Dane osobowe to wszelkie informacje, które dotyczą zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Oznacza to, że na ich podstawie osoba przestaje być anonimowa - jej tożsamość jest znana administratorowi danych. "Pracodawca uzyskuje status administratora danych osobowych z mocy samej ustawy o ochronie danych osobowych" - mówi mec. Sylwia Puzynowska z Kancelarii Prawa Pracy Sylwia Puzynowska. "Administratorem danych osobowych wykorzystywanych w zakresie działalności prowadzonej przez przedsiębiorcę jest przedsiębiorca, a w szczególności spółka z ograniczoną odpowiedzialnością, spółka akcyjna, spółka jawna oraz spółka komandytowa. Administratorem danych jest sama spółka prawa handlowego, nie zaś jej organy, osoby zasiadające w organach tej spółki lub pełniące w niej funkcje kierownicze". W przypadku pracowników tymczasowych administratorem danych osobowych jest agencja pracy tymczasowej, a w niekiedy jest nim pracodawca-użytkownik (m.in. korzystanie z dostępu do szkoleń organizowanych przez pracodawcę-użytkownika).

Z kolei podmiot przetwarzający dane osobowe na zlecenie, nie decydujący o celach ich przetwarzania (ma uprawnienia do przetwarzania wyłącznie w celu określonym umową), nie jest administratorem danych osobowych.

Zobacz również:

• Bezpieczeństwo aplikacji zdrowotnych - jak chronić prywatność?
• IBM Security QRadar SIEM pomoże zarządzić globalną strukturą odpowiedzialną za bezpieczeństwo
• 8 błędów strategii danych, których należy unikać

Jak się obchodzić z danymi

W myśl obowiązującego obecnie w Polsce prawa (patrz ramka Regulacje prawne) dane osobowe dzieli się na dane sensytywne (wrażliwe) i niesentytywne (zwykłe). Dane wrażliwe dotyczą pochodzenia rasowego lub etnicznego, poglądów politycznych, orientacji seksualnej, przynależności wyznaniowej, partyjnej lub związkowej, stanu zdrowia, kodu genetycznego, nałogów, a także skazań, orzeczeń o ukaraniu i mandatów karnych oraz innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym. Dane zwykłe to wszystkie pozostałe dane osobowe, których ustawa nie wskazuje jako dane sensytywne, np. imię, nazwisko, adres zamieszkania, data urodzenia, PESEL. Adres poczty elektronicznej może być uznany za dane osobowe, gdy jest obiektywna możliwość identyfikacji osoby, której dotyczy dany e-mail.

Przetwarzanie danych osobowych to wszelkie operacje wykonywane na danych osobowych, takie jak: zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie. W szczególności dotyczy to danych, które wykonuje się w systemach IT. Administratora obowiązują w tym względzie cztery zasady:

1. legalności - zabronione jest (poza wyjątkami wskazanymi w odrębnych ustawach) zbieranie danych w sposób ukryty, np. przez podsłuch, z naruszeniem tajemnicy korespondencji itp.;

2. celowości - zbieranie danych powinno odbywać się dla oznaczonych, zgodnych z prawem celów i nie może być poddawane dalszemu przetwarzaniu niezgodnemu z tymi celami;

3. merytorycznej poprawności - dane muszą być zgodne z prawdą, pełne, kompletne;

4. ograniczenia czasowego - przechowywanie danych nie dłużej niż jest to niezbędne do osiągnięcia zakładanego celu.

Pracodawca ma obowiązek powołania administratora bezpieczeństwa informacji (chyba że sam pełni podobną funkcję), który powinien umieć wykorzystywać nowe technologie, znać i odpowiednio stosować przepisy dotyczące ochrony danych osobowych.

Administrator powinien uzyskać zgodę na przetwarzanie danych osobowych. Zgodnie z ustawą o ochronie danych osobowych, "z treści klauzul zgody na przetwarzanie danych osobowych powinno w sposób nie budzący wątpliwości wynikać, w jakim celu, w jakim zakresie i przez kogo dane osobowe mogą być przetwarzane".

Przetwarzanie danych sensytywnych (wrażliwych) jest zabronione; zgodnie z ustawą ich przetwarzanie jest dopuszczalne, jeżeli:

1. osoba, której dane dotyczą, wyrazi na to pisemną zgodę;

2. zezwala na to przepis szczególny innej ustawy;

3. następuje to w celu ochrony żywotnych interesów osoby, której dane dotyczą, fizycznie lub prawnie nie jest w stanie wyrazić zgody do czasu ustanowienia opiekuna prawnego albo kuratora.