Czy udostępnienie imienia i nazwiska stanowi naruszenie RODO?

W dobie cyfryzacji i szybkiego obiegu informacji wiele osób zadaje sobie pytanie: czy udostępnienie imienia i nazwiska innej osoby stanowi naruszenie przepisów o ochronie danych osobowych, w tym RODO? Pytanie to jest zasadne również z uwagi na ostatnie wydarzenia polityczne - sprawy Pana Jerzego. Odpowiedź — jak to często bywa w prawie — brzmi: to zależy. W niniejszym wpisie wyjaśniam, kiedy imię i nazwisko podlegają ochronie jako dane osobowe, oraz kiedy ich ujawnienie może prowadzić do odpowiedzialności.

Czym są dane osobowe?

Zgodnie z art. 4 pkt 1 RODO: „dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej”.

Zatem, może to być nie tylko imię i nazwisko, ale też adres e-mail, numer telefonu, dane lokalizacyjne czy nawet identyfikator IP, jeśli pozwalają one wskazać konkretną osobę. Jako ciekawostkę należy przytoczyć numer PESEL, który jest daną osobową niezależnie od tego, czy w danym kontekście pozwala na identyfikację osoby fizycznej. W tym przypadku decydujące znaczenie ma przepis szczególny – art. 15 ust. 2 ustawy z dnia 24 września 2010 r. o ewidencji ludności (t.j. Dz. U. z 2025 r. poz. 274 z późn. zm.), zgodnie z którym:

„Numer PESEL jest to jedenastocyfrowy symbol numeryczny, jednoznacznie identyfikujący osobę fizyczną […]”.

Stanowi on wyjątek od ogólnej zasady, zgodnie z którą o kwalifikacji informacji jako danych osobowych decyduje możliwość identyfikacji.

Czy samo imię i nazwisko to dane osobowe?

Nie każde imię i nazwisko automatycznie podlega ochronie RODO. Kluczowe znaczenie ma kontekst – czyli to, czy w konkretnej sytuacji możliwe jest zidentyfikowanie danej osoby fizycznej na podstawie tych danych, lub w połączeniu z innymi dostępnymi informacjami. Najlepiej obrazuje to następujący przykład:

• Imię i nazwisko „Jan Nowak” może nie być danymi osobowymi, jeśli nie pozwala nikomu na zidentyfikowanie konkretnej osoby (np. gdy mowa o fikcyjnej postaci).
• Ale już „Jan Nowak z Warszawy, pracownik firmy X” może podlegać ochronie RODO, ponieważ w tym kontekście osoba staje się możliwa do zidentyfikowania.

Imię i nazwisko staje się więc daną osobową w momencie, gdy zaczyna pełnić funkcję identyfikującą. To może wynikać z:

• okoliczności publikacji (np. kontekstu zawodowego, miejsca zatrudnienia, dziedziny działalności),
• powiązania z dodatkowymi informacjami – jak zdjęcie, numer telefonu, adres, funkcja pełniona w organizacji, czy nawet pseudonim, jeśli jest powszechnie znany,
• łatwości, z jaką odbiorca informacji może połączyć te dane z konkretną osobą – np. na podstawie wyszukiwarki internetowej lub publicznych rejestrów.

Dane osobowe w świetle RODO – jak rozumieć „możliwą identyfikację”?

Zgodnie z motywem 26 RODO, aby uznać, że mamy do czynienia z danymi osobowymi, należy ocenić, czy istnieje uzasadnione prawdopodobieństwo, że dostępne informacje zostaną użyte do zidentyfikowania osoby fizycznej — bezpośrednio lub pośrednio.

Istotne jest tu także racjonalne podejście. Nie chodzi o samą hipotetyczną możliwość, że ktoś, gdzieś, kiedyś połączy dane, ale o realną szansę, że przy użyciu dostępnych środków da się osobę wskazać.

„Zidentyfikowanie osoby fizycznej nie musi polegać na określeniu jej imienia i nazwiska, a wystarczające jest oznaczenie danej osoby w sposób umożliwiający wywieranie na nią określonego wpływu. Nie chodzi zatem o możliwość odniesienia konkretnej informacji do konkretnej osoby, lecz o możliwość wskazania danej osoby, rozumianego jako faktyczne wyodrębnienie jej spośród innych osób”
[Wyrok SA w Szczecinie z 10.07.2024 r., I ACa 1400/22]

Kiedy udostępnienie imienia i nazwiska narusza przepisy?

