Bez niczyjej zgody można handlować bazami zawierającymi numery komórkowe i wykorzystywać je do dowolnych celów. Zdaniem sądu bez dodatkowych informacji nie są to bowiem dane osobowe.
Powszechnym oczekiwaniem wobec RODO było ukrócenie telemarketingu. W rzeczywistości jego przepisy nie regulują tych kwestii. Konieczność wyrażenia zgody na telefony reklamowe wynika z innych regulacji. RODO ma natomiast zastosowanie do samego przetwarzania danych osobowych.
Jak wynika z drugiego już wyroku sądu administracyjnego, same numery telefonów (bez innych informacji o abonentach) nie są, a przynajmniej nie muszą być danymi osobowymi. To zaś oznacza, że bazy danych zawierające same numery można dowolnie sprzedawać, kupować i przetwarzać na dowolne potrzeby.
Najnowsze orzeczenie dotyczy właśnie takiej bazy. Utworzyła ją firma zajmująca się telemarketingiem, która pozyskuje numery telefoniczne z internetu. Jej pracownicy dzwonili pod te numery i pytali, czy abonent jest zainteresowany uzyskaniem informacji o kursach angielskiego. Jeśli był, to prosili o podanie danych takich jak imię i nazwisko oraz wyrażenie zgody na przetwarzanie danych osobowych w celach marketingowych. Jeśli nie, to wpisywali numer na wewnętrzną „czarną listę”, po to by już więcej na niego nie dzwonić.
Jeden z mężczyzn, do którego zadzwonili telemarketerzy, złożył skargę do prezesa Urzędu Ochrony Danych Osobowych. Ten zaś uznał, że spółka przetwarza bezprawnie dane w postaci numeru telefonicznego skarżącego i nakazał jego usunięcie.
Numer to nie dane osobowe
Firma zaskarżyła decyzję, bo uznała, że nie przetwarza danych osobowych.
- O tym, czy jakaś informacja jest daną osobową, nierzadko decyduje kontekst. Nie mając żadnych innych informacji poza numerem telefonu, mój klient nie mógł go powiązać z żadną konkretną osobą. Prezes UODO przyjął, że przesądzająca jest sama możliwość kontaktu z właścicielem numeru. W mojej ocenie jednak wciąż nie umożliwia to identyfikacji - przekonuje dr Mirosław Gumularz, radca prawny z Kancelarii Nowych Technologii reprezentującej firmę, której nakazano usunąć dane osobowe.
„Dana osobowa to informacja o osobie możliwej do identyfikacji, a nie informacja umożliwiająca weryfikację tożsamości osoby fizycznej” - uznał sąd
Wojewódzki Sąd Administracyjny w Warszawie podzielił tę argumentację. Jego zdaniem prezes UODO nie wykazał, by spółka przetwarzała dane osobowe. Same numery telefonów nie są takimi danymi, a przynajmniej być nie muszą.
Prezes UODO w swej decyzji argumentował, że mając numer, każdy może po prostu zadzwonić pod dany numer i łatwo ustalić tożsamość jego właściciela. Sąd uznał inaczej.
„Dana osobowa to informacja o osobie możliwej do identyfikacji, a nie informacja umożliwiająca weryfikację tożsamości osoby fizycznej. Z poglądów doktryny oraz orzecznictwa sądów administracyjnych wynika, że numer telefonu może stanowić dane osobowe w sytuacji, gdy dysponent tego numeru jest w posiadaniu także innych informacji, które umożliwiają identyfikację, takich jak np. imię i nazwisko, adres zamieszkania, nr PESEL (…)” - napisał w uzasadnieniu wyroku i zaznaczył, że możliwości identyfikacji osoby nie należy odnosić do podejmowania działań zmierzających dopiero do ustalenia danych osobowych.
- Zdaniem sądu UODO nie może ex cathedra przyjmować, że dochodzi do przetwarzania. Sąd za trafne uznał zarzuty skargi, zgodnie z którymi prezes UODO błędnie ustalił, że przy dysponowaniu samym numerem telefonu dochodzi do przetwarzania danych osobowych. W szczególności o uznaniu informacji za dane osobowe nie może przesądzać sama możliwość skontaktowania się z właścicielem numeru - podsumowuje dr Mirosław Gumularz.
