Wobec powyższego, przede wszystkim należy wspomnieć o jednym z niedawno opublikowanych wyroków NSA, w którym stwierdził, że treść tablicy rejestracyjnej nie stanowi danych dotyczących prywatności osoby fizycznej. Powyższe jest pokłosiem wcześniejszego wyroku NSA, który wskazał, że numer rejestracyjny samochodu nie podlega ochronie wynikającej z prawa do prywatności, gdyż identyfikuje samochód a nie osobę. Pomimo jednolitego stanowiska po stronie orzecznictwa, to nie jest ono tak oczywiste i podzielane zarówno przez przedstawicieli doktryny prawniczej oraz organów ochrony danych osobowych. Zgodnie ze stanowiskiem Prezesa UODO, przedstawianym przykładowo we wspomnianym wyroku z 2022 roku, ale także w innych sprawach, dane zawarte w tablicach rejestracyjnych to w rozumieniu prawa dane osobowe, które podlegają ochronie w świetle RODO. Powyższe podziela także ICO, który wskazuje, że m.in. numer rejestracyjny pojazdu może stanowić daną osobową, gdyż za jego pomocą możliwe jest zidentyfikowanie danych osoby fizycznej.
Sporność występuje także w postaci kwalifikacji numeru telefonu pod pojęcie danych osobowych. Z jednej strony numery składające się na numer telefonu same w sobie nie odpowiadają definicji danych osobowych, z drugiej jednak, użycie numeru telefonu umożliwia nam kontakt z tą osobą. W świetle stanowiska GIODO objęcie numeru telefonu kwalifikowało się pod pojęcie danych osobowych. Z przeciwnego założenia wyszedł Wojewódzki Sąd Administracyjny w Warszawie w wyroku z dnia 13 kwietnia 2021 roku, w którym stwierdził, że „numer telefonu nie pozwala na identyfikację konkretnej osoby. Może być wyłącznie podstawą dla podjęcia określonych czynności w celu identyfikacji posiadacza numeru, abonenta lub osoby, która faktycznie używa danego numeru.” Pomimo rozbieżności zdań w doktrynie związanych z kwalifikacją numeru telefonu pod pojęcie danych osobowych, to przeważająca część z nich wskazuje jednak, że możliwość identyfikowania osoby fizycznej należy odnosić do określenia tożsamości konkretnej osoby fizycznej na podstawie posiadanych lub ewentualnie możliwych do uzyskania informacji, a nie do podejmowania samych działań, które zmierzają do ustalenia informacji, stanowiących dane osobowe.
W ostatnim czasie także rozważano, czy adres poczty elektronicznej prezesa spółki, zawierający jego imię lub nazwisko podlega pod zakres pojęcia danych osobowych. Tożsame stanowisko w tym zakresie zajął zarówno Prezes UODO oraz WSA w Warszawie wskazując, że skoro adres e-mail członka organu, który działa w imieniu danej osoby prawnej jest związany z jej istnieniem i służy do kontaktu z podmiotami zewnętrznymi, to w takiej sytuacji, imienny adres e-mail nie może zostać uznany za daną identyfikującą osobę fizyczną, gdyż jest on wykorzystywany do działalności osoby prawnej. Odmienne zdanie wyraża doktryna prawnicza wskazując, że skoro imienny adres e-mail identyfikuje osobę fizyczną i jest automatycznie przetwarzany, to co do zasady powinno się do niego stosować RODO, chyba że przewiduje się w tym zakresie wyjątki. Swoje stanowisko także przedstawiła Grupa Robocza art. 29 która uznała, że dokonując oceny, czy adres poczty elektronicznej wykorzystywanej w ramach prowadzonej działalności gospodarczej podlega pod pojęcie danych osobowych, należy brać pod uwagę kryteria dotyczące treści, celu lub skutku. Jeżeli ich uwzględnienie pozwala na uznanie informacji, która dotyczy osoby fizycznej, to należy uznać je za dane osobowe. Natomiast we wspomnianej sprawie urząd oraz sąd nie biorąc pod uwagę powyższych kryteriów wspólnie uznali, że skoro adres poczty elektronicznej należał do osoby pełniącej określoną funkcję w spółce, to jest on automatycznie związany z działalnością tej spółki, a wobec czego nie podlega ochronie przewidzianej w RODO.
Mając na uwadze powyższe, należy wskazać, że pomimo kilkuletniego obowiązywania RODO w polskim porządku prawnym, kwalifikacja niektórych informacji pod pojęcie danych osobowych nadal pozostaje niejednoznaczna i jest dokonywana w zależności do konkretnej sytuacji.
