"Dane osobowe" w rozumieniu art. 4 pkt 1 RODO

Formy grzecznościowe, wiążące się z męską lub żeńską tożsamością płciową, można uznać za „dane osobowe”, ponieważ odnoszą się do zidentyfikowanej osoby fizycznej w rozumieniu art. 4 pkt 1 RODO. Tego rodzaju dane podlegają „przetwarzaniu” w rozumieniu art. 4 pkt 2 RODO.

Wyrok TSUE z dnia 9 stycznia 2025 r., C-394/23

Standard: 86070 (pełna treść orzeczenia)

Dane osobowe oznaczają „informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej”, a także wskazuje, że „możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej”.

Użycie w definicji „danych osobowych” wyrażenia „[wszelkie] informacje” odzwierciedla przyświecający unijnemu prawodawcy zamiar przypisania temu pojęciu szerokiego zakresu, rozszerzając go potencjalnie o informacje wszelkiego rodzaju, zarówno obiektywne, jak i subiektywne, w postaci opinii czy oceny, a jedynym warunkiem, jaki muszą one spełniać, jest to, aby „dotyczyły” danej osoby (wyrok z dnia 4 maja 2023 r., Österreichische Datenschutzbehörde i CRIF, C-487/21).

Informacja dotyczy zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, jeżeli ze względu na jej treść, cel lub skutek jest ona powiązana z możliwą do zidentyfikowania osobą (wyrok z dnia 4 maja 2023 r., Österreichische Datenschutzbehörde i CRIF, C-487/21).

Co się tyczy „możliwych do zidentyfikowania” właściwości osoby fizycznej, motyw 26 RODO precyzuje, że należy wziąć pod uwagę „wszelkie rozsądnie prawdopodobne sposoby (w tym wyodrębnienie wpisów dotyczących tej samej osoby), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej”.

Wynika z tego, że szeroka definicja pojęcia „danych osobowych” obejmuje nie tylko dane gromadzone i przechowywane przez administratora danych, lecz również wszelkie informacje wynikające z przetwarzania danych osobowych, które dotyczą zidentyfikowanej lub możliwej do zidentyfikowania osoby (zob. podobnie wyrok z dnia 4 maja 2023 r., Österreichische Datenschutzbehörde i CRIF, C-487/21).

Wyrok TSUE z dnia 4 października 2024 r., C-200/23

Standard: 83941 (pełna treść orzeczenia)