Informacja, która pozwala ustalić, o kogo chodzi, podlega ochronie prawnej. Imię i nazwisko bardzo często spełnia właśnie taką funkcję, ale nie oznacza to automatycznie, że trafia do tej samej kategorii co informacje o zdrowiu czy poglądach. W praktyce najwięcej nieporozumień bierze się z mieszania dwóch pojęć: danych osobowych i danych szczególnych kategorii, potocznie nazywanych wrażliwymi. Przepisy rozróżniają te grupy wyraźnie, a od tego rozróżnienia zależy sposób przetwarzania, zakres obowiązków i poziom ryzyka. Właśnie dlatego warto wiedzieć, kiedy samo imię i nazwisko wystarcza do identyfikacji, a kiedy dopiero w połączeniu z innymi informacjami nabiera większego znaczenia.
Imię i nazwisko a dane osobowe – od tego trzeba zacząć
Imię i nazwisko co do zasady jest danymi osobowymi, jeśli pozwala zidentyfikować konkretną osobę bezpośrednio albo pośrednio. Nie chodzi wyłącznie o sytuację, w której ktoś zna daną osobę osobiście. Wystarczy, że przy użyciu rozsądnie dostępnych środków można ustalić, o kogo chodzi.
Przykład jest prosty: samo popularne zestawienie imienia i nazwiska może nie zawsze wskazywać jedną osobę. Ale już imię, nazwisko i miejscowość, stanowisko, adres e-mail służbowy albo numer telefonu często wystarczają, by identyfikacja była realna. Wtedy nie ma większych wątpliwości — taka informacja podlega zasadom ochrony danych.
To ważne, bo w codziennym obiegu nadal spotyka się błędne założenie, że „to tylko nazwisko”, więc można nim swobodnie operować. Nie można. Sam fakt, że jakaś informacja nie jest tajna, nie oznacza jeszcze, że przestaje być chroniona.
Imię i nazwisko to zwykle dane osobowe, ale nie są one z automatu danymi wrażliwymi. To dwa różne poziomy ochrony.
Czym są dane wrażliwe według przepisów
W języku potocznym „wrażliwe” bywa wszystko, co dotyczy człowieka. W przepisach to pojęcie jest dużo węższe. Chodzi o szczególną kategorię informacji, których ujawnienie może prowadzić do poważniejszej ingerencji w prywatność, dyskryminacji albo stygmatyzacji.
Do tej grupy zalicza się przede wszystkim dane ujawniające:
- pochodzenie rasowe lub etniczne,
- poglądy polityczne,
- przekonania religijne lub światopoglądowe,
- przynależność do związków zawodowych,
- dane genetyczne i biometryczne używane do jednoznacznej identyfikacji,
- dane dotyczące zdrowia,
- dane dotyczące seksualności lub orientacji seksualnej.
Właśnie dlatego odpowiedź na pytanie z tytułu brzmi: nie, samo imię i nazwisko nie jest daną wrażliwą w rozumieniu przepisów. Jest natomiast daną osobową, a to też oznacza konkretne obowiązki po stronie firmy, urzędu, szkoły czy pracodawcy.
Nie jest to różnica czysto teoretyczna. Dla danych szczególnych kategorii potrzeba zwykle mocniejszej podstawy przetwarzania i większej ostrożności organizacyjnej. Przy imieniu i nazwisku zasady są nadal istotne, ale nie aż tak restrykcyjne jak przy dokumentacji medycznej czy danych biometrycznych.
Kiedy samo imię i nazwisko może być bardziej problematyczne
Choć przepisy nie zaliczają imienia i nazwiska do danych wrażliwych, w praktyce bywają sytuacje, w których ich ujawnienie może prowadzić do naruszenia prywatności. Dotyczy to zwłaszcza kontekstu, w jakim taka informacja zostaje podana.
Jeżeli nazwisko pojawia się obok informacji o zwolnieniu lekarskim, niepełnosprawności, wyznaniu, postępowaniu dyscyplinarnym albo zadłużeniu, problemem nie jest już samo nazwisko. Problemem staje się zestaw informacji, który razem ujawnia dane szczególnie chronione albo mocno ingeruje w sferę prywatną.
To rozróżnienie ma duże znaczenie przy publikacjach list, obiegu dokumentów i komunikacji wewnętrznej. Lista uczestników szkolenia z imieniem i nazwiskiem zwykle nie rodzi takiego ryzyka jak lista osób korzystających z pomocy psychologicznej albo wykaz pacjentów konkretnej poradni.
O wrażliwości często decyduje nie pojedynczy element, lecz kontekst. Imię i nazwisko obok informacji o zdrowiu lub przekonaniach zmienia ciężar całej sprawy.
Czy można publicznie podawać imię i nazwisko
Można, ale nie zawsze i nie bez podstawy. To jeden z najczęstszych błędów: skoro nazwisko widnieje na wizytówce, stronie firmy albo tabliczce przy drzwiach, to rzekomo wolno je kopiować i publikować gdziekolwiek. Tak to nie działa.
