W mediach przetoczyły się w ostatnim czasie dyskusje dotyczące głośnego orzeczenia NSA, w którym padło stwierdzenie:
Numer rejestracyjny pojazdu nie jest daną osobową.
Oczywiście, że nie jest. Numer rejestracyjny jest nadany pojazdowi. Analogicznie numer PESEL jest nadany osobie i jest daną osobową (o tym co z PESEL innym razem).
Czy numer rejestracyjny MOŻE być daną osobową?
Oczywiście, że tak. Zarówno tą, która identyfikuje osobę, jak i tą, która dotyczy zidentyfikowanej osoby. Co ważne, auto wcale nie musi być własnością osoby, aby ją identyfikować. Brzmi skomplikowanie, jednak nie jest skomplikowane. Po prostu wymaga zrozumienia RODO i zasad ochrony danych osobowych. Szczególnie tego, że nie jest to matematyka i aksjomaty, a zrozumienie po co i w jakim celu przetwarzamy dane (kawałki i składowe informacji). Które mogą być danymi osobowymi.
Różne konteksty
Zanim przejdę do kilku przykładów, które mają za zadanie nie tylko udowodnić, że numer rejestracyjny może być danymi osobowymi (nie że jest) a jeśli nawet jest, to RODO nie wymaga wobec nich niczego, warto zrozumieć jedną istotną kwestię. Dane osobowe poza tym, że dotyczą osoby zidentyfikowanej (jeden z typów) lub umożliwiają identyfikację osoby (drugi z typów) mogą jeszcze mówić coś o osobie fizycznej. Nie tylko identyfikować, nie tylko dotyczyć, ale wprost informować. Model dane-informacje-wiedza-mądrość omówię w przyszłości. Dziś warto pamiętać, że dane osobowe, to nie tylko te, które identyfikują, te które dotyczą zidentyfikowanej osoby (czyli jak mówi definicja), ale też i te, które mówią coś więcej. A więc tworzą nie tylko informacje o osobie, ale też wiedzę, która z tych informacji jest wytworzona.
Ta wiedza nie jest tak bardzo wyraźnie opisana w RODO, które kończy na informacjach o osobie (dość niefortunnie, a nawet błędnie nazywanych łącznie danymi osobowymi). Przykłady wiedzy o osobie znajdziemy zarówno w motywie 75, który stanowi czy stanowić powinien podstawę do szacowania skutków jak i np, w art. 9. Mowa o zapisach, które odnoszą się do sytuacji ekonomicznej osoby czy stanu zdrowia, czy wyniku profilowania – preferencje zakupowe. Nie są to suche informacje, a bardziej wiedza o osobie fizycznej zbudowana na podstawie informacji, które zostały wytworzone na bazie danych jednostkowych. Ale… nie tylko tych, które stanowią dane osobowe.
Teorię rozwinę innym razem, czas na praktykę. Kilka przykładowych okoliczności.
Urzędnik wydziału ruchu drogowego
Rejestracja pojazdu na osobę fizyczną. Na podstawie danych: marki, modelu tworzy wiedzę (może tworzyć) na temat sytuacji ekonomicznej osoby rejestrującej pojazd. To jaka to jest sytuacja wynika z dodatkowych informacji np. o wpisie współwłaściciela pojazdu, którym może być instytucja finansująca. Wnioski urzędnika nie są informacją, są wnioskami czyli czymś, co nazywane jest wiedzą. Wiedza nie musi być precyzyjnym wyrażeniem okoliczności, jest raczej opisem stanu na który składają się interpretacje danych – samodzielny właściciel, stać go na auto w danej klasie. Wiedza nie jest precyzyjnym wyrażeniem stanu, a raczej wnioskiem na podstawie informacji.
Dla porównania informacje o stanie zdrowia, a tak naprawdę w rozumieniu RODO wiedza o stanie zdrowia. Dane to jednostkowe wyniki badań, które łącznie składają się na informacje np. dotyczące chorób układu krążenia. Informacja o chorobach układu krążenia wraz z informacją o wieku osoby może wskazywać na to, jaki jest ogólny dobrostan osoby, ale aby uznać, czy osoba jest w dobrym stanie konieczne jest nam jeszcze nieco więcej, a więc wiedza branżowa (informacje branżowe), czyli to jak interpretować takie wyniki. Dopiero wtedy możemy powiedzieć jaki jest stan zdrowia osoby, czyli wytworzyć wiedzę o osobie.
