Dane wrażliwe: szczególne kategorie danych (art. 9 RODO)

Dane wrażliwe to dane osobowe, których ujawnienie szczególnie mocno może zaszkodzić człowiekowi, na przykład dane o zdrowiu czy poglądach. RODO nazywa je „szczególnymi kategoriami danych osobowych” i wymienia w art. 9. Ich przetwarzanie jest co do zasady zakazane. Wolno je przetwarzać tylko wtedy, gdy zachodzi jeden z wyjątków, na przykład wyraźna zgoda albo leczenie pacjenta. Określenie „dane wrażliwe” to potoczna nazwa, używana w Polsce jeszcze przed RODO.

Przykład z życia

Wymyślony gabinet „Przykładowy Gabinet Psychoterapii” w Gdańsku prowadzi dokumentację: imię i nazwisko klienta, numer telefonu, rozpoznanie, przebieg sesji, przyjmowane leki, wzmianka o wyznaniu i o związku z osobą tej samej płci.

Imię, nazwisko i telefon to zwykłe dane osobowe.
Rozpoznanie, przebieg terapii i leki to dane o zdrowiu, czyli dane wrażliwe.
Wyznanie i orientacja seksualna to również szczególne kategorie danych.

Gabinet może je przetwarzać, bo świadczy opiekę zdrowotną, ale musi szczególnie je chronić. Te same informacje w rękach pracodawcy, banku czy ubezpieczyciela mogłyby komuś poważnie zaszkodzić.

To przykład poglądowy, gabinet i osoby są zmyślone.

Szczegóły w prostych słowach

Jakie dane są wrażliwe (art. 9 ust. 1 RODO)

dane ujawniające pochodzenie rasowe lub etniczne;
poglądy polityczne;
przekonania religijne lub światopoglądowe;
przynależność do związków zawodowych;
dane genetyczne;
dane biometryczne przetwarzane w celu jednoznacznego zidentyfikowania osoby (na przykład odcisk palca, skan twarzy);
dane dotyczące zdrowia;
dane dotyczące seksualności lub orientacji seksualnej.

Osobno RODO traktuje dane o wyrokach skazujących i naruszeniach prawa (art. 10). Nie są one formalnie „szczególną kategorią”, ale też podlegają ostrzejszym zasadom.

Kiedy wolno je przetwarzać (art. 9 ust. 2 RODO)

Zakaz ma wyjątki. Najczęściej spotykane w praktyce:

wyraźna zgoda osoby, której dane dotyczą;
obowiązki z zakresu prawa pracy i zabezpieczenia społecznego;
ochrona żywotnych interesów, gdy osoba nie może wyrazić zgody;
dochodzenie lub obrona roszczeń;
profilaktyka zdrowotna, diagnoza medyczna i leczenie, gdy dane przetwarza osoba objęta tajemnicą zawodową;
zdrowie publiczne oraz cele badawcze i statystyczne, z odpowiednimi zabezpieczeniami.

Co to zmienia w praktyce

Przy danych wrażliwych potrzebujesz zarówno podstawy z art. 6, jak i wyjątku z art. 9. Częściej trzeba przeprowadzić ocenę skutków dla ochrony danych, a przy dużej skali przetwarzania wyznaczyć inspektora ochrony danych (IOD). Za naruszenia grożą kary do 20 mln euro albo 4% rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa. W Polsce nadzór sprawuje Prezes UODO. W zawodach medycznych i prawniczych obok RODO obowiązuje jeszcze tajemnica zawodowa.

To informacja ogólna, a nie porada prawna.

Czego art. 9 nie chroni

Art. 9 RODO chroni dane wrażliwe tylko tak długo, jak długo są danymi osobowymi. Gdy przestają wskazywać na człowieka, przestają być chronione w ogóle.

