Tak — imię i nazwisko to dane osobowe i podlegają ochronie RODO, o ile pozwalają zidentyfikować konkretną osobę. Diabeł tkwi jednak w słowie „zidentyfikować”: samo „Jan Kowalski” bez żadnego kontekstu może nie wystarczyć do wskazania jednej osoby spośród tysięcy Janów Kowalskich — ale to samo nazwisko zestawione z miejscem pracy, adresem czy zdjęciem identyfikuje już jednoznacznie. I właśnie kontekst decyduje o wszystkim.
Dlaczego imię i nazwisko to dane osobowe?
Definicja z art. 4 pkt 1 RODO jest szeroka: dane osobowe to wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Imię i nazwisko to wręcz podręcznikowy przykład — RODO wymienia je wprost jako identyfikator. Nie ma przy tym znaczenia, czy nazwisko jest popularne: wystarczy, że w danym kontekście (firma, osiedle, klasa szkolna) da się po nim wskazać konkretnego człowieka.
O tym, jak rozumieć „możliwość zidentyfikowania” i czym różni się identyfikacja od identyfikowalności, piszemy szerzej w artykule identyfikacja a identyfikowalność.
Kiedy samo imię i nazwisko nie wystarcza do identyfikacji?
W orzecznictwie i praktyce przyjmuje się rozsądne podejście: „Anna Nowak” na liście bez żadnych dodatkowych informacji, w skali całego kraju, może nie identyfikować nikogo konkretnego. Ale ta sama „Anna Nowak” na liście pracowników działu księgowości firmy X — już tak. Dlatego oceniając, czy przetwarzasz dane osobowe, patrz na cały zestaw informacji i kontekst, nie na pojedynczą rubrykę. W praktyce firmowej niemal zawsze imię i nazwisko występuje z czymś jeszcze (stanowisko, e-mail, telefon) — więc niemal zawsze są to dane osobowe w pełnym rozumieniu RODO.
Czy można publikować czyjeś imię i nazwisko?
To zależy od podstawy i celu — nie od samego faktu, że to „tylko” imię i nazwisko:
Dane służbowe pracownika. Pracodawca może ujawniać imię, nazwisko, stanowisko i służbowe dane kontaktowe w zakresie związanym z wykonywaną pracą (np. podpis w mailu, wizytówka na stronie firmowej) — to ugruntowana praktyka oparta na uzasadnionym interesie. Publikacja prywatnego telefonu czy zdjęcia wymaga już zgody.
Publikacje prywatne. Ujawnienie czyjegoś imienia i nazwiska w internecie w negatywnym kontekście (np. „ostrzegam przed panem X”) może naruszać dobra osobiste i — przy braku podstawy — stanowić nieuprawnione przetwarzanie danych. O konsekwencjach piszemy w artykule co grozi za udostępnianie danych bez zgody.
Umowy i dokumenty. Podawanie imienia i nazwiska kontrahenta w umowie czy fakturze jest oczywiście legalne — to niezbędne do wykonania umowy (art. 6 ust. 1 lit. b RODO).
Co to oznacza w praktyce dla firmy?
Nie wpadaj w żadną ze skrajności. Pierwsza skrajność: „to tylko imię i nazwisko, RODO nie dotyczy” — dotyczy, więc lista klientów, baza mailingowa czy arkusz z uczestnikami szkolenia to zbiory danych osobowych wymagające podstawy prawnej, zabezpieczeń i obowiązku informacyjnego. Druga skrajność: „RODO zabrania używać nazwisk” — nie zabrania; wymaga jedynie, by przetwarzanie miało cel i podstawę. Anonimizowanie podpisów w mailach czy odmowa podania nazwiska pracownika obsługującego sprawę to nadgorliwość, której RODO nie wymaga.
Najczęstsze pytania
Czy adres e-mail z imieniem i nazwiskiem to dane osobowe?
Tak — adres typu jan.kowalski@firma.pl identyfikuje osobę podwójnie: przez nazwisko i przez powiązanie z organizacją.
Czy mogę wymienić czyjeś nazwisko w reklamacji albo skardze?
Tak, jeśli to niezbędne do załatwienia sprawy — dochodzenie roszczeń i obrona przed nimi to uzasadniony interes.
Czy nauczyciel może odczytać listę uczniów z nazwiskami?
Tak, w ramach zwykłej działalności szkoły. Problematyczne byłoby np. publiczne ogłaszanie ocen z nazwiskami — łączenie identyfikacji z dodatkową, wrażliwą informacją.
Czy samo imię (bez nazwiska) to dane osobowe?
Zwykle nie — chyba że kontekst i tak pozwala wskazać osobę (np. jedyna „Ludwika” w małej firmie).
Masz wątpliwości, jakie dane w Twojej firmie podlegają RODO?
Inwentaryzacja danych — ustalenie, co jest daną osobową, gdzie leży i na jakiej podstawie jest przetwarzane — to punkt wyjścia każdego porządnego systemu ochrony danych. Sprawdź, jak robi to zewnętrzny IOD, albo umów bezpłatną konsultację.