Wprowadzenie: dlaczego rozróżnienie danych ma kluczowe znaczenie dla Twojej firmy?
Na samym początku rozwiejmy największe wątpliwości przedsiębiorców: Czy numer telefonu to dane wrażliwe? Nie. Czy PESEL to dane wrażliwe? Również nie. Choć oba te identyfikatory wymagają solidnej ochrony, zaliczamy je do danych zwykłych. Błędna klasyfikacja informacji w firmie może prowadzić do dwóch skrajności – nakładania niepotrzebnych, kosztownych procedur bezpieczeństwa na dane zwykłe, lub co gorsza, niedostatecznej ochrony danych wrażliwych, co kończy się dotkliwymi karami finansowymi ze strony Urzędu Ochrony Danych Osobowych (UODO).
Czym są dane osobowe? (Art. 4 RODO)
Zanim przejdziemy do różnic, musimy zdefiniować sam fundament. W języku potocznym często używa się określenia dane personalne, jednak RODO posługuje się w tym zakresie bardzo precyzyjną i szeroką definicją prawną.
Wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie
Zgodnie z art. 4 pkt 1 RODO, są to wszelkie informacje o zidentyfikowanej lub możliwej do określenia tożsamości, a mówiąc wprost – o możliwej do zidentyfikowania osobie fizycznej. Oznacza to, że za dane osobowe uznajemy nie tylko te informacje, które bezpośrednio wskazują na konkretnego człowieka (jak imię i nazwisko), ale również te, które pozwalają na jego identyfikację w sposób pośredni, przy użyciu rozsądnych nakładów pracy, czasu i środków.
Przykłady danych osobowych: imię, nazwisko, PESEL, adres, numer telefonu, adres e-mail
Do standardowego katalogu informacji, które przetwarzamy na co dzień w firmach, należą między innymi imię i nazwisko pracownika lub klienta, jego adres zamieszkania, służbowy lub prywatny adres e-mail, numer telefonu oraz numery identyfikacyjne takie jak PESEL czy NIP (w przypadku osób fizycznych prowadzących jednoosobową działalność gospodarczą).
Dane zwykłe vs dane wrażliwe – kluczowe różnice
Prawo europejskie i krajowe wyraźnie dzieli informacje o nas na dwie główne kategorie. Musimy umieć oddzielić dane zwykłe oraz dane szczególnie chronione, ponieważ wiążą się z nimi odmienne reżimy prawne.
Zwykłe dane osobowe – definicja i zakres
Dane zwykłe to wszystkie te informacje zdefiniowane w art. 4 RODO, które nie wpadają do zamkniętego katalogu danych szczególnych kategorii. Przetwarzamy je na podstawie art. 6 RODO (np. zgoda, wykonanie umowy, prawnie uzasadniony interes). Służą one głównie do celów kontaktowych, identyfikacyjnych czy rozliczeniowych.
Dane wrażliwe (szczególne kategorie) – definicja z Art. 9 RODO
RODO posługuje się terminem „szczególne kategorie danych osobowych”. Są to informacje niezwykle intymne, których ujawnienie może prowadzić do dyskryminacji lub poważnego naruszenia wolności i praw jednostki. Z punktu widzenia oceny ryzyka dla administratora, informacje zwykłe oraz dane szczególnie chronione stanowią dwa różne światy. Co do zasady, przetwarzanie danych wrażliwych jest kategorycznie zabronione, chyba że spełniony zostanie jeden z rygorystycznych wyjątków.
Tabela porównawcza: różnice w zasadach przetwarzania, zgodzie, zabezpieczeniach i karach
| Kryterium | Zwykłe dane osobowe | Dane wrażliwe (szczególne kategorie) |
|---|---|---|
| Definicja prawna | Art. 4 RODO (katalog otwarty) | Art. 9 RODO (katalog zamknięty) |
| Zgoda na przetwarzanie | Może być dorozumiana lub wyrażona w formie zwykłego działania. | Musi być wyraźna, jednoznaczna i najlepiej udokumentowana (często na piśmie). |
| Zasada ogólna | Przetwarzanie dozwolone przy spełnieniu przesłanek z Art. 6. | Generalny zakaz przetwarzania (wyjątki w Art. 9 ust. 2). |
| Poziom ryzyka (DPIA) | Standardowy (Ocena Skutków dla Ochrony Danych wymagana tylko przy wysokim ryzyku). | Bardzo wysoki (wymaga wdrożenia rygorystycznych zabezpieczeń technicznych, np. szyfrowania AES-256). |
| Skutki naruszenia | Standardowe kary UODO. | Kary sięgające maksymalnych progów, wysokie ryzyko pozwów o zadośćuczynienie. |
Katalog danych wrażliwych – zamknięta lista z Art. 9 ust. 1 RODO
Katalog ten jest zamknięty. Oznacza to, że żadne inne informacje, nawet jeśli wydają nam się bardzo prywatne (jak stan konta bankowego), nie są w świetle RODO danymi wrażliwymi.
