Czy udostępnienie imienia i nazwiska stanowi naruszenie RODO?

W dobie cyfryzacji i szybkiego obiegu informacji wiele osób zadaje sobie pytanie: czy udostępnienie imienia i nazwiska innej osoby stanowi naruszenie przepisów o ochronie danych osobowych, w tym RODO? Pytanie to jest zasadne również z uwagi na ostatnie wydarzenia polityczne - sprawy Pana Jerzego (przyp. red. dotyczy wyborów prezydenckich, przeprowadzonych w 2025 roku). Odpowiedź jak to często bywa w prawie brzmi: to zależy. W niniejszym wpisie wyjaśniam, kiedy imię i nazwisko podlegają ochronie jako dane osobowe, a także kiedy ich ujawnienie może prowadzić do powstania odpowiedzialności.

Czym są dane osobowe?

Zgodnie z art. 4 pkt 1 RODO: „dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej”.

Zatem, może to być nie tylko imię i nazwisko, ale też adres e-mail, numer telefonu, dane lokalizacyjne czy nawet identyfikator IP, jeśli pozwalają one wskazać konkretną osobę. Jako ciekawostkę należy przytoczyć numer PESEL, który jest daną osobową niezależnie od tego, czy w danym kontekście pozwala na identyfikację osoby fizycznej. W tym przypadku decydujące znaczenie ma przepis szczególny – art. 15 ust. 2 ustawy z dnia 24 września 2010 r. o ewidencji ludności (t.j. Dz. U. z 2025 r. poz. 274 z późn. zm.), zgodnie z którym:

„Numer PESEL jest to jedenastocyfrowy symbol numeryczny, jednoznacznie identyfikujący osobę fizyczną […]”.

Numer PESEL stanowi wyjątek od ogólnej zasady, zgodnie z którą o kwalifikacji informacji jako danych osobowych decyduje możliwość identyfikacji.

Czy samo imię i nazwisko to dane osobowe?

Nie każde imię i nazwisko automatycznie podlega ochronie RODO. Kluczowe znaczenie ma kontekst – czyli to, czy w konkretnej sytuacji możliwe jest zidentyfikowanie osoby na podstawie tych danych lub w połączeniu z innymi informacjami.

Imię i nazwisko staje się daną osobową w momencie, gdy zaczyna pełnić funkcję identyfikującą. Czynniki, które mogą to determinować, obejmują:

Dane osobowe w świetle RODO – jak rozumieć „możliwą identyfikację”?

Zgodnie z motywem 26 RODO, aby uznać, że mamy do czynienia z danymi osobowymi, należy ocenić, czy istnieje uzasadnione prawdopodobieństwo, że dostępne informacje zostaną użyte do zidentyfikowania osoby fizycznej bezpośrednio lub pośrednio.

Istotne jest tu także racjonalne podejście. Nie chodzi o samą hipotetyczną możliwość, że ktoś, gdzieś, kiedyś połączy dane, ale o realną szansę, że przy użyciu dostępnych środków da się osobę wskazać.

„Zidentyfikowanie osoby fizycznej nie musi polegać na określeniu jej imienia i nazwiska, a wystarczające jest oznaczenie danej osoby w sposób umożliwiający wywieranie na nią określonego wpływu. Nie chodzi zatem o możliwość odniesienia konkretnej informacji do konkretnej osoby, lecz o możliwość wskazania danej osoby, rozumianego jako faktyczne wyodrębnienie jej spośród innych osób” [Wyrok SA w Szczecinie z 10.07.2024 r., I ACa 1400/22]

Kiedy udostępnienie imienia i nazwiska narusza przepisy?

Czy każda publikacja imienia i nazwiska wymaga zgody?

Nie – zgoda nie jest jedyną podstawą przetwarzania danych osobowych. Dane, w tym imię i nazwisko, mogą być przetwarzane legalnie na podstawie innych przesłanek określonych w art. 6 ust. 1 RODO. Poniżej przedstawiam najważniejsze przypadki:

Co to oznacza? Wprost przesądza to o tym, że zgoda nie jest zawsze konieczna, jeśli spełnione są pozostałe wymogi RODO, takie jak przejrzystość wobec osoby, minimalizacja danych oraz ocena proporcjonalności publikacji. Przykład: publikacja programu konferencji naukowej z nazwiskami prelegentów może odbyć się bez zgody, jeśli osoby zostały wcześniej poinformowane i działa się w ramach uzasadnionego interesu. W innych przypadkach, np. publikacja listy uczestników bez ich wiedzy, zgoda może być wymagana.

Uwaga: Nie należy nadużywać przesłanki uzasadnionego interesu, zwłaszcza jeśli publikacja może narazić osobę na szkodę, stygmatyzację lub naruszenie prywatności. Zawsze warto rozważyć alternatywy: inicjały, pseudonim lub pominięcie danych.

Jeżeli chcesz pogłębić wiedzę na temat obowiązkowej dokumentacji RODO, polecam przeczytać również: Czy wdrożenie RODO jest obowiązkowe?

Potrzebujesz pomocy w sprawie danych osobowych?

Jeśli nie masz pewności, czy przetwarzasz dane zgodnie z przepisami, lub chcesz zabezpieczyć się przed ryzykiem naruszenia RODO to skontaktuj się ze mną. Pomagam firmom i osobom prywatnym w prawidłowym stosowaniu przepisów o ochronie danych osobowych.

Oferuję kompleksowe wsparcie w zakresie:

• weryfikacji zgodności z RODO i audytu ochrony danych,
• przygotowania polityk prywatności, klauzul informacyjnych i zgód,
• reagowania na incydenty naruszenia danych,
• kontaktów z UODO oraz reprezentacji w postępowaniach,
• szkoleń dla pracowników i wdrażania zasad ochrony danych w organizacji.

Zadbaj o zgodność z przepisami RODO już teraz. Napisz do mnie, a wspólnie znajdziemy optymalne rozwiązanie.

Pozdrawiam
Wiktor Dębowski