Dane wrażliwe — formalnie „szczególne kategorie danych osobowych” z art. 9 RODO — to zamknięty katalog informacji: pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne, dane biometryczne (używane do identyfikacji), dane dotyczące zdrowia oraz dane o seksualności i orientacji seksualnej. Ich przetwarzanie jest co do zasady zakazane — dozwolone tylko w wyjątkach wskazanych w art. 9 ust. 2.
Pełny katalog danych wrażliwych z przykładami
Pochodzenie rasowe lub etniczne — np. informacja o narodowości w kontekście etnicznym, przynależność do mniejszości.
Poglądy polityczne — członkostwo w partii, udział w kampanii, deklaracje wyborcze.
Przekonania religijne lub światopoglądowe — wyznanie, uczestnictwo w praktykach religijnych, ale też np. deklaracja bezwyznaniowości.
Przynależność do związków zawodowych — samo członkostwo, funkcje związkowe, składki potrącane z pensji.
Dane genetyczne — wyniki badań DNA, informacje o dziedzicznych predyspozycjach.
Dane biometryczne — odcisk palca, skan twarzy czy tęczówki, ale tylko gdy służą jednoznacznej identyfikacji (zwykłe zdjęcie nie jest daną biometryczną, dopóki nie przetwarza się go technikami rozpoznawania).
Dane dotyczące zdrowia — diagnozy, zwolnienia lekarskie, informacje o niepełnosprawności, ciąży, nałogach, a nawet fakt wizyty u konkretnego specjalisty.
Życie seksualne i orientacja seksualna — wszelkie informacje z tej sfery.
Osobną, „prawie wrażliwą” kategorią są dane o wyrokach skazujących i czynach zabronionych (art. 10 RODO) — przetwarzane na jeszcze surowszych zasadach.
Czego NIE ma w katalogu — częste pomyłki
Wbrew intuicji do danych wrażliwych nie należą: numer PESEL, numer dowodu, dane finansowe (zarobki, kredyty, numer konta), adres zamieszkania czy wizerunek na zwykłym zdjęciu. To dane „zwykłe” — choć o podwyższonym ryzyku, przez co w praktyce też wymagają solidnej ochrony. Dlaczego PESEL, mimo że nie jest wrażliwy, traktuje się szczególnie — wyjaśniamy w artykule czy numer PESEL to dane wrażliwe.
Kiedy wolno przetwarzać dane wrażliwe?
Art. 9 ust. 1 ustanawia zakaz, a ust. 2 — dziesięć wyjątków. W praktyce firmowej najczęstsze to: wyraźna zgoda osoby, obowiązki z zakresu prawa pracy i zabezpieczenia społecznego (dlatego kadry legalnie przetwarzają zwolnienia lekarskie), cele zdrowotne (placówki medyczne), ochrona żywotnych interesów oraz dochodzenie roszczeń. Pełne omówienie wszystkich przesłanek znajdziesz w tekście art. 9 ust. 2 RODO — kiedy legalnie można przetwarzać dane szczególnych kategorii.
Co to oznacza w praktyce dla firmy?
Po pierwsze: sprawdź, czy w ogóle masz dane wrażliwe — najczęściej kryją się w kadrach (zwolnienia, orzeczenia o niepełnosprawności, składki związkowe), w benefitach (pakiety medyczne) i w rekrutacji (kandydaci sami dopisują w CV informacje o zdrowiu). Po drugie: traktuj je inaczej niż resztę — węższy dostęp, mocniejsze zabezpieczenia, krótsza retencja, i nigdy nie zbieraj ich „przy okazji”. Po trzecie: jeśli przetwarzasz je na dużą skalę (medycyna, laboratoria, opieka), pamiętaj, że to jedna z przesłanek obowiązkowego powołania IOD — szczegóły w przewodniku jak powołać IOD. Dla placówek ochrony zdrowia mamy dedykowaną obsługę — zobacz IOD dla podmiotów medycznych.
Najczęstsze pytania o dane wrażliwe
Czy zwolnienie lekarskie pracownika to dane wrażliwe?
Tak — informacja o niezdolności do pracy dotyczy zdrowia. Kadry przetwarzają ją legalnie na podstawie przepisów prawa pracy, ale z ograniczonym dostępem.
Czy zdjęcie pracownika to dane biometryczne?
Nie, dopóki nie jest przetwarzane technikami rozpoznawania twarzy. Zwykłe zdjęcie na identyfikatorze to dana zwykła (wymaga zgody z innych powodów).
Czy dane o zarobkach są wrażliwe?
W rozumieniu art. 9 — nie. Są jednak chronione tajemnicą wynagrodzenia i zasadami ogólnymi RODO.
Czy można zbierać dane wrażliwe za zgodą?
Tak, ale zgoda musi być wyraźna (nie dorozumiana) i w pełni dobrowolna — w relacji pracodawca–pracownik dobrowolność bywa kwestionowana, więc zgoda to tam podstawa ostatniego wyboru.
Przetwarzasz dane wrażliwe w organizacji?
Pomagamy ustalić, gdzie w firmie kryją się dane szczególnych kategorii, na jakiej podstawie je przetwarzać i jak je zabezpieczyć — a jako zewnętrzny IOD bierzemy tę odpowiedzialność na siebie na stałe. Zobacz outsourcing funkcji IOD albo umów bezpłatną konsultację.