Dane o zdrowiu i stanie zdrowia
Wszelkie informacje o fizycznym lub psychicznym zdrowiu osoby, w tym o korzystaniu z usług opieki zdrowotnej, zwolnieniach lekarskich, nałogach, czy alergiach pokarmowych.
Dane biometryczne i genetyczne
Dane genetyczne (odziedziczone lub nabyte cechy genetyczne) oraz biometryczne przetwarzane w celu jednoznacznego zidentyfikowania osoby (np. odcisk palca, skan siatkówki, rozpoznawanie twarzy przez systemy AI).
Poglądy polityczne, wyznanie, światopogląd, pochodzenie rasowe lub etniczne
Informacje o tym, na jaką partię ktoś głosuje, jakiego jest wyznania lub jakiej rasy.
Orientacja seksualna i dane o życiu seksualnym
Wszelkie informacje ujawniające preferencje lub zachowania seksualne jednostki.
Dane o przynależności do związków zawodowych
Informacja o członkostwie w organizacjach zrzeszających pracowników.
Czy te dane są wrażliwe? – rozstrzygnięcie najczęstszych wątpliwości
Czy numer PESEL to dane wrażliwe? (Nie – ale wymaga szczególnej ochrony)
To jeden z największych mitów. Numer PESEL jest daną zwykłą, ponieważ nie ujawnia informacji z art. 9 RODO (zdrowie, rasa, wyznanie). Jednakże ze względu na to, że PESEL pozwala na kradzież tożsamości i zaciągnięcie kredytu, sądy i organ nadzorczy wymagają w stosunku do niego zabezpieczeń zbliżonych do danych wrażliwych.
Czy numer telefonu i adres e-mail to dane wrażliwe? (Nie)
Są to absolutnie standardowe, zwykłe dane osobowe służące do komunikacji.
Czy adres IP to dane osobowe? (Tak – jako dane zwykłe)
Zgodnie z orzecznictwem TSUE, dynamiczny i statyczny adres IP stanowi zwykłą daną osobową, o ile administrator ma możliwość przypisania go do konkretnego użytkownika.
Dane o wyrokach i naruszeniach prawa – odrębna kategoria (Art. 10 RODO)
Warto wyraźnie zaznaczyć, że dane dotyczące wyroków skazujących i czynów zabronionych nie są danymi wrażliwymi z art. 9. Stanowią one zupełnie odrębną, specjalną kategorię określoną w artykule 10 RODO. Ich przetwarzanie jest dozwolone wyłącznie pod kontrolą władz publicznych lub gdy pozwalają na to przepisy prawa państwowego.
Kiedy można przetwarzać dane wrażliwe? – przesłanki z Art. 9 ust. 2 RODO
Aby legalnie przetwarzać dane wrażliwe, musisz posiadać podstawę z art. 6 RODO oraz dodatkową przesłankę uchylającą zakaz z art. 9 ust. 2. Prawodawca określił sytuacje wyjątkowe. Przetwarzanie jest dozwolone m.in. wtedy, gdy przetwarzanie jest niezbędne ze względów ważnego interesu publicznego na podstawie prawa unii lub prawa państwa członkowskiego. Musi to być działanie proporcjonalne, opierające się na przepisach, które nie naruszają istoty prawa do ochrony prywatności. Przepisy te muszą kłaść nacisk na aspekty ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby fizycznej.
Kolejnym wyjątkiem jest sytuacja z zakresu prawa medycznego, kiedy to działanie jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego. Administrator może działać również, gdy przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej, medycyny pracy czy diagnozy medycznej, pod warunkiem zachowania tajemnicy zawodowej i wymogów określonych w ramach przepisów o ochronie danych osobowych.
Pozostałe kluczowe przesłanki to:
- Wyraźna zgoda osoby: Musi być dobrowolna, konkretna, świadoma i wyraźna.
- Prawo pracy i ubezpieczeń społecznych: Zbieranie danych o zdrowiu (np. L4) w celu realizacji obowiązków pracodawcy.
- Ochrona żywotnych interesów: Gdy osoba jest fizycznie lub prawnie niezdolna do wyrażenia zgody (np. wypadek komunikacyjny i konieczność transfuzji krwi).
- Dane w sposób oczywisty upublicznione przez osobę: Np. wywiad w mediach, w którym polityk jawnie deklaruje swoje wyznanie lub orientację.
- Ustalenie, dochodzenie lub obrona roszczeń: Niezbędne dla prawników i sądów.
