Zbiór danych

W dzisiejszym cyfrowym świecie, pełnym gwałtownego rozwoju technologicznego, dane odgrywają kluczową rolę. Zbiory danych, będące uporządkowanymi zestawami informacji, stają się nieodłącznym elementem wielu aspektów naszego życia. Dlaczego warto zdobyć wiedzę na ich temat? Prosty przykład: najmniejsza lista subskrybentów to zbiór danych!

„Zbiór danych” oznacza uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub geograficznie.

Art. 4 pkt 6 RODO

Uporządkowany zestaw danych osobowych (o wewnętrznej strukturze).
Dane osobowe muszą być dostępne według określonych kryteriów.

Może być:

scentralizowany albo zdecentralizowany,
rozproszony funkcjonalnie lub geograficznie.

Aby zapobiec poważnemu ryzyku obchodzenia prawa, ochrona osób fizycznych powinna być neutralna pod względem technicznym i nie powinna zależeć od stosowanych technik. Ochrona osób fizycznych powinna mieć zastosowanie do zautomatyzowanego przetwarzania danych osobowych oraz do przetwarzania ręcznego, jeżeli dane osobowe znajdują się lub mają się znaleźć w zbiorze danych. Zbiory lub zestawy zbiorów oraz ich strony tytułowe, które nie są uporządkowane według określonych kryteriów nie powinny być objęte zakresem [RODO].

Motyw 15 RODO

Jakie znaczenie w przetwarzaniu ma zbiór danych?

Pojęcie zbioru danych zostało ujęte podczas określania materialnego zakresu stosowania RODO. Rozporządzenie ma bowiem zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych (art. 2 ust. 1 RODO).

Obecnie nie ma konieczności prowadzenia rejestrów zbiorów danych i samo pojęcie nie stanowi kryterium decyzyjnego o nałożeniu na administratora lub podmiot przetwarzający określonych obowiązków. Niemniej jednak wyodrębnienie zbiorów danych jest bardzo pomocne podczas wdrażania środków organizacyjno-technicznych w samej organizacji.

Przykłady środków organizacyjno-technicznych:

przechowywanie zbiorów danych w dedykowanych pomieszczeniach,
system kontroli dostępu do w/w pomieszczeń,
środki ochrony przed szkodliwym oprogramowaniem,
mechanizm wymuszający okresową zmianę haseł dostępu,
uwierzytelnienie dwuskładnikowe, np. za pomocą pinu, tokena lub hasła z dedykowanej aplikacji,
polityka czystego biurka,
polityka czystego ekranu.

Kiedy mamy do czynienia ze zbiorem danych?

Zestaw danych

zawiera dane osobowe,
ma określoną strukturę,
zapewnia dostęp do danych według określonych kryteriów.

Zbiór danych może być prowadzony:

w systemie informatycznym lub teleinformatycznym,
w formie elektronicznej (dokument Word, Excel),
w formie papierowej (tradycyjnej), np. kartoteka, skorowidz, ewidencje, repertoria,
w tej samej lokalizacji,
w różnych lokalizacjach (archiwum dokumentów księgowo-podatkowych w biurze rachunkowym, pozostała dokumentacja w siedzibie firmy).

Wśród metod pozwalających ograniczyć przetwarzanie danych osobowych mogą się znaleźć między innymi: czasowe przeniesienie wybranych danych osobowych do innego systemu przetwarzania, uniemożliwienie użytkownikom dostępu do wybranych danych, lub czasowe usunięcie opublikowanych danych ze strony internetowej. W zautomatyzowanych zbiorach danych przetwarzanie należy zasadniczo ograniczyć środkami technicznymi w taki sposób, by dane osobowe nie podlegały dalszemu przetwarzaniu ani nie mogły być zmieniane. Fakt ograniczenia przetwarzania danych osobowych należy wyraźnie zaznaczyć w systemie.

Motyw 67 RODO

Przykłady:

lista uczestników konferencji,
lista kandydatów do pracy,
baza klientów,
zbiór umów zawartych z klientami,
ewidencja korespondencji,
subskrybenci newslettera.

Organy publiczne, którym ujawnia się dane osobowe w związku z ich prawnym obowiązkiem sprawowania funkcji publicznej (takich jak organy podatkowe, organy celne, finansowe jednostki analityki finansowej, niezależne organy administracyjne czy organy rynków finansowych regulujące i nadzorujące rynki papierów wartościowych), nie powinny być traktowane jako odbiorcy, jeżeli otrzymane przez nie dane osobowe są im niezbędne do przeprowadzenia określonego postępowania w interesie ogólnym zgodnie z prawem Unii lub prawem państwa członkowskiego. Żądanie ujawnienia danych osobowych, z którym występują takie organy publiczne, powinno zawsze mieć formę pisemną, być uzasadnione, mieć charakter wyjątkowy, nie powinno dotyczyć całego zbioru danych ani prowadzić do połączenia zbiorów danych. Przetwarzając otrzymane dane osobowe, takie organy powinny przestrzegać mających zastosowanie przepisów o ochronie danych, zgodnie z celami przetwarzania.

Motyw 31 RODO

Niniejszy artykuł ma charakter wyłącznie edukacyjny i nie stanowi porady prawnej ani opinii prawnej. Zapoznaj się z notą prawną.

Jeżeli potrzebujesz indywidualnej pomocy związanej dostosowaniem się do zmian prawnych, napisz na napisz@tudzialprawny.pl.

Stan prawny na dzień: 14.10.2020 r.

Bibliografia

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych) (Dz. Urz. UE. L 2016 Nr 119 ze zm.)
K. Witkowska-Nowakowska, Komentarz do art. 4 pkt 6 [w:] RODO. Ogólne Rozporządzenie o ochronie danych osobowych. Komentarz, red. E. Bielak – Jomaa, D. Lubasz, Wolters Kluwer 2018, s. 208-210.
Komentarz do art. 4 pkt 6, [w:] RODO, red. Sakowska-Baryła 2018, Legalis
P. Litwiński, P. Barta, M. Kawecki, Komentarz do art. 4 pkt 6 [w:] Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, red. P. Litwiński, Warszawa 2018, Legalis.

Źródło zdjęcia: Artem Podrez, Pexels, https://www.pexels.com/pl-pl/zdjecie/jasny-marketing-biznesmen-mezczyzna-5716032/, dostęp: 24.07.2023 r.