Prawie każda praca wiąże się z danymi osobowymi. Recepcjonistka zapisuje nazwisko gościa. Sprzedawca przyjmuje adres dostawy. Opiekun czyta plan opieki. Nauczyciel prowadzi listę klasy. Prawo ochrony danych określa, jak należy postępować z takimi informacjami, i dotyczy ciebie tak samo jak twojego pracodawcy.
Prawo w Wielkiej Brytanii
- UK GDPR (brytyjskie ogólne rozporządzenie o ochronie danych) to główny zbiór przepisów. Wywodzi się z unijnego RODO i jest dziś częścią prawa brytyjskiego.
- Data Protection Act 2018 (DPA 2018, brytyjska ustawa o ochronie danych) działa obok niego. Dodaje brytyjskie szczegóły, takie jak wyjątki i przestępstwa.
- Data (Use and Access) Act 2025 (DUAA, ustawa o danych, ich wykorzystaniu i dostępie) została uchwalona 19 czerwca 2025 r. Zmienia UK GDPR, DPA 2018 i przepisy o marketingu (PECR). Nie zastępuje ich. Jej zmiany wchodziły w życie etapami, a od 19 czerwca 2026 r. obowiązują wszystkie. Najnowsze wytyczne sprawdzaj na ico.org.uk.
- Privacy and Electronic Communications Regulations 2003 (PECR, przepisy o prywatności i łączności elektronicznej) dotyczą wiadomości marketingowych, połączeń i plików cookie. Poznasz je w lekcji 7.
Organem nadzorczym jest Information Commissioner's Office (ICO), brytyjski organ ochrony danych. Publikuje wytyczne, przyjmuje skargi i może nakładać kary na organizacje.
Dane osobowe
Dane osobowe to wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania żyjącej osobie. Nie muszą być tajne. Przykłady:
- imię i nazwisko, adres, adres e-mail lub numer telefonu;
- zdjęcie, obraz z monitoringu lub nagranie głosu;
- numer pracownika, numer konta klienta lub identyfikator internetowy;
- notatka w aktach o tym, co dana osoba powiedziała lub zrobiła.
Jeśli możesz ustalić, kogo dotyczy informacja, np. łącząc ją z innymi danymi, są to dane osobowe. Informacje o firmie nie są danymi osobowymi. Informacje o jednoosobowym przedsiębiorcy (sole trader) lub o wskazanej z imienia i nazwiska osobie kontaktowej firmy mogą nimi być.
Dane szczególnych kategorii i dane o wyrokach
Niektóre dane są bardziej wrażliwe, bo ich niewłaściwe użycie może wyrządzić realną szkodę. Dane szczególnych kategorii (special category data) to informacje o:
- pochodzeniu rasowym lub etnicznym;
- poglądach politycznych;
- przekonaniach religijnych lub światopoglądowych;
- przynależności do związku zawodowego;
- danych genetycznych i biometrycznych służących do identyfikacji osoby;
- zdrowiu;
- życiu seksualnym lub orientacji seksualnej.
Dane o wyrokach i przestępstwach (criminal offence data) mają również dodatkową ochronę. Organizacja potrzebuje dodatkowego warunku prawnego, aby z nich korzystać. Za każdym razem zachowaj większą ostrożność.
Administratorzy i podmioty przetwarzające
- Administrator (controller) decyduje, w jakim celu i w jaki sposób dane osobowe są wykorzystywane. Twój pracodawca jest zwykle administratorem.
- Podmiot przetwarzający (processor) wykorzystuje dane osobowe w imieniu administratora i na jego polecenie, np. firma obsługująca płace lub usługa w chmurze.
- Osoba, której dane dotyczą (data subject), to człowiek, którego dotyczą te dane. Klienci, pacjenci, uczniowie, pracownicy i kandydaci do pracy to osoby, których dane dotyczą.
Główne obowiązki prawne spoczywają na administratorze. Jako pracownik zwykle działasz w imieniu pracodawcy. Stosujesz jego polecenia i polityki.
Co jest wykorzystywaniem danych
Prawo nazywa to przetwarzaniem. Oznacza ono niemal wszystko: zbieranie, zapisywanie, przechowywanie, przeglądanie, udostępnianie, zmienianie, usuwanie. Nawet samo obejrzenie rekordu na ekranie jest przetwarzaniem.
Co obejmuje prawo
UK GDPR obejmuje dane osobowe przechowywane w komputerach, telefonach i innych systemach cyfrowych. Obejmuje też dokumentację papierową prowadzoną w uporządkowanym zbiorze. Odręczne notatki i wiadomości też się liczą, jeśli są przechowywane jako część zbioru dokumentów.
Twój punkt wyjścia
Nie musisz być prawnikiem. Musisz natomiast wiedzieć, czym są dane osobowe, korzystać z nich tylko do celów swojej pracy i pytać, gdy masz wątpliwości. Lekcja 8 pokazuje, co robić, a czego nie.