Jeśli imię i nazwisko stanowią dane osobowe w danym kontekście, ich ujawnienie – np. publikacja na stronie internetowej, w mediach społecznościowych lub przesłanie nieuprawnionym osobom – może być naruszeniem RODO, jeżeli:

• brak było podstawy prawnej (np. zgody, umowy, obowiązku prawnego),
• nie poinformowano osoby o przetwarzaniu jej danych,
• osoba nie miała możliwości skorzystania ze swoich praw (np. do sprzeciwu lub usunięcia danych).

Czy każda publikacja imienia i nazwiska wymaga zgody?

Nie – zgoda nie jest jedyną podstawą przetwarzania danych osobowych. W rzeczywistości bardzo często dane – w tym imię i nazwisko – mogą być przetwarzane legalnie na podstawie innych przesłanek określonych w art. 6 ust. 1 RODO.

Przykładowe podstawy, które mogą uzasadniać publikację imienia i nazwiska to:

• Wykonanie umowy – np. umowa o dzieło, w której strony uzgadniają publikację nazwiska autora.
• Obowiązek prawny – np. obowiązek ujawnienia członków zarządu w Krajowym Rejestrze Sądowym (KRS) lub publikacja wyników przetargów publicznych.
• Uzasadniony interes administratora – np. publikacja nazwisk autorów artykułów, osób publicznych lub pracowników działających w imieniu firmy, jeśli jest to konieczne i nie narusza praw lub wolności tych osób.

To oznacza, że nie zawsze musimy prosić o wyraźną zgodę – o ile spełnione są pozostałe wymogi RODO, takie jak:

• przejrzystość wobec osoby, której dane dotyczą,
• realizacja celu zgodnie z zasadą minimalizacji danych,
• i przede wszystkim – ocena, czy publikacja danych jest niezbędna i proporcjonalna względem zamierzonego celu.

Przykład: jeśli organizujesz konferencję naukową i publikujesz program z nazwiskami prelegentów, nie potrzebujesz ich zgody, jeśli wcześniej poinformowałeś ich o tym celu i opierasz się na uzasadnionym interesie (np. potrzeba promocji wydarzenia). Inaczej będzie w przypadku publikacji listy uczestników bez ich wiedzy – tutaj może być konieczna zgoda.

Uwaga: Nie należy nadużywać przesłanki uzasadnionego interesu – zwłaszcza wtedy, gdy publikacja danych naraża daną osobę na szkodę, stygmatyzację lub naruszenie prywatności. W takich przypadkach należy rozważyć, czy zgoda nie będzie jednak konieczna.

Każdorazowo warto przeanalizować, czy publikacja imienia i nazwiska rzeczywiście jest konieczna do osiągnięcia konkretnego celu, czy może istnieją inne, mniej inwazyjne sposoby jego realizacji – np. posłużenie się inicjałami, pseudonimem lub pominięcie danych w ogóle.

Potrzebujesz pomocy w sprawie danych osobowych?

Jeśli nie masz pewności, czy przetwarzasz dane zgodnie z przepisami, lub chcesz zabezpieczyć się przed ryzykiem naruszenia RODO – skontaktuj się ze mną. Pomagam firmom i osobom prywatnym w prawidłowym stosowaniu przepisów o ochronie danych osobowych.

Oferuję kompleksowe wsparcie w zakresie:

• weryfikacji zgodności z RODO i audytu ochrony danych,
• przygotowania polityk prywatności, klauzul informacyjnych i zgód,
• reagowania na incydenty naruszenia danych,
• kontaktów z UODO oraz reprezentacji w postępowaniach,
• szkoleń dla pracowników i wdrażania zasad ochrony danych w organizacji.

Dostosowuję rozwiązania do branży i specyfiki klienta – bez gotowców i zbędnych formalności. Pracuję elastycznie, zdalnie lub stacjonarnie, w zależności od Twoich potrzeb.

Nie czekaj, aż pojawi się problem – zadbaj o zgodność z przepisami już teraz. Napisz do mnie, a wspólnie znajdziemy optymalne rozwiązanie.

Pozdrawiam
Wiktor Dębowski