Dane osobowe tradycyjnie dzielimy na zwykłe i wrażliwe. Jest to podział naturalny dla większości z nas, a określenie „dane wrażliwe” weszło już na stałe do języka potocznego.
Oczywiste jest, że do tej drugiej kategorii zaliczamy dane, które należy chronić „bardziej” z tego powodu, że dotyczą najbardziej prywatnej sfery życia człowieka: stanu zdrowia, poglądów politycznych, życia seksualnego czy wyroków skazujących. Podział jest też bardzo łatwy do uchwycenia na gruncie przepisów o ochronie danych osobowych – dane wrażliwe zostały wymienione w formie katalogu zamkniętego w art. 27 ust. 1 ustawy o ochronie danych osobowych, a pozostałe dane, w tym przepisie niewymienione, to dane zwykłe.
Rozróżnienie w zależności od stopnia wrażliwości danych pojawia się również w RODO, czyli w nowym europejskim prawie ochrony danych osobowych. W art. 9 tego aktu znajdziemy zamknięty katalog informacji, które zaliczają się do tzw. szczególnych kategorii danych osobowych. Pozostałe, niewymienione w tym przepisie, zaliczyć trzeba do danych zwykłych. Tym jednak, co ten katalog różni od znanego nam z ustawy o ochronie danych osobowych, jest kwestia danych dotyczących skazań: tego rodzaju informacje nie zaliczają się na gruncie RODO do szczególnych kategorii danych osobowych. Zamiast tego potraktowane zostały w sposób odrębny w poświęconym im art. 10 RODO.
Zmiana podejścia do problemu jest tym ważniejsza, że art. 27 ust. 1 ustawy nakazywał traktować w szczególny sposób m.in. dane dotyczące skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym. Tymczasem RODO ten katalog zawęża – specjalna regulacja odnosi się do danych „dotyczących wyroków skazujących oraz naruszeń prawa lub powiązanych środków bezpieczeństwa”. Same wyroki skazujące to pojęcie niebudzące wątpliwości w polskim prawie, ale czym są „naruszenia prawa lub powiązane środki bezpieczeństwa”? Informacje o „naruszeniach prawa” dotyczą przypadków popełnienia przestępstwa (naruszenia obowiązującego prawa) przez określoną osobę fizyczną, ale niestwierdzonych wyrokami sądowymi (np. nałożenie mandatu karnego, który ukarany przyjął). Z kolei pojęcie „powiązane środki bezpieczeństwa” powinno być rozumiane jako „środki karne” z art. 39 kodeksu karnego. Poza zakresem szczególnie chronionych danych osobowych znajdują się więc na gruncie RODO wyroki inne niż skazujące – nie będą więc zaliczały się do żadnej szczególnej kategorii danych osobowych informacje o wyrokach sądów cywilnych (np. wyrok rozwodowy) czy o decyzjach administracyjnych (np. decyzja o przyznaniu pomocy społecznej).
Zmiana podejścia do problemu danych osobowych dotyczących wyroków skazujących widoczna jest w RODO także wtedy, gdy uwzględni się przypadki, w których przetwarzanie danych osobowych jest dopuszczalne. Podstaw prawnych przetwarzania danych dotyczących skazań należy szukać nie w art. 9, czyli w przepisie, w którym uregulowano podstawy przetwarzania danych zaliczonych do szczególnych kategorii, ale we wspomnianym już art. 10, w którym odrębnie uregulowano podstawy przetwarzania danych dotyczących wyroków skazujących. I co chyba najciekawsze, art. 10 odsyła w tym zakresie do art. 6 ust. 1 RODO, czyli do podstaw przetwarzania danych zwykłych. Powtórzmy – podstawy przetwarzania danych o wyrokach skazujących są w RODO takie same jak podstawy przetwarzania danych zwykłych. Można będzie się więc np. zgodzić na przetwarzanie danych o wyrokach skazujących, można będzie takie dane przetwarzać w celu wykonywania umowy czy wreszcie mając prawnie uzasadniony interes. Warunkiem zgodności takiego przetwarzania z prawem jest jednak to, aby odbywało się ono „pod nadzorem władz publicznych”. Czym taki nadzór jest? To nowa instytucja, nieznana dotychczas polskiemu prawu ochrony danych osobowych. Z tego powodu wskazanie przykładów takiego rozwiązania będzie raczej trudne, poza jednym wyjątkiem: przetwarzaniem danych o wyrokach skazujących przez adwokatów i radców prawnych. Adwokaci i radcowie prawni z istoty swojego zawodu muszą przetwarzać dane o wyrokach skazujących, a swój zawód wykonują pod nadzorem samorządu zawodowego. Samorząd pełni w tym przypadku funkcje przekazane mu przez władzę publiczną, będzie to więc przypadek, o którym mowa w art. 10 RODO. Powiemy więc, że adwokaci i radcowie prawni mogą przetwarzać dane o wyrokach skazujących, ponieważ odbywa się to pod nadzorem właściwych samorządów.
