Citlivá osobní data, citlivé osobní údaje (Sensitive personal information)

Citlivá osobní data nebo také citlivé osobní údaje (anglicky Sensitive personal information nebo Sensitive personal data) jsou jakékoliv osobní údaje, jejichž únik, neoprávněné užití nebo zneužití může poškodit konkrétního člověk (subjekt osobních údajů). Újma může být finanční, majetková či psychická. Citlivé údaje jsou jakýsi pomyslný vrcholek ledovce běžných osobních dat (například jméno, příjmení, bydliště).

Co typicky patří mezi citlivé osobní údaje?

Klíčová je výše újmy - potenciální škoda, kterou pro konkrétního člověka únik takových dat představuje. Například únik přístupových údajů k bankovnímu účtu, platební kartě nebo do nějakého systému, který umožňuje vykonat, schválit nebo spustit významnou aktivitu patří určitě mezi ty nejvíce nebezpečné. Stejně tak například kompletní údaje, které umožňují padělat různé osobní doklady (např. fotografie, jméno a číslo cestovního pasu).

Řada citlivých dat je vyjmenována legislativou, která zaštiťuje jejich ochranu (legislativa platí v konkrétním státě, zemi nebo společenství). Výčet toho, co je za citlivé osobní údaje považováno se tedy může v jednotlivých zemích (popř. státech, společenstvích) lišit.

Jako nejcitlivější osobní údaje jsou považovány takové kombinace osobních informací, které umožňují padělat identitu člověka nebo se za konkrétního člověka jiným způsobem vydávat. V digitálním prostředí může takovou informací být například kombinace přihlašovacích údajů (jmého a heslo), které jsou použity pro identifikaci člověka a umožní tedy jednat jeho jménem. Ztráta takových údajů znamená většinou finanční škodu nebo ztrátu bezpečnosti. Patří sem zejména:

• Přístupové údaje (uživatelské jméno a heslo) k systému, který umožňuje provádět finanční transakce (např. k bankovnímu účtu, k platební bráně a podobně)
• Přístupové údaje k systému, který umožňuje schvalovat nebo spouštět významné aktivity (například schvalovací systém)
• Přístupové údaje k systému, který umožňuje vstupovat do prostoru s omezeným přístupem (například vstup do trezoru, do citlivého archivu, do serverovny s citlivými údaji a podobně)
• Kompletní údaje v cestovním pase (číslo pasu, fotografie, jméno)
• Kompletní údaje v osobním dokladu (číslo osobního dokladu, fotografie, jméno)
• Biometrické údaje konkrétního člověka

Jako citlivá osobní data mohou dále být legislativou považována:

• Zdravotní informace konkrétního člověka
• Číslo osobního dokladu (občanský průkaz, pas atd.)
• Číslo bankovního účtu
• Číslo platební karty
• Rasový nebo etnický původ
• Politické názory
• Informace o trestních deliktech
• Sexuální orientace
• Členství v odborech
• Náboženské vyznání

Jaká legislativa omezuje práci s citlivými osobními daty?

Řada států přijala zákony, které zacházení s citlivými osobními daty omezují. Zde je přehled těch nejvýznamnějších:

• Data Protection Act 1998 je zákon platný ve Velké Británii, který implementoval Evropskou směrnici č 95/46/EC
• Directive 2002/58/EC (E-Privacy Directive) je evropská směrnice upravující zacházení s daty v elektronické podobě
• Directive 2006/24/EC Article 5 (The Data Retention Directive) je evropská směrnice upravující uchovávání osobních dat
• Directive 95/46/EC Data Protection Directive) je evropská směrnice, která byla nahrazena nařízením GDPR
• The Privacy Act of 1974 je americký zákon upravující zacházení s osobními údaji
• Health Insurance Portability and Accountability Act (HIPAA) je regulace upravující nakládání se zdravotnickými záznamy v USA
• GDPR (General Data Protection Regulation) je evropské nařízení o ochraně osobních údajů platné od 25.5.2018