V praxi sa mnohé právne subjekty často stretávajú s problematikou ochrany osobných údajov. Či už ide o orgány štátnej správy pri legislatívnej činnosti, podnikateľov pri prevádzkovaní svojho biznisu alebo o bežného občana v rámci právneho styku s okolitým svetom, problém býva často spoločný. Nevedia si odpovedať na kardinálnu otázku, čo to vlastne osobné údaje v zmysle zákona sú, keďže žiadny taxatívny výpočet sa v zákone č. 428/2002 Z.z. o ochrane osobných údajov v znení neskorších predpisov ("zákon“) nekoná. Pod pojmom osobné údaje si teda nemožno predstavovať taxatívny výpočet konkrétnych identifikátorov napr. v rozsahu titul, meno, priezvisko, adresa, vek, pohlavie, IP adresa a podobne. Pri určovaní, ktoré údaje možno považovať za osobné údaje v zmysle zákona Vám bude dúfam nápomocný nasledujúci výklad.
Právny pojem osobné údaje má legálnu definíciu v § 3 zákona. Kľúčovými pojmami na pochopenie vymedzenia tejto definície je určenie alebo určiteľnosť konkrétnej fyzickej osoby. Z vecnej stránky sa teda pojem osobné údaje vzťahuje na také údaje, ktoré sa týkajú identifikovanej alebo identifikovateľnej fyzickej osoby.
V zmysle dikcie zákona treba určiteľnosť fyzickej osoby vykladať ako stav, keď na základe jedného alebo viacerých znakov možno osobu identifikovať. Identifikácia sa môže realizovať cez rôzne charakteristické znaky, tzv. „identifikátory“ prostredníctvom, ktorých je možné priamo alebo nepriamo určiť fyzickú, fyziologickú, psychickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu subjektu ochrany osobných údajov resp. dotknutej osoby na účely zákona. Z uvedeného však tiež vyplýva, že nie každý údaj, ktorý sa na prvý pohľad javí ako osobný údaj, musí byť za osobný údaj aj bezpodmienečne považovaný. Komentár k zákonu uvádza príklad rodného čísla, ktoré má síce povahu všeobecného identifikátora, ale bez ďalších doplňujúcich údajov ho nemožno považovať za osobný údaj, keďže samotné rodné číslo nevedie k určeniu alebo určiteľnosti partikulárnej fyzickej osoby bez ďalších doplňujúcich osobných údajov. Samozrejme každý prípad treba posudzovať jednotlivo a s ohľadom na všetky relevantné skutočnosti, ktoré vedú alebo môžu viesť k priamej alebo nepriamej identifikácii alebo identifikovaniu konkrétneho človeka. Dôležitými faktormi môže byť geografický priestor, relevancia posudzovaného údaju v určitej komunite, kvalita obrazového záznamu a mnoho ďalších. Z hľadiska ochrany osobných údajov je totiž rozdiel napríklad medzi zverejnením fotografie v malej dedinke, kde každý každého pozná a vo veľkomeste, kde je anonymita bežnou súčasťou života. Miera, do akej sú určité identifikátory dostačujúce pre dosiahnutie identifikácie konkrétnej fyzickej osoby totiž závisí od komplexného posúdenia dostupných údajov v ich vzájomnej súvislosti a zároveň aj situácie ako celku. Preto ako uvádza komentár k zákonu, v závislosti od viacerých faktorov, ktorými sú najmä kvalita, kvantita a druh údajov sa v určitom momente, ktorý nemožno presne stanoviť, konvertuje určiteľnosť do určenia osoby. Fyzickú osobu považujeme za určenú, keď na základe dostupných údajov je jednoznačne a nezameniteľne identifikovaná a odlíšená od ostaných osôb.
Bližšie si subsumpciu legálnej definície osobných údajov v zmysle zákona môžeme priblížiť na príklade IP adresy, ktorá za istých okolností môže nadobudnúť charakter osobného údaju tak ako ho chápe zákon. Nezávislá pracovná skupina pre ochranu osobných údajov zriadená podľa článku 29 smernice 95/46/ES, ktorá predstavuje európsky poradný orgán pre ochranu údajov a súkromia považuje IP adresy za údaje týkajúce sa identifikovateľnej osoby v prípade, že poskytovatelia prístupu na internet a správcovia miestnych sietí môžu pomocou primeraných prostriedkov identifikovať užívateľov internetu, ktorým pridelili IP adresy, pretože zvyčajne systematicky „zaznamenávajú“ do súboru dátum, čas, trvanie pripojenia a dynamickú IP adresu pridelenú užívateľovi internetu. To isté možno povedať o poskytovateľoch internetových služieb, ktorí vedú prevádzkový denník na serveri HTTP. V takýchto prípadoch možno podľa Pracovnej skupiny 29 nepochybne hovoriť o osobných údajoch v zmysle článku 2 písm. a) smernice 95/46/ES, a teda aj v zmysle osobných údajov podľa § 3 zákona. Na druhú stranu osobitný prípad predstavujú určité druhy IP adries, ktoré za určitých okolností neumožňujú identifikáciu užívateľa z rôznych technických a organizačných dôvodov. Napr. IP adresy pridelené počítaču v internetovej kaviarni, kde sa nevyžaduje žiadna identifikácia zákazníkov. V zmysle uvedeného IP adresu možno považovať za osobný údaj po priradení ku konkrétnej fyzickej osobe.
Záver
Rôzne údaje sa stávajú osobnými údajmi, až keď na ich základe bez vynaloženia nejakej enormnej záťaže či prekonávania rôznych prekážok dôjde k identifikovaniu konkrétnej fyzickej osoby alebo k vytvoreniu predpokladu pre jej identifikovanie.
