Zašto je to važno
Definicija osobnih podataka je ulaz u GDPR. Ako informacija predstavlja osobni podatak, tada se na njezinu obradu primjenjuje cijeli GDPR. EU definicija je namjerno široka — znatno šira od tradicionalnog pojma "osobno identificirajućih informacija". Razumijevanje što sve čini osobne podatke sprječava organizacije da nesvjesno obrađuju regulirane informacije bez zaštite.
Što sve spada pod osobne podatke
Izravni identifikatori
- Ime i prezime, datum rođenja, OIB
- E-mail adresa, telefonski broj, kućna adresa
- Fotografija, snimka glasa
Neizravni identifikatori
- IP adresa, identifikator kolačića, otisak uređaja
- Lokacijski podaci, GPS koordinate
- Broj zaposlenika, broj studenta, broj korisničkog računa
- Podaci o ponašanju, povijest kupovina, obrasci pregledavanja
Često previđeni
- Snimke videonadzora identificiranih osoba
- Pseudonimizirani podaci (i dalje su osobni podaci prema GDPR-u)
- Metapodaci koji u kontekstu mogu identificirati osobu
- Online identifikatori poput oglašivačkih ID-ova
Posebne kategorije osobnih podataka
Članak 9. definira podatke koji uživaju pojačanu zaštitu:
- Rasno ili etničko podrijetlo
- Politička mišljenja
- Vjerska ili filozofska uvjerenja
- Sindikalno članstvo
- Genetski i biometrijski podaci (kada se koriste za identifikaciju)
- Zdravstveni podaci
- Seksualni život ili spolna orijentacija
Obrada posebnih kategorija podataka je zabranjena prema zadanim postavkama i dozvoljena samo uz specifične iznimke (izričita privola, obveze iz radnog prava, vitalni interesi, itd.).
Što NISU osobni podaci
- Istinski anonimizirani podaci (gdje je identifikacija nepovratna)
- Matični brojevi tvrtki (o pravnim osobama, ne pojedincima)
- Generičke e-mail adrese bazirane na ulozi (info@tvrtka.hr) — iako se o tome raspravlja
- Agregirani statistički podaci gdje se pojedinci ne mogu identificirati
Pseudonimizacija vs anonimizacija
Pseudonimizirani podaci (npr. zamjena imena šiframa) su i dalje osobni podaci jer je ponovna identifikacija moguća s dodatnim informacijama.
Anonimizirani podaci nisu osobni podaci — ali pravu anonimizaciju teško je postići. Ako postoji bilo koji razumni način ponovne identifikacije, podaci ostaju osobni.
Ključna regulativa
- GDPR Članak 4(1) — definicija osobnih podataka
- GDPR Članak 9 — posebne kategorije osobnih podataka
- GDPR Članak 4(5) — pseudonimizacija
- Uvodna izjava 26 — test identifikacije