Diagnoza bez nazwiska może wypaść poza RODO. Motyw 26 RODO mówi, że ochrona danych nie dotyczy informacji anonimowych.
Właśnie dane wrażliwe są najcenniejsze. Zbiory danych o chorobach, lekach i wynikach leczenia są poszukiwane przez firmy farmaceutyczne, ubezpieczycieli, brokerów danych i twórców modeli AI. Po anonimizacji ich sprzedaż może być legalna.
Pseudonimizacja nie wystarcza. Zastąpienie nazwiska numerem pacjenta nie robi z danych danych anonimowych. W 2026 r. francuski organ ochrony danych CNIL nałożył karę 5 mln euro na firmę z branży danych medycznych, która twierdziła, że jej dane o receptach są anonimowe. CNIL uznał, że były one jedynie pseudonimizowane. Więcej w tekście o pseudonimizacji i anonimizacji danych.
Regulaminy dają licencje. Jeśli narzędzie zastrzega sobie prawo do wykorzystywania treści w formie „zanonimizowanej” lub „zagregowanej”, notatka z wizyty może legalnie stać się wierszem w cudzym zbiorze danych.

Pokazujemy to krok po kroku na stronie ślad danych, a mechanizm prawny ze źródłami na stronie legalne na sprzedaż.

Co to oznacza przy narzędziach AI

Notatki z wizyt, transkrypcje sesji, wyniki badań i opinie lekarskie to dane wrażliwe. Zanim trafią do narzędzia AI, sprawdź:

Czy masz podstawę z art. 9 RODO i, w zawodach zaufania, podstawę do ujawnienia (na przykład zgodę pacjenta)? Ta decyzja należy do Ciebie.
Czy dostawca jest podmiotem przetwarzającym z umową powierzenia z art. 28 RODO?
Czy regulamin pozwala na ponowne wykorzystanie treści, także w formie zanonimizowanej?
Czy dane służą do trenowania i jak długo są przechowywane?

Wysor działa jako podmiot przetwarzający, wyłącznie na polecenie klienta (art. 28 RODO). Nie bierzemy licencji na ponowne wykorzystanie Twoich treści, przetwarzamy je tylko po to, żeby świadczyć Ci usługę. Nigdy na nich nie trenujemy i nigdy ich nie sprzedajemy, ani jawnych, ani zanonimizowanych. Te zobowiązania są zapisane w umowie i wiążą każdego, kto kiedykolwiek mógłby przejąć Wysor. Dane są szyfrowane w tranzycie i w spoczynku, hostowane w UE, a każdy podłączony dostawca modeli AI (GPT, Claude, Gemini i inne) działa z zerową retencją danych: przetwarza i usuwa. Dzięki temu dane wrażliwe nie trafiają na rynek danych.

Najczęstsze pytania

Co to są dane wrażliwe? To potoczna nazwa szczególnych kategorii danych osobowych z art. 9 RODO: między innymi danych o zdrowiu, genetycznych, biometrycznych, o pochodzeniu etnicznym, poglądach politycznych, przekonaniach religijnych, przynależności związkowej i orientacji seksualnej.

Czy dane o zdrowiu to dane wrażliwe? Tak. Dane dotyczące zdrowia fizycznego i psychicznego, w tym informacje o usługach opieki zdrowotnej, należą do szczególnych kategorii danych z art. 9 RODO.

Czy PESEL to dana wrażliwa? Nie w rozumieniu art. 9 RODO. PESEL jest zwykłą daną osobową, choć bardzo silnym identyfikatorem, więc wymaga starannej ochrony.

Kiedy można przetwarzać dane wrażliwe? Tylko wtedy, gdy zachodzi wyjątek z art. 9 ust. 2 RODO, na przykład wyraźna zgoda, leczenie przez osobę objętą tajemnicą zawodową, obowiązki z prawa pracy albo dochodzenie roszczeń.

Czy dane wrażliwe po anonimizacji są dalej chronione? Nie. Dane naprawdę anonimowe są poza RODO, więc art. 9 przestaje je chronić. Dlatego ważne jest, czy dostawca narzędzia w ogóle ma prawo je anonimizować i dalej wykorzystywać.

Czytaj dalej

Masz pytania o dane wrażliwe i AI w swojej praktyce? Napisz na [email protected] lub skorzystaj z formularza kontaktowego w aplikacji.

Wypróbuj Wysor za darmo →