Wracając do przykładu i tym razem NIE dane osobowe. Co powie urzędnikowi rejestracja pojazdu na firmę (leasing)? Znów może wytworzyć wiedzę (po zasileniu dodatkowymi informacjami np. komu udzielany jest leasing i czy tak łatwo) o sytuacji ekonomicznej osoby rejestrującej pojazd. Ale TYLKO gdy jest to jednoosobowa działalność gospodarcza. Przy innych podmiotach naprawdę trudno cokolwiek powiedzieć.
Pracownik ochrony i numer rejestracyjny
Zacznijmy od danych w postaci numeru rejestracyjnego. Nadal jest to identyfikator pojazdu czy zestawu pojazdów (numery). Nie osoby fizycznej. Zależnie jednak od tego, gdzie ów pracownik ochrony pracuje dane te będą dostarczać informacji, a czasem wiedzy o:
Tym, że ktoś ma prawo parkować na danym parkingu. Ma prawo korzystania z lokalu, ale nie o tym, że jest właścicielem, więc o sytuacji ekonomicznej niewiele. Gdy ów pracownik będzie dysponował kontaktem do przedstawiciela firmy wynajmującej lokal dowie się, gdzie użytkownik lokalu korzystający z miejsca parkingowego pracuje (lub być może pracuje, bo może to być kolega prezesa lub brat i korzystać tak po prostu). Są to dalej dane osobowe, ale nadal tylko dotyczące osoby, a nie dostarczające wiedzy o osobie.
Kierowca ma uprawnienia do prowadzenia zestawu pojazdów (uprawnienia przy konkretnym typie pojazdu). Tym autem jeździ Zenek (kryptonim operacyjny). Tu mamy raczej do czynienia z danymi osobowymi i informacjami o osobie. Jest też wiedza o osobie, kierowca prowadzący zestaw ciągnik + naczepa jest zawodowym kierowcą ponieważ do prowadzenia takiego zestawu niezbędne są uprawnienia w postaci prawa jazdy kategorii C+E oraz świadectwo kwalifikacji. Te informacje o wymaganiach będące podstawą wytworzenia wiedzy są zestawem nie związanym z osobą, a wynikające z przepisów prawa i łącznie z zapisem w CMR (dokumenty przewozowe) będzie nam dostarczać wiedzy – to zawodowy kierowca. Nadal jednak jest to wnioskowanie, a nie informacja bezpośrednia (są to dane przetworzone).
Krótkie podsumowanie
Dla wielu osób opis powyżej może być dość skomplikowany, co mnie nie dziwi specjalnie. RODO i jego otoczenie konsultingowe charakteryzuje się próbą uproszczenia rozumienia danych, co tak naprawdę nie jest dopuszczalne. O tym, że nie jest dopuszczalne mówi konieczność rozważania kontekstu przetwarzania, którego przykładowy zakres znajdziemy w art 88 RODO. Tam mamy czynniki, które składają się przetwarzanie danych osobowych w kontekście zatrudnienia. Przykład z kierowcą – to przetwarzanie danych w kontekście świadczenia usługi transportowej. A więc nie jest tak prosto.
Natomiast uznawanie, że identyfikator przedmiotu jest daną osobową prowadzi naprawdę na manowce.
MOŻE BYĆ, a nie JEST.
Podobnie jest z numerem IP urządzeń, czy numerem biletu. To są identyfikatory konkretnych przedmiotów (materialnych lub nie), a nie osób. Inaczej dojdziemy do wniosku, że numer seryjny lodówki jest daną osobową samoistną. Bo zakupił ją konkretny człowiek. Pralka, suszarka, odkurzacz też, telefon, czy wszystko inne co ma nadane unikalne numery. Nie, to nie są dane osobowe same w sobie. One MOGĄ nimi być.
Dla osoby identyfikatory, które są wprost daną osobową to nadany jej numer. Nie tylko PESEL, bo tak samo unikalne numery nadawane są w systemach kadrowych, płacowych, sklepach internetowych. To są identyfikatory osoby – wprost dane osobowe, bo są nadane osobie. Ale na to będzie inny artykuł, bo to też nie jest tak, że do nich wszystkich musimy stosować RODO. Mamy przepisy o przetwarzaniu danych nie wymagających identyfikacji. O czym wielu specjalistów chyba zapomniało.
