Date cu caracter personal: testul „persoanei identificabile”

În temeiul GDPR, datele cu caracter personal nu se limitează la elemente evidente precum numele complet sau numărul național de identificare. Acestea includ orice informație care poate identifica o persoană în viață, direct sau indirect. De exemplu, funcția unei persoane, combinată cu codul său poștal, ar putea fi suficientă pentru a o individualiza, chiar dacă nu i-ați cunoscut niciodată numele. Deosebirea esențială este cea dintre datele care identifică singure o persoană (identificator direct) și datele care o identifică numai atunci când sunt combinate cu alte elemente (identificator indirect). Ambele intră sub incidența regulamentului.

Un truc frecvent la examene constă în prezentarea unui set de date din care numele a fost eliminat, dar care conține în continuare un număr unic de angajat sau o localizare GPS precisă. Rețineți că orice identificator online, precum o adresă IP sau un identificator de modul cookie, este de asemenea inclus dacă poate fi asociat unei persoane. Pentru a nu cădea în capcana unei variante de răspuns incorecte, întrebați-vă: ar putea o persoană rezonabilă, utilizând informațiile disponibile, să coreleze aceste date cu o anumită persoană fizică? Dacă da, sunt date cu caracter personal. Fiți atenți și la datele pseudonimizate — acestea rămân date cu caracter personal dacă există undeva cheia necesară pentru reidentificare.

Un test mental rapid: imaginați-vă că găsiți o foaie de calcul care conține doar „Clientul 123” și un istoric al achizițiilor. Dacă dețineți și o listă separată care îl asociază pe „Clientul 123” cu „Jane Smith”, atunci ambele seturi conțin date cu caracter personal. Din momentul în care orice informație poate fi asociată unei persoane reale, chiar și prin intermediul unui cod sau al unei combinații de date, se aplică GDPR. Aceasta este esența testului „persoanei identificabile” — concentrați-vă asupra legăturii, nu doar asupra etichetei.