A co w sytuacji, gdy takiego nadzoru nie ma? Wtedy jedyną podstawą przetwarzania danych o wyrokach skazujących będzie przepis powszechnie obowiązującego prawa, który będzie zezwalał na takie przetwarzanie. Co więcej, przepis powinien przewidywać odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą. Jest to więc sytuacja, jaką dobrze znamy z art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych.
Dane osobowe o wyrokach skazujących nie zaliczają się na gruncie RODO do szczególnych kategorii danych osobowych – są kategorią danych zwykłych, co do których istnieją szczególne zasady ich przetwarzania opisane w art. 10 RODO. Jednak te szczególne zasady powodują, że przetwarzanie danych o wyrokach skazujących wcale nie będzie tak łatwe, jak można by z pozoru sądzić – przeciwnie, alternatywa w postaci przepisu prawa albo przetwarzania pod nadzorem władz publicznych będzie powodować, że przypadki zgodnego z prawem przetwarzania tego rodzaju danych powinny należeć do rzadkości. Z drugiej strony jednak należy zauważyć, że niezakwalifikowanie danych o wyrokach skazujących do szczególnych kategorii danych osobowych może w pewnych przypadkach obniżyć poziom ochrony osób, których te dane dotyczą. Będzie tak wtedy, gdy RODO przewiduje pewne dodatkowo obowiązki lub ograniczenia związane z przetwarzaniem szczególnych kategorii danych, do których dane o wyrokach skazujących się nie zaliczają. Przykładowo wskazać można ograniczenia profilowania w oparciu o szczególne kategorie danych osobowych (art. 22 ust. 4 RODO) – te ograniczenia nie znajdą zastosowania w odniesieniu do danych o wyrokach skazujących. Nie można więc wykluczyć tego, że w pewnych sytuacjach nasze prawa jako osób, których dane dotyczą, będą słabiej chronione wyłącznie dlatego, że dane o wyrokach skazujących nie zostały poddane w RODO szczególnej ochronie.
W kontekście poziomu ochrony danych o wyrokach skazujących nie sposób jednak pominąć kwestii fundamentalnej – zasad doboru środków zabezpieczających osoby, których dane dotyczą, przed naruszeniem ich praw oraz zabezpieczających same dane osobowe. I w art. 24, i w art. 32, i jeszcze w kilku innych przepisach RODO odwołuje się do „charakteru, zakresu, kontekstu i celów przetwarzania” oraz ryzyka naruszenia praw i wolności osób, których dane dotyczą. Czyli należy tak dobrać środki zabezpieczenia danych, aby były one odpowiednie do zidentyfikowanych zagrożeń, a nie stosować rozwiązań standardowych, bez analizy konkretnych procesów przetwarzania. W oczywisty sposób przetwarzanie danych o wyrokach skazujących powinno więc wpływać na to, jakie środki zabezpieczenia będą stosowane – skutki np. bezprawnego przetwarzania czy wycieku takich danych byłyby nieporównywalne w stosunku do odpowiednich zdarzeń w zakresie np. imion i nazwisk. Mimo tego, że dane o wyrokach skazujących na gruncie RODO nie są traktowane jako szczególna kategoria danych osobowych, nie można zrównywać poziomu ich ochrony z innymi danymi, tradycyjnie uznawanymi za zwykłe.