GDPR - minisérie - díl 3. - Co jsou to osobní údaje?

Jednou z věcí, které jsem v minulém článku zmínil, je nová terminologie osobních údajů, zpracování, správce a zpracovatele. Pojďme se na to podívat trošku podrobněji.

K tomu, abychom mohli dál uvažovat, jak s GDPR naložit, si musíme v prvé řadě uvědomit, co všechno jsou vlastně osobní údaje. Osobní údaje jsou veškeré informace, které se vztahují k identifikované nebo identifikovatelné osobě. Ty pak dělíme na dvě kategorie – obecné a citlivé. A tohle dělení má zásadní vliv na to, jak s nimi zacházet, jak je zpracovávat. Ukažme si napřed na příkladech, které údaje jsou považovány za jakou kategorii.

Rozdíl mezi obecnými a citlivými osobními údaji je ten, že citlivé vyžadují výslovný souhlas k tomu, abyste je mohli zpracovávat. Pozor, třeba i údaj o tom, že konkrétní osoba nemá záznam v trestním rejstříku, je citlivý osobní údaj. Výslovný souhlas musí být písemný s podpisem dané osoby.

Naproti tomu u obecných osobních údajů je sice vyžadován také souhlas, ale nemusí být písemný. Může být třeba takzvaně konkludentní – například předáním vizitky dávám souhlas se zpracováním údajů na ní obsažených. Nebo posláním mailu se automaticky má za to, že dávám souhlas se zpracováním osobních údajů v něm obsažených.

GDPR se nevztahuje na údaje zemřelých osob a na údaje k osobním účelům (typicky telefon, email, datum narozenin kamarádů, pokud je nemám k obchodním účelům, ale čistě osobním). Tyto údaje nemusí být anonymizované nebo šifrované…

GDPR se nevztahuje na anonymizované údaje, ale na šifrované údaje.

Anonymizovaný údaj je je takový, kdy nedohledáte konkrétní osobu. Jako příklad uvažujme anonymizovaný údaj - mám 12 osob pod 50 let. Nicméně, tohle je mi k ničemu, tedy musím šifrovat.

Šifrované údaje – například 12345G. Z tohoto údaje neznalý člověk nevyčte nic. Já pak mohu podle určitého klíče vyčíst konkrétní informaci o konkrétní osobě. Vždy tedy musí existovat někdo, kdo ten klíč zná. Tedy opět šifrovaný údaj spadá pod GDPR.