Dane wrażliwe
Dane wrażliwe to potoczna nazwa szczególnych kategorii danych osobowych z art. 9 RODO: informacji o zdrowiu, pochodzeniu rasowym lub etnicznym, poglądach politycznych, przekonaniach religijnych, przynależności do związków zawodowych, danych genetycznych, biometrycznych służących identyfikacji osoby oraz o seksualności lub orientacji seksualnej. Ich przetwarzanie jest co do zasady zakazane, a wyjątki i zabezpieczenia trzeba udokumentować.
Jakie dane są wrażliwe według RODO
RODO nie używa słowa „wrażliwe” - mówi o szczególnych kategoriach danych osobowych. Należą do nich dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, a także dane genetyczne, dane biometryczne przetwarzane w celu jednoznacznej identyfikacji osoby, dane dotyczące zdrowia oraz seksualności lub orientacji seksualnej. Osobny, również zaostrzony reżim mają dane o wyrokach skazujących i czynach zabronionych.
Numer PESEL, numer dowodu, adres, wynagrodzenie czy numer konta nie są danymi wrażliwymi w rozumieniu RODO. To dane zwykłe - ich wyciek jest groźny i zwykle wymaga zgłoszenia do UODO, ale nie podlegają zakazowi przetwarzania z art. 9. W praktyce firmy często obejmują je tą samą ochroną, co jest rozsądne, ale warto rozróżniać te pojęcia w politykach i rejestrach.
Kiedy wolno przetwarzać dane wrażliwe
Zasadą jest zakaz. Przetwarzanie staje się dopuszczalne dopiero, gdy zachodzi jeden z wyjątków wymienionych w RODO, między innymi: wyraźna zgoda osoby, wykonywanie obowiązków z zakresu prawa pracy i zabezpieczenia społecznego, ochrona żywotnych interesów, cele medyczne i ocena zdolności do pracy, ustalenie lub obrona roszczeń albo ważny interes publiczny wynikający z przepisów. W zatrudnieniu najczęstszą podstawą są przepisy prawa pracy - to one pozwalają pracodawcy przetwarzać zwolnienia lekarskie, orzeczenia o niepełnosprawności czy informacje o przynależności związkowej. Zgoda pracownika ma znaczenie tylko wtedy, gdy przekazuje on takie dane z własnej inicjatywy.
Gdzie dane wrażliwe kryją się w dokumentach firmowych
- Akta osobowe i e-teczka: zwolnienia lekarskie, orzeczenia lekarskie, wnioski o urlop na opiekę nad chorym dzieckiem.
- Wnioski o świadczenia z funduszu socjalnego, w których pracownik opisuje sytuację zdrowotną lub rodzinną.
- Dokumentacja wypadków przy pracy i profilaktycznych badań lekarskich.
- Korespondencja z sądami i policją dotycząca pracowników lub klientów - tu pojawiają się z kolei dane o wyrokach i czynach zabronionych.
- CV i listy motywacyjne, w których kandydaci sami dopisują informacje o zdrowiu lub przekonaniach.
- Umowy i dokumentacja w ochronie zdrowia, ubezpieczeniach i pomocy społecznej.
Problem polega na tym, że takie dokumenty rzadko są oznaczone jako wrażliwe. Skan zwolnienia lekarskiego trafia do wspólnego folderu, a wniosek socjalny krąży mailem po całym dziale. Dopiero uporządkowany obieg dokumentów pozwala wskazać, gdzie te dane są, kto je widzi i jak długo są przechowywane.
Jak chronić dane wrażliwe w obiegu dokumentów
Ochrona sprowadza się do czterech mechanizmów: ograniczonego dostępu, minimalizacji, anonimizacji przy udostępnianiu i kontrolowanej retencji. W elektronicznym obiegu dokumentów uprawnienia nadaje się według ról, więc zwolnienie lekarskie widzi kadrowa i przełożony, a nie cały dział. Każde otwarcie dokumentu zostawia ślad audytowy, a okres przechowywania wynika z kategorii dokumentu, nie z pamięci pracownika. Gdy dokument z danymi wrażliwymi ma zostać przekazany dalej - do audytora, do sądu, do innego działu - zamiast kopii oryginału wysyła się wersję zanonimizowaną. Przetwarzanie danych wrażliwych na dużą skalę wymaga też oceny skutków dla ochrony danych (DPIA) i wpisu w rejestrze czynności przetwarzania.
e-MSI zajmuje się tą częścią układanki od strony narzędzi: anonimizacja dokumentów zaciera dane osobowe w skanach i plikach przed udostępnieniem, a w e-Teczce wdrażanej na platformie JobRouter® dostęp do dokumentów kadrowych opiera się na rolach i uprawnieniach, a każdy dostęp, edycja lub pobranie dokumentu są rejestrowane. Dzięki temu inspektor ochrony danych ma odpowiedź na pytanie „kto widział ten dokument” bez przeszukiwania skrzynek mailowych.
