Na łamach cyklicznie udostępnianej w formie newslettera publikacji „RODO – rewolucja czy ewolucja…?” będziemy przybliżać Państwu zagadnienia z zakresu administrowania danymi osobowymi, bezpieczeństwa ich przetwarzania i ochrony tak, by 25 maja 2018 r. nowe zasady ochrony danych osobowych nie budziły żadnych wątpliwości. 

W poprzednich publikacjach zostały zidentyfikowane grupy osób, których dane przetwarzane są w Uniwersytecie Jagiellońskim oraz poszczególne zbiory, w których w/w dane są gromadzone (np. kandydaci na studia, studenci, absolwenci, pracownicy uczelni itp.). W tej publikacji zostanie omówiony zakres danych przetwarzanych w zbiorach uniwersyteckich.

Zwykle z danymi osobowymi kojarzone są imię i nazwisko, ewentualnie adres. Jednak dane osobowe zgodnie z art. 4 RODO oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”).

Przez osobę fizyczną możliwą do zidentyfikowania rozumie się osobę, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby.

W związku z powyższym w Uniwersytecie dane osobowe przetwarzane są między innymi w zakresie:

• imię i nazwisko,                                
• data urodzenia,
• numer PESEL,
• numer indeksu/albumu studenta UJ,
• inne przypisane numery (numer, seria dowodu, paszportu),
• adres zamieszkania/zameldowania,
• adres e-mail (o ile bazuje na imieniu i nazwisku danej osoby),
• numer telefonu,
• szczególne czynniki określające fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby,
• wizerunek,
• ID komputera,
• nr rachunku bankowego.

Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań. Danymi osobowymi będą zatem takie dane, które pozwalają na natychmiastowe określenie tożsamości konkretnej osoby oraz takie które przy pewnym nakładzie kosztów, czasu i działań są wystarczające do jej ustalenia.

Należy zwrócić uwagę, że informacje o dużym stopniu ogólności, pomimo wyszczególnienia w powyższym wykazie, w określonym kontekście nie będą danymi osobowymi z uwagi na brak możliwości zidentyfikowania konkretnej osoby. Dane pracowników Uniwersytetu Jagiellońskiego dostępne na stronie www.uj.edu.pl w wyszukiwarce pracowników są danymi osobowymi ogólnodostępnymi. Pozwalają zidentyfikować konkretnego pracownika Uniwersytetu z imienia i nazwiska oraz określić jego stanowisko. W opisanym przypadku imię i nazwisko jest daną osobową. Ale to samo imię i nazwisko w skali całego kraju, bez przypisania pracodawcy, w większości przypadków nie będzie już miało charakteru danej osobowej.

Przykładem pojedynczej informacji stanowiącej daną osobową jest natomiast numer PESEL, który zgodnie z art. 15 ust. 2 ustawy z dnia 24 września 2010 r. o ewidencji ludności (Dz.U. z 2015 r. poz. 388) jest 11-cyfrowym symbolem numerycznym, jednoznacznie identyfikującym osobę fizyczną, w którym sześć pierwszych cyfr oznacza datę urodzenia (rok, miesiąc, dzień), kolejne cztery - liczbę porządkową i płeć osoby, a ostatnia jest cyfrą kontrolną służącą do elektronicznej kontroli poprawności nadanego numeru ewidencyjnego. Można więc stwierdzić, że numer PESEL z definicji stanowi daną osobową, a jej przetwarzanie podlega wszelkim rygorom przewidzianym w RODO.

Uniwersyteckie zbiory danych posiadają złożoną strukturę. Występują w nich zestawy danych pozwalające w skali Uniwersytetu Jagiellońskiego jednoznacznie określić osobę, której dane dotyczą, a  identyfikacja nie pociąga za sobą nadmiernych kosztów i większego wysiłku. Dlatego np. publikowanie zestawionych z numerem albumu studenta wyników egzaminu przez zamieszczenie ich na stronie internetowej/tablicy informacyjnej jest naruszeniem zasad ochrony danych osobowych.

W Uniwersytecie Jagiellońskim są przetwarzane również dane szczególnych kategorii:

• dane o stanie zdrowia,
• dane ujawniające pochodzenie rasowe lub etniczne,
• poglądy polityczne,
• przekonania religijne lub światopoglądowe,
• przynależność do związków zawodowych,
• dane genetyczne, biometryczne,
• dane dotyczące seksualności lub orientacji seksualnej.​

Przetwarzanie danych szczególnych kategorii z definicji jest zabronione, chyba, że zachodzi jedna z poniższych przesłanek:

• osoba, której dane dotyczą, udzieliła wyraźnej zgody na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach,
• gdy przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą,
• gdy przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody,
• gdy przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą,
• gdy przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego
• gdy przetwarzanie jest niezbędne do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych

Dane szczególnych kategorii w UJ przetwarzamy między innymi:

• w badaniach naukowych,
• w badaniach klinicznych,
• w projektach,
• do celów socjalnych (stypendia dla studentów, wsparcie socjalne pracowników).

1. Czy wiesz już, jakie dane przetwarzamy w Uniwersytecie Jagiellońskim?

2. Czy wiesz, jakie szczególne kategorie danych osobowych może przetwarzać UJ i na jakiej podstawie?