Ochronie nie podlegają dane osób prawnych

Danymi osobowymi mogą być nie tylko dane osobowe konkretnej osoby, ale także zdjęcia, filmy, zarejestrowane głosy czy dane biometryczne (linie papilarne, cechy źrenicy czy charakterystyczne rysy twarzy). Do tej kategorii zaliczają się też informacje z systemu monitoringu sieciowego, jeśli jednoznacznie pozwalają zidentyfikować konkretnego człowieka, np. mogą to być daty i czasy używania elektronicznych kart dostępu.

Ochronie nie podlegają także dane osób prawnych (np. numer KRS, NIP, REGON). Trzeba jednak zauważyć, że przetwarzanie personaliów osób fizycznych będących członkami organów (zarządu czy rady nadzorczej) podlega pełnej ochronie i najczęściej wymaga ich zgody. Można natomiast przetwarzać dane osobowe zawarte w oficjalnie dostępnych ewidencjach, np. działalności gospodarczej (CEIDG). Na przykład PESEL Jana Kowalskiego, który prowadzi działalność gospodarczą i z tego powodu jest wpisany do CEIDG, może być przetwarzany bez jego zgody. Natomiast nie można posługiwać się numerem i serią dowodu osobistego Zbigniewa Nowaka, prezesa Novum sp. z o.o., który to numer i seria nie jest ujawniony w KRS.

W przypadku wątpliwości dotyczących czy w danej sytuacji można przetwarzać dane osobowe w systemie informatycznym, najlepiej jest zwrócić się z zapytaniem o wykładnię do generalnego inspektora ochrony danych osobowych. Warto też zajrzeć do wyroku Sądu Apelacyjnego w Gdańsku z 15 marca 1996 roku (I ACr 33/96). Uzasadniają wyrok skład orzekający stwierdził, że „dobro osobiste podlega ochronie prawnej, gdy jest zagrożone cudzym bezprawnym działaniem (art. 24 § 1 kc). Nie można wszakże przyjąć, że posłużenie się danymi osobowymi osoby fizycznej w ofercie handlowej do niej skierowanej było bezprawnym działaniem oferenta. Podstawowe dane osobowe człowieka (nazwisko i imię) są jego dobrem osobistym, ale jednocześnie są dobrem powszechnym w tym znaczeniu, że istnieje publiczna zgoda na posługiwanie się nimi w życiu społecznym (towarzyskim, urzędowym, handlowym itd.)”. Dopóki więc dane osobowe człowieka są używane zgodnie z regułami społecznymi, nie można mówić o bezprawności tego typu działań. 

Przy czym należy pamiętać, że rozsyłanie niezamówionych wiadomości na dowolnie wybrane skrzynki mailowe jest spamem, co jest karalne. Inaczej mówiąc, firma nie może wysyłać wiadomości na skrzynki, jeżeli wcześniej nie uzyska na to zgody użytkownika skrzynki. Jednak pytając daną osobę o zgodę na przesyłanie np. informacji handlowych nie trzeba jednocześnie pytać jej o zgodę na przetwarzanie jej danych osobowych.

Z kolei za „możliwość zidentyfikowania osoby” uznaje się sytuację, gdy za pomocą jednego lub kilku specyficznych informacji (danych) można określić cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne danej osoby. Mogą to być np. unikalny login do wewnętrznego systemu bezpieczeństwa czy numer ID wpisu w bazie danych wskazujący na konkretnego użytkownika sieci.