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 z późn. zm.).
Naczelny Sąd Administracyjny.
Wyrok Naczelnego Sądu Administracyjnego z dnia 3 listopada 2022 roku, o sygn. III OSK 1522/21.
Wyrok NSA z dnia 14 maja 2021 r., sygn. akt III OSK 1466/21.
Urząd Ochrony Danych Osobowych.
Urząd ochrony danych osobowych w Wielkiej Brytanii (https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/what-is-personal-data/can-we-identify-an-individual-indirectly/).
Generalny Inspektor Ochrony Danych Osobowych, organ do spraw ochrony danych osobowych w Polsce w latach 1997, 2018.
Wyrok WSA w Warszawie z 13.04.2021 r., II SA/Wa 1898/20, LEX nr 3185223.
Wyrok WSA w Warszawie z 19.09.2022 r., II SA/Wa 559/22, LEX nr 3439957.
Opinia 4/2007 w sprawie pojęcia danych osobowych.
Najczęściej zadawane pytania
Czy numer rejestracyjny samochodu jest uważany za dane osobowe?
Stanowisko w tej kwestii jest podzielone, ponieważ orzecznictwo sądów administracyjnych wskazuje, że numer identyfikuje pojazd, a nie osobę fizyczną, więc nie podlega ochronie prywatności. Z kolei organy ochrony danych, takie jak Prezes UODO czy brytyjski ICO, uważają, że może on prowadzić do identyfikacji osoby, więc należy go traktować jako dane osobowe chronione RODO.
Czy numer telefonu należy kwalifikować jako dane osobowe?
Przeważające stanowisko w doktrynie prawnej wskazuje, że sam numer telefonu nie pozwala na bezpośrednią identyfikację konkretnej osoby, lecz stanowi jedynie podstawę do podjęcia czynności mających na celu ustalenie tożsamości abonenta. Oznacza to, że samo posiadanie numeru nie jest równoznaczne z posiadaniem danych osobowych, dopóki nie połączymy go z innymi informacjami pozwalającymi na jednoznaczne określenie osoby.
Czy imienny adres e-mail prezesa spółki jest daną osobową?
Sądy i Prezes UODO często przyjmują, że taki adres służy kontaktowi z podmiotami zewnętrznymi w imieniu osoby prawnej, więc nie jest traktowany jako dane identyfikujące osobę fizyczną. Z drugiej strony doktryna oraz Grupa Robocza art. 29 wskazują, że należy badać treść, cel i skutek adresu, a jeśli pozwala on na identyfikację osoby fizycznej, powinien podlegać ochronie RODO, chyba że przewidziano wyjątek.
Dlaczego kwalifikacja niektórych informacji jako danych osobowych jest trudna?
Mimo wieloletniego obowiązywania RODO w polskim porządku prawnym, kwalifikacja niektórych informacji pozostaje niejednoznaczna i zależy od konkretnej sytuacji. Istnieją rozbieżności między stanowiskami orzecznictwa, organów ochrony danych oraz doktryny prawnej, co utrudnia jednoznaczne określenie, czy dana informacja podlega ochronie.
Masz problem z RODO lub ochroną danych?
Od tego pytania zaczyna się większość rozmów z prawnikiem. Konsultacja jest płatna, 600 zł netto. Płacisz za realną poradę: powiemy, czy masz problem prawny, co da się z nim zrobić i ile to mniej więcej kosztuje. Na nic dalej Cię to nie wiąże, a przepisy zostaw nam, od tego jesteśmy.
- 1 Rozmowa
Mówisz, co się dzieje, własnymi słowami.
- 2 Co dalej
Powiemy, jakie masz wyjścia i ile to kosztuje.
- 3 Działamy
Dajesz zielone światło i sprawa jest nasza.
Specjalizuje się w prawie cywilnym, handlowym i gospodarczym. W dziale korporacyjnym i energetycznym jej działania opierają się głównie na obsłudze korporacyjnej spółek, opiniowaniu i przygotowywaniu umów handlowych, sporządzaniu pism procesowych i pozaprocesowych oraz przygotowywaniu analiz i opinii prawnych, w szczególności ze sfery prawa gospodarczego i prawa energetycznego. Dysponuje doświadczeniem zawodowym również w zakresie postępowań administracyjnych oraz cywilnych, które zdobywała w warszawskich…
Zobacz profil →Nie przegap kolejnej analizy
Co miesiąc najważniejsze nowelizacje i ich praktyczne skutki dla biznesu, zebrane i zinterpretowane przez prawników HWW.