Konsekwencje naruszenia ochrony danych – kary UODO i odszkodowania
Przykłady kar za wyciek danych wrażliwych w latach 2025-2026
Praktyka Urzędu Ochrony Danych Osobowych w ostatnich latach pokazuje wyraźne zaostrzenie kursu. W roku 2025 i 2026 kary za wycieki danych medycznych uległy znacznemu podwyższeniu. Ukarane zostały podmioty z branży medycznej oraz firmy HR, które niezgodnie z prawem zbierały dane biometryczne kandydatów do pracy. Kary w tych przypadkach wynosiły od kilkuset tysięcy do nawet kilku milionów złotych.
Różnica w wysokości kar: dane zwykłe a dane wrażliwe (nawet 3-5 krotna)
Brak wdrożenia odpowiednich środków technicznych i organizacyjnych (np. braki w dokumentacji, brak szyfrowania) w przypadku bazy klientów (dane zwykłe) kończy się zazwyczaj upomnieniem lub karą na poziomie kilkudziesięciu tysięcy złotych. Jeśli ten sam wyciek obejmuje dane o stanie zdrowia, UODO traktuje to jako rażące naruszenie, a nakładane sankcje finansowe są średnio 3-5 krotnie wyższe. Ponadto rośnie ryzyko cywilnych pozwów o zadośćuczynienie za krzywdę.
Praktyczne case study – dane wrażliwe w firmie
Case study 1: Alergie pracownika a catering firmowy – kiedy zdrowie staje się danym wrażliwym?
Firma informatyczna zorganizowała wyjazd integracyjny. Dział HR rozesłał ankietę do pracowników, pytając o preferencje żywieniowe. Jeden z pracowników wpisał „ostra alergia na orzeszki ziemne i celiakia”. Lista ta trafiła w otwartym pliku Excel do całego zespołu organizacyjnego i zewnętrznej firmy cateringowej. Co poszło nie tak? Informacja o alergii to dana dotycząca zdrowia (art. 9 RODO). Zbierając ją bez wyraźnej zgody na przetwarzanie danych szczególnych kategorii, a następnie udostępniając ją bez anonimizacji i odpowiednich zabezpieczeń, pracodawca doprowadził do naruszenia, które powinno zostać zgłoszone do UODO.
Case study 2: Biometria w rekrutacji a AI Act 2026 – nowe obowiązki dla pracodawców
Wraz z wejściem w życie unijnego rozporządzenia o sztucznej inteligencji (AI Act) w 2026 roku, wykorzystywanie systemów AI analizujących wyraz twarzy (rozpoznawanie emocji) czy mikroekspresje podczas rozmów rekrutacyjnych online stało się wysoce ryzykowne. Kategoryzacja biometryczna to przetwarzanie danych wrażliwych. Pracodawca, który nagrywa rozmowę i przepuszcza ją przez algorytm profilujący kandydata, łamie zarówno RODO (brak podstawy do przetwarzania biometrii w rekrutacji), jak i AI Act, narażając się na gigantyczne sankcje prawne.
FAQ – najczęstsze pytania o dane zwykłe i wrażliwe
1. Czy dane o karalności są danymi wrażliwymi?
Nie. Stanowią one zupełnie odrębną kategorię z art. 10 RODO. Nie można ich utożsamiać z danymi wrażliwymi z art. 9, choć ich ochrona jest niezwykle restrykcyjna. Pracodawca może żądać zaświadczenia z KRK tylko, gdy wyraźnie pozwala na to przepis prawa (np. ustawa o systemie oświaty, sektor finansowy, ustawa o ochronie małoletnich – tzw. „lex Kamilek”).
2. Czy zgoda na przetwarzanie danych wrażliwych musi być pisemna?
RODO nie narzuca bezwzględnie formy pisemnej, ale wymaga, aby zgoda na dane wrażliwe była „wyraźna”. Z punktu widzenia zasady rozliczalności (art. 5 RODO), udowodnienie wyraźnej zgody najłatwiej zrealizować w formie pisemnej, opatrzonej podpisem elektronicznym lub poprzez odznaczenie wyraźnego checkboxa z zapisem logów systemowych.
3. Czy można przetwarzać dane wrażliwe bez zgody pracownika?
Tak, jeśli istnieje inna podstawa prawna z art. 9 ust. 2 RODO, np. gdy jest to niezbędne do wypełnienia obowiązków wynikających z prawa pracy (np. przetwarzanie zwolnienia lekarskiego e-ZLA, realizacja obowiązków BHP po wypadku w pracy).
4. Jak długo można przechowywać dane wrażliwe (retencja)?
Tylko tak długo, jak jest to absolutnie niezbędne do celu, dla którego zostały zebrane. W przypadku dokumentacji medycznej wchodzącej w skład akt pracowniczych, czas ten jest ściśle regulowany przez Kodeks pracy i przepisy o archiwizacji (np. 10 lat od ustania stosunku pracy).
