motyw 26 RODO). Dopiero dane, których nie da się już przypisać do osoby żadnymi rozsądnie dostępnymi środkami, są anonimowe i RODO ich nie obejmuje.

Dane szczególnych kategorii wymagają większej ostrożności

Art. 9 RODO wymienia dane, których przetwarzanie jest co do zasady zakazane, chyba że zachodzi jeden z wyjątków. To dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne, biometryczne służące identyfikacji, dane o zdrowiu, seksualności lub orientacji seksualnej.

W codziennej pracy najczęściej spotkasz dane o zdrowiu: informacje o niepełnosprawności, diecie z powodów medycznych podanej przy zapisie na szkolenie, zwolnieniach lekarskich. Osobno art. 10 RODO reguluje dane o wyrokach skazujących i czynach zabronionych.

Praktyczna zasada: jeśli informacja dotyczy zdrowia, przekonań albo karalności, nie przekazuj jej dalej bez wyraźnej potrzeby i upewnij się, że masz do niej uprawnienie. W Mostach dieta „bezglutenowa z powodu celiakii” trafia tylko do osoby zamawiającej catering, a w liście dla trenera zostaje samo „dieta specjalna” albo nic.

Art. 4, 9 i 10 RODO, stan na październik 2026.

Kiedy RODO nie ma zastosowania

RODO nie obejmuje przetwarzania w czysto osobistych lub domowych celach (art. 2 ust. 2 lit. c). Twoja prywatna lista kontaktów do znajomych nie podlega RODO. Jeśli jednak wpiszesz do prywatnego telefonu numery klientów firmy i dzwonisz do nich służbowo, to już przetwarzanie w imieniu pracodawcy i obowiązują jego zasady.

To częsty problem: służbowe dane w prywatnych aplikacjach, na przykład zdjęcie listy uczestników w galerii telefonu albo grupa w prywatnym komunikatorze. Do tego wrócimy w module o narzędziach.

Najważniejsze w 3 punktach

1. Daną osobową jest każda informacja, która pozwala ustalić konkretnego człowieka, także numer, adres IP czy notatka.
2. Dane o zdrowiu, przekonaniach i inne z art. 9 RODO przekazuj tylko osobom, które ich naprawdę potrzebują.
3. Pseudonim z kluczem to wciąż dane osobowe; anonimowe są dopiero dane, których nie da się przypisać do osoby.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 2, 4, 9, 10, motyw 26, Dz. Urz. UE L 119 z 4.05.2016, https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Urząd Ochrony Danych Osobowych, https://uodo.gov.pl

Materiał edukacyjny, nie porada prawna. W sprawach dotyczących Twojej organizacji pytaj inspektora ochrony danych lub osobę odpowiedzialną za RODO. Aktualne na: październik 2026.