Przykłady zastosowania
Pracownik przesyła do kadr orzeczenie o niepełnosprawności. W e-teczce dokument trafia do części dostępnej tylko kadrom i przełożonemu, a system zapisuje, kto go otworzył.
Komisja socjalna rozpatruje wnioski o zapomogi. Zamiast przesyłać skany z opisem choroby mailem, członkowie komisji widzą w obiegu dokumentów tylko wniosek przypisany do swojej decyzji.
Szpital przekazuje zewnętrznemu audytorowi skargi pacjentów. Przed wysyłką dokumenty przechodzą anonimizację, więc audytor widzi treść skargi i sposób jej rozpatrzenia, ale nie dane pacjentów.
Rekruter dostaje CV, w którym kandydat opisał stan zdrowia. Firma nie może tego użyć w ocenie kandydata, więc procedura każe usunąć fragment lub nie zapisywać go w systemie rekrutacyjnym.
Inspektor ochrony danych sprawdza rejestr czynności przetwarzania: przy każdej czynności z danymi o zdrowiu widzi podstawę prawną, system, w którym dane są przechowywane, i okres retencji.
Najczęstsze pytania
Czy PESEL i numer dowodu to dane wrażliwe?
Nie. PESEL, numer dowodu, adres czy numer konta to dane zwykłe w rozumieniu RODO. Nie podlegają zakazowi przetwarzania z art. 9, ale ich wyciek grozi kradzieżą tożsamości, dlatego zwykle trzeba go zgłosić do UODO, a same dane wymagają solidnych zabezpieczeń - w praktyce podobnych jak dla danych wrażliwych.
Czy imię i nazwisko to dane wrażliwe?
Nie. Imię i nazwisko to zwykłe dane osobowe, a nie szczególna kategoria danych z RODO. Mogą jednak ujawniać dane wrażliwe przez kontekst, w którym się pojawiają, na przykład na liście pacjentów poradni albo członków związku zawodowego. Taką listę trzeba wtedy chronić jak dane wrażliwe, bo zdradza informacje o zdrowiu lub przynależności związkowej.
Czy adres e-mail to dane wrażliwe?
Nie. Adres e-mail nie należy do szczególnych kategorii danych, ale często jest daną osobową. Tak jest, gdy pozwala zidentyfikować konkretną osobę, na przykład jan.kowalski@firma.pl albo prywatny adres klienta. Ogólny adres firmowy, taki jak biuro@firma.pl, zwykle danymi osobowymi nie jest. Adresy osób trzeba więc chronić, np. nie ujawniać ich innym odbiorcom wiadomości.
Czy zdjęcie pracownika to dane biometryczne?
Samo zdjęcie nie. Danymi biometrycznymi stają się dopiero cechy fizyczne przetworzone specjalną techniką w celu jednoznacznej identyfikacji, na przykład wzorzec twarzy w systemie kontroli dostępu. Zwykłe zdjęcie w identyfikatorze jest daną zwykłą, choć nadal osobową.
Czy zawsze potrzebna jest zgoda na przetwarzanie danych wrażliwych?
Nie. Zgoda to tylko jeden z wyjątków. W zatrudnieniu podstawą są najczęściej przepisy prawa pracy, w ochronie zdrowia cele medyczne, a w sporach ustalenie lub obrona roszczeń. Zgoda ma sens tam, gdzie żaden inny wyjątek nie pasuje, i musi być wyraźna oraz odwoływalna.
Co grozi za naruszenie ochrony danych wrażliwych?
Naruszenie zasad przetwarzania szczególnych kategorii danych należy do najcięższych uchybień RODO, zagrożonych karą do 20 mln euro albo 4 proc. rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa. Do tego dochodzi obowiązek zgłoszenia naruszenia i możliwe roszczenia osób poszkodowanych.
Powiązane hasła
Zobacz, jak wygląda to w systemach, które wdrażamy w polskich firmach.