5. Czy anonimizacja danych zwalnia z obowiązków RODO?
Tak. Skutecznie zanonimizowane dane (których nie da się w żaden sposób odwrócić i powiązać z osobą) przestają być danymi osobowymi, a co za tym idzie, przestają być również danymi wrażliwymi. Z kolei pseudonimizacja nadal podlega pod przepisy RODO.
6. Czy numer PESEL to dane wrażliwe?
Z prawnego punktu widzenia PESEL to dana zwykła. Ponieważ jednak w polskich realiach uchodzi on za klucz do kradzieży tożsamości, musi być traktowany jako dana podwyższonego ryzyka.
7. Czy numer telefonu i adres e-mail to dane wrażliwe?
Nie. Są to zwykłe dane identyfikacyjne i kontaktowe przetwarzane na podstawie art. 6 RODO.
8. Czy wizerunek twarzy to zawsze dane biometryczne (wrażliwe)?
Nie zawsze. Zwykłe zdjęcie legitymacyjne pracownika to dana zwykła. Wizerunek staje się daną biometryczną (wrażliwą) dopiero wtedy, gdy przetwarzamy go za pomocą specjalnych metod technicznych w celu jednoznacznej identyfikacji osoby (np. system skanowania twarzy bramki wejściowej w biurze).
9. Jakie są kary za wyciek danych wrażliwych?
Mogą one sięgać nawet do 20 milionów euro lub 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. Dodatkowo istnieje ogromne ryzyko zapłaty zadośćuczynienia na rzecz samych poszkodowanych.
10. Czy certyfikat o niepełnosprawności pracownika to dane wrażliwe?
Tak. Stopień niepełnosprawności bezpośrednio odnosi się do stanu zdrowia pracownika. Pracodawca może jednak takie dane gromadzić, by korzystać ze wsparcia PFRON, ponieważ pozwala na to art. 9 ust. 2 lit. b RODO (obowiązki z zakresu prawa pracy).
Podsumowanie
- Dane osobowe dzielą się na dane zwykłe (art. 6 RODO) oraz dane wrażliwe – szczególne kategorie (art. 9 RODO). Odmienną grupą są dane o wyrokach karnych (art. 10 RODO).
- Dane wrażliwe obejmują zdrowie, biometrię, genetykę, orientację seksualną, poglądy polityczne, religię, pochodzenie rasowe i przynależność do związków zawodowych. Zamknięta lista, nic poza nią!
- PESEL, adres zamieszkania, numer telefonu i IP to dane zwykłe, choć wyciek numeru PESEL niesie ze sobą ogromne ryzyko i wymaga zgłoszenia incydentu do UODO.
- Generalna zasada RODO zakazuje przetwarzania danych wrażliwych. Musisz znaleźć mocny prawny powód z katalogu wyjątków (np. prawo pracy lub wyraźna, świadoma zgoda).
- Błędy w klasyfikacji danych oznaczają nakładanie nieodpowiednich zabezpieczeń, co z reguły prowadzi do naruszeń bezpieczeństwa, kar w wielomilionowych wysokościach oraz utraty reputacji.
Jak adwokat może pomóc Twojej firmie w ochronie danych?
Ochrona informacji wymaga ciągłego dostosowywania procesów organizacyjnych do zmieniającego się prawa i stanowisk organów nadzorczych. Kancelaria świadczy kompleksowe usługi dla przedsiębiorców z zakresu wdrażania i utrzymania standardów bezpieczeństwa.
Audyt RODO i wdrożenie – sprawdź, czy przetwarzasz dane wrażliwe zgodnie z prawem
Początkiem bezpiecznego biznesu jest gruntowny audyt RODO, który obnaży luki w polityce bezpieczeństwa, a następnie prawidłowe wdrożenie RODO, dopasowane do realiów Twojej firmy, aby zapewnić najwyższy poziom ochrony.
Outsourcing Inspektora Ochrony Danych (IOD) i reprezentacja przed UODO
Nie musisz zatrudniać specjalisty na pełen etat. Skorzystaj z usługi outsourcing IOD. Zapewniamy profesjonalne doradztwo oraz asystę we wszystkich trudnych sytuacjach, w tym reprezentację w sporach z organem nadzorczym.
Kompleksowa dokumentacja RODO
W razie kontroli musisz dowieść swojej zgodności z przepisami. Oferujemy przygotowanie bezbłędnej i aktualnej struktury pod szyldem dokumentacja RODO, obejmującej analizy ryzyka, klauzule, umowy powierzenia i rejestry czynności przetwarzania.