Przetwarzanie danych osobowych, także tak podstawowych jak imię i nazwisko, wymaga oparcia się na jednej z dopuszczalnych podstaw. Nie zawsze musi to być zgoda. Często podstawą jest umowa, obowiązek prawny, prawnie uzasadniony interes albo konieczność wykonania zadania realizowanego w interesie publicznym.
W praktyce warto odróżnić dwie sytuacje. Inaczej ocenia się podpisanie autora pod artykułem, oznaczenie pracownika na stronie kontaktowej czy publikację nazwiska osoby pełniącej funkcję publiczną. Inaczej — wywieszenie pełnej listy mieszkańców, uczniów czy klientów w miejscu dostępnym dla postronnych osób.
Znaczenie ma też zasada minimalizacji. Jeśli do załatwienia sprawy wystarczy numer sprawy albo samo imię, nie ma sensu dodawać pełnego nazwiska. Przepisy nie oczekują zbierania i ujawniania „na zapas”.
Jakie obowiązki wynikają z przetwarzania imienia i nazwiska
Skoro imię i nazwisko to dane osobowe, trzeba zadbać o legalność i bezpieczeństwo ich używania. Nie chodzi od razu o skomplikowane procedury. Chodzi o podstawy, które w wielu miejscach nadal są lekceważone.
Najważniejsze obowiązki można streścić tak:
- trzeba mieć podstawę prawną do przetwarzania,
- należy poinformować osobę, po co dane są zbierane,
- nie wolno używać danych szerzej, niż to konieczne,
- trzeba zadbać o odpowiednie zabezpieczenia,
- po ustaniu celu dane nie powinny być przechowywane bez końca.
Warto pamiętać, że naruszeniem może być nie tylko wyciek z systemu. Równie problematyczne bywa przesłanie wiadomości do niewłaściwego adresata, ujawnienie listy odbiorców w polu „do wiadomości” albo pozostawienie dokumentów w ogólnie dostępnym miejscu.
W relacjach pracowniczych i szkolnych te zasady mają szczególne znaczenie. Dane krążą tam codziennie, często rutynowo, przez co łatwo przeoczyć granicę między organizacją pracy a zbędnym ujawnieniem informacji.
Najczęstsze mity wokół nazwisk i ochrony danych
Wokół tego tematu narosło sporo uproszczeń. Część z nich bierze się z ostrożności, część z nadinterpretacji przepisów.
- Mit 1: skoro nazwisko jest publicznie dostępne, można je dowolnie wykorzystywać. Nieprawda — publiczna dostępność nie znosi obowiązków związanych z przetwarzaniem.
- Mit 2: każde podanie nazwiska wymaga zgody. Nie — zgoda to tylko jedna z możliwych podstaw.
- Mit 3: samo nazwisko nigdy nie stanowi problemu. Też nie — w określonym kontekście może prowadzić do poważnego naruszenia prywatności.
- Mit 4: dane wrażliwe i dane osobowe to to samo. To właśnie najczęstsze źródło zamieszania.
W praktyce najrozsądniejsze podejście jest dość proste: nie demonizować samego imienia i nazwiska, ale też nie traktować go jak informacji całkowicie neutralnej. To nadal dane osoby, a więc coś, czym trzeba operować odpowiedzialnie.
Co to oznacza w praktyce dla firmy, szkoły i zwykłej osoby
Dla firmy oznacza to tyle, że baza klientów z imionami i nazwiskami podlega ochronie nawet wtedy, gdy nie zawiera numerów dokumentów czy informacji zdrowotnych. Dla szkoły — że publikacja list, wyników czy ogłoszeń musi uwzględniać prywatność uczniów i rodziców. Dla zwykłej osoby — że cudze nazwisko nie powinno być rozpowszechniane bez potrzeby, zwłaszcza w internecie.
W mediach społecznościowych granica rozmywa się wyjątkowo łatwo. Udostępnienie zrzutu ekranu z danymi, wystawienie kogoś „z imienia i nazwiska” w sporze lokalnym czy wrzucenie zdjęcia dokumentu to działania, które mogą mieć skutki prawne, nawet jeśli intencją było tylko „pokazanie, jak było”.
Najbezpieczniej przyjąć prostą zasadę: jeśli nazwisko nie jest konieczne do osiągnięcia celu, lepiej go nie publikować. A jeśli jest konieczne, warto ograniczyć zakres informacji do minimum i upewnić się, że istnieje podstawa do takiego działania.
Czy imię i nazwisko to dane wrażliwe? Krótka odpowiedź
Nie. Imię i nazwisko nie należą same w sobie do danych szczególnych kategorii, czyli danych wrażliwych w rozumieniu przepisów. Są jednak danymi osobowymi, a więc podlegają ochronie i nie mogą być zbierane, publikowane ani przekazywane dowolnie.
Najwięcej zależy od kontekstu. Samo nazwisko na liście kontaktowej to co innego niż nazwisko połączone z informacją o zdrowiu, poglądach czy sytuacji życiowej. Właśnie dlatego przy ocenie ryzyka nie wystarcza odpowiedź „to tylko imię i nazwisko”. Czasem to tylko tyle — a czasem już wystarczająco dużo, by naruszyć czyjąś prywatność.