Tak jak adres IP
Istota sporu sprowadza się do tego, czy mając sam numer telefoniczny, można zidentyfikować osobę. UODO od lat stoi na stanowisku, że tak.
- Numer telefonu służy do kontaktu z osobą, do której ten numer należy, a więc do osoby skonkretyzowanej. Nie ma znaczenia, czy ktoś posiada imię i nazwisko właściciela. Ponadto wystarczy zadzwonić, żeby ustalić, z kim się rozmawia, jak i przedstawić danej osobie konkretny produkt - zwraca uwagę Adam Sanocki, rzecznik prasowy UODO, i dodaje, że numer jest zawsze przypisany do konkretnej osoby, która się nim posługuje.
Przypomina również, że już w 2007 r. Grupa Robocza Art. 29 wydała opinię, w której za dane osobowe uznano nawet niekompletne informacje bez jakiejkolwiek wzmianki o nazwisku lub innym bezpośrednim czynniku identyfikującym. „Można przypuszczać, że administratorzy lub inne zainteresowane osoby dysponują sposobami, jakimi można się posłużyć w celu zidentyfikowania osoby, której dane dotyczą” - napisano w tym dokumencie.
Poproszony o komentarz Tomasz Borys, specjalista ds. ochrony danych osobowych, zgadza się z tym podejściem.
- Zarówno europejskie organy ochrony danych, jak i europejskie sądy ustaliły, że dane takie jak adres IP są danymi osobowymi, ponieważ racjonalnie pozwalają na identyfikację osoby. Skoro adres IP jest uznawany za dane osobowe, ponieważ osobę fizyczną można dzięki niemu zidentyfikować, to samo powinno dotyczyć numeru telefonu komórkowego użytkownika. I jedno, i drugie jest zbiorem unikalnych numerów identyfikacyjnych osoby - przekonuje Tomasz Borys. Podaje przykład władz Berlina, który uruchomił specjalny system przejrzystości pozwalający sprawdzić, czy numer telefonu znajdował się w zainteresowaniu policji (policja gromadzi numery zarejestrowane w pobliżu popełnienia przestępstwa). System ten ma być wdrażany również w innych landach.
- W Niemczech nie ma bogatego orzecznictwa na temat traktowania numerów telefonów jako danych osobowych, ale wynika to wyłącznie z tego, że nie jest to przez nikogo kwestionowane - dodaje ekspert.
Wszystko zależy od sytuacji
Nie brakuje jednak zdań przeciwnych albo mówiących, że o uznaniu numeru telefonu za dane osobowe decyduje konkretny stan faktyczny.
- Jeżeli np. możemy dany numer znaleźć w Google’u, to będzie to dana osobowa. Jeśli jednak nie jesteśmy w stanie pozyskać informacji o właścicielu, to już nie - uważa dr Paweł Litwiński, adwokat z kancelarii Barta Litwiński.
- Moim zdaniem nieporozumieniem jest przyjęcie, że można się skontaktować z właścicielem numeru i w ten sposób ustalić jego tożsamość. Trzeba odróżnić identyfikację osoby na podstawie danych, które się ma lub które może się mieć, od zbierania dodatkowych danych od tej osoby. To pierwsze to sytuacja, gdy mamy dane osobowe, a to drugie to po prostu dane identyfikujące coś, w tym przypadku zakończenie sieci telekomunikacyjnej, ale jeszcze nie dane osobowe. Zresztą, jedna osoba poda te dane, jak się do niej zadzwoni, a druga nie - argumentuje prawnik.
UODO podejmie decyzje o ewentualnym zaskarżeniu wyroku po zapoznaniu się z jego uzasadnieniem. Wcześniej skierował natomiast skargę kasacyjną w innej sprawie, w której sąd uznał, że numer telefoniczny nie stanowi danych osobowych (sygn. akt II SA/Wa 1898/20). Czeka ona na rozpoznanie.
orzecznictwo
Wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 25 listopada 2022 r., sygn. akt II SA/Wa 710/22 www.serwisy.gazetaprawna.pl/orzeczenia