WSA podaje liczne argumenty, że numer telefonu to dana osobowa

Takiego uzasadnienia orzeczenia jeszcze nie czytałem. Trzeba powiedzieć, że opublikowane niedawno uzasadnienie wyroku WSA w Warszawie z końca 2022 r. szeroko porusza trzy bardzo istotne zagadnienia.

Tak bogato uzasadnienie wywodu zapewne zawdzięczamy temu, że przewodniczącym sprawozdawcą był, w tej sprawie Asesor Wojewódzkiego Sądu Administracyjnego, a więc osoba, której jeszcze się chce…

Wracając do orzeczenia to Sądowi udało się pogłębić, aż trzy tematy – pojęcie danych osobowych (według tego Sądu sam numer telefonu jest daną osobową), podstawę prawną przetwarzania danych (prawnie uzasadniony interes nie ma zastosowania, gdy się dzwoni do kogoś kto tego się nie spodziewa, bo on nie ma “rozsądnych przesłanek”, że mamy jego dane osobowe) oraz prawa do usunięcia danych (gdy przetwarzamy dane bez podstawy prawnej musimy je usunąć).

Stan faktyczny w sprawie prezentuje się następująco. Pewna spółka, w październiku 2020 r. zadzwoniła do obywatela oferując mu darmowy pobyt w hotelu.

Obywatel nie był zainteresowany i poprosił o usunięcie jego danych osobowych, ale dzwoniący przerwał połączenie.

Powyższy schemat powtórzył się jeszcze raz, w tym samym miesiącu.

Obywatelowi, w obydwu rozmowach, udało się jedynie uzyskać informację o nazwie podmiotu, który wykonuje do niego telefon.

W tym samym miesiącu Obywatel wniosł skargę do Prezesa UODO na:

nieprawidłowości w procesie przetwarzania jego danych osobowych przez […] sp. z o. o. z siedzibą z siedzibą w […], działającej poprzez oddział w Polsce – […] sp. z o. o. z siedzibą w […] , polegające na przetwarzaniu jego danych osobowych bez podstawy prawnej oraz nieuwzględnianiu żądania usunięcia jego danych osobowych.

Na żądanie organu prowadzącego postępowanie Spółka wskazała, że:

wykonuje połączenia telefoniczne pod posiadane numery telefonów, z propozycją zorganizowania pokazów oraz prezentacji towarów oferowanych przez podmioty z branży sprzedaży bezpośredniej.

Telemarketer kontaktujący się z daną osobą nie zna jakichkolwiek danych osobowych rozmówcy, w tym imienia, nazwiska, adresu zamieszkania, do czasu ewentualnego ich podania drogą telefoniczną, celem przesłania zaproszenia, vouchera lub dalszych informacji o oferowanym produkcie.

Spółka podniosła, że numer telefonu składającego skargę nie stanowi dla niej danej osobowej. Odwołując się do art. 4 ust. 1 RODO, zawierającego definicję danych osobowych oraz motywu 26 RODO wywiodła, że możliwość identyfikowania osoby fizycznej, należy odnosić do określenia tożsamości konkretnej osoby fizycznej na podstawie posiadanych lub ewentualnie możliwych do uzyskania informacji, nