Dane osobowe są pojęciem bardzo szerokim. W praktyce każda informacja, może być daną osobową.
Zgodnie z definicją z art. 4 ust. 1 RODO, dane osobowe to:
“informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej”.
Osobą zidentyfikowaną jest osoba, której tożsamość można bezpośrednio ustalić.
Natomiast osobą fizyczną możliwą do zidentyfikowania jest osoba, którą można pośrednio zidentyfikować, w szczególności na podstawie identyfikatorów takich jak:
- numer identyfikacyjny, nr PESEL w RP, dane o lokalizacji, identyfikator internetowy;
- jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
Jak można wyżej zauważyć – pojęcie danej osobowej jest bardzo rozmyte – co to znaczy rozmyte i szerokie. W niektórych sytuacjach informacja może być jednocześnie daną osobową z punktu widzenia jednego podmiotu, a z drugiego już nie. Np. jeśli pracownikowi instytucji przypiszemy e-mail asystent1@instytucja.pl i tylko jemu udostępnimy dane do logowania się na ten e-mail, to dla pracowników tej samej instytucji będzie to osoba możliwa do zidentyfikowania. Pracownikom innej instytucji nic ten e-mail o tożsamości jego użytkownika nie powie, więc użytkownicy nie będą w stanie zidentyfikować osoby używającej adresu elektronicznego.
Następujące informacje należy ZAWSZE uważać za dane osobowe:
- imię i nazwisko (np. Twojego kolegi z pracy, klienta itp.),
- PESEL,
- numer i seria dokumentu tożsamości (paszport, dowód osobisty).
Dodatkowo! Poniżej wymienione informacje MOGĄ być danymi osobowymi
- wygląd zewnętrzny, linie papilarne, wzrost, waga, wiek
- adres e-mail,
- adres IP komputera,
- MAC (Adres sieciowy) urządzenia mobilnego,
- status majątkowy, lista zaległości finansowych.