W ostatni weekend odbył się w Warszawie „Tatoo Convention” czyli wydarzenie dla fanów tatuażu artystycznego. Przebieg takiej imprezy to mieszanka pokazów taneczno-muzycznych, gadżetów dla salonów tatuażu, różnego rodzaju atrakcji dla dzieci i dorosłych, oraz (a może przede wszystkim) wystawy artystów z kraju i zagranicy. Sztuka tatuażu z roku na rok zyskuje na popularności, nas jednak skłoniła do refleksji nad definicją „danych osobowych”.
Zagadnienie od lat omawiane na różnych płaszczyznach (od Europejskiej Rady Ochrony Danych – o której pisaliśmy TU) po nasze krajowe konferencje czy opracowania Urzędu Ochrony Danych Osobowych, a mimo to wciąż budzące wątpliwości w aspekcie praktycznym. Przykład tatuażu wykonanego na ludziach jest tutaj doskonały żeby zobrazować czym w istocie mogą być dane osobowe. Definicja zawarta w art. 4 pkt 1 RODO stwierdza, że:
„dane osobowe” oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej;
Mówimy zatem o każdej informacji związanej z żyjącym człowiekiem. Tymi informacjami w sposób oczywisty są dane nazwijmy to na potrzeby niniejszego artykułu „ewidencyjne” tj. PESEL, data urodzenia, imiona, nazwisko, daty ważności dokumentów, rodzaj posiadanego uprawnienia do kierowania pojazdami, czy numer NIP (nawet w przypadku osób prowadzących działalność gospodarczą). Nie mamy też trudności w przyznaniu statusu danych osobowych informacjom kontaktowym czy „idącym” w ślad za nami – mowa oczywiście o wszelkich numerach telefonu i adresach e-mail (bez względu czy są one służbowe czy prywatne), nazwach profili social media, adresach zamieszkania czy adresach miejsca zatrudnienia. Wciąż jednak pozostaje duży obszar tzw. danych kontekstowych, albo informacji, które charakteru ściśle osobowego nie mają, a jednak powinniśmy uznać je za dane osobowe.
Żeby uznać, że mamy do czynienia z danymi osobowymi należy stwierdzić, że taka informacja może „bezpośrednio lub pośrednio zidentyfikować” osobę fizyczną. Może to być na przykład cytat: „Nie chcem ale muszem” wypowiedziane przez Prezydenta Lecha Wałęsę; „Róbta co chceta” wykreowane przez Jurka Owsiaka, albo należące już do klasyki gatunku lapsusów językowych „Sorry taki mamy klimat” Elżbiety Bieńkowskiej. Tytułem drobnego wtrętu – powiedzenia postaci historycznych (np. Marszałka Józefa Piłsudskiego) nie będą stanowić danych osobowych, gdyż dotyczą osób niestety już nieżyjących, podobnie z powiedzeniami postaci fikcyjnych („Być, albo nie być – oto jest pytanie” Hamleta).
Może być to treść oświadczenia składanego np. „odmowa przyjęcia mandatu” czy „złożone zeznanie”. W tych przypadkach mamy oczywiście cały zestaw danych, w tym te informacje jakie we wstępie uznaliśmy za oczywiście mające status „danych osobowych”. Jednak nie tylko rubryka w dokumencie, która oznacza nas jednoznacznie, ale także to o czym ten dokument (ta informacja) stanowi w pewnych sytuacjach może prowadzić do identyfikacji osób – np. gdy stwarzamy sobie możliwość filtrowania potencjalnych klientów po dacie odrzucenia przez nich oferty, lub dacie końca umowy. W tych przypadkach również ta informacja (np. o końcu umowy) stanowi element identyfikujący Klienta. Zależy nam na zwrócenie uwagi, że niemalże każde słowo pisane/mówione, może identyfikować osoby fizyczne, a więc stanowić taką informację która pasuje do przedstawionej powyżej definicji danych osobowych.
Przechodząc do przedmiotu niniejszych rozważań, należy wskazać, że tatuaż stanowi właśnie tego rodzaju informację. Obraz jak najbardziej jest informacją identyfikującą każdego z nas. Najlepszym przykładem tego, że tatuaż umożliwia identyfikację osób fizycznych jest fakt, że organy ścigania od lat ewidencjonują i wykorzystują w swoim postępowaniu utrwalone obrazy tatuaży, które można przypisać do potencjalnych sprawców czynów karalnych. Świadkowie zdarzeń doskonale pamiętają co przedstawiał dany wzór, a gorzej twarz i fizjonomię osoby. Poza tym, skoro nie mamy w zasadzie wątpliwości, że fotografia twarzy (pochodząca z monitoringu wizyjnego lub zdjęcia fotograficznego) identyfikuje jednoznacznie człowieka. To tym bardziej nie powinniśmy mieć ich w przypadku obrazu przedstawiającego tatuaż – wzory i miejsca ułożenia obrazu na skórze są na tyle unikalne, że jest wysoce nieprawdopodobne aby ta sama praca (i tak samo wykonana) powtórzyła się u różnych ludzi. Dlatego studio tatuażu prowadzące galerię posiada (i przetwarza) w istocie dane osobowe, które sprowadzają się do fotografii wykonanej pracy.
Ponieważ główną działalność salonów tatuażu i tatuażystów uznać należy za sztukę – działalność artystyczną (tak przynajmniej jest naszym zdaniem) – część zapisów RODO nie ma z tego powodu zastosowania. Nie oznacza to jednak, że prowadząc salon tatuażu, własną galerię wykonanych na skórze rysunków możemy całkowicie pominąć aspekty prawne. Zgodnie z prawem w momencie zbierania i ew. publikowania danych osobowych (utrwalania własnych prac) salon lub tatuator staje się z perspektywy prawnej administratorem danych swoich klientów. W zakresie obowiązywania wprowadzono szereg ułatwień w postaci m.in. braku wykazywania podstawy prawnej przetwarzania, realizowania klauzul informacyjnych czy prowadzenia rejestru czynności przetwarzania.
Jesteśmy świadomi, że towarzyska atmosfera panująca w środowisku tego rodzaju artystów kłóci się z realizacją jakichkolwiek (nawet złagodzonych) wymogów formalnych. Jednak zwrócić należy szczególną uwagę na konieczność odpowiedniego zabezpieczenia danych, oraz uprawnienie klientów nazywane „prawem do zapomnienia”, które ma zastosowanie. Oczywiście w kontekście żądań dotyczących „zapomnienia” danych istnieją rozwiązania, które mogłyby dać możliwość utrzymania zdjęcia w galerii prac pomimo takiego żądania zgłoszonego przez klienta. Jednak w standardowej relacji, gdzie utrwalenie zdjęcia stanowi element grzecznościowy i jest niejako ukłonem klienta w stronę twórcy tatuażu (opiera się na zgodzie klienta), uważamy, że żądanie takie należałoby uwzględnić poprzez usunięcie zdjęcia wykonanej pracy.
Mamy nadzieję, że w ten oto sposób zobrazowaliśmy jednocześnie jak szeroką i nieraz zupełnie nieintuicyjną formę przybierają dane osobowe, oraz jak bardzo w praktyce przenikają nasze życie prywatne i/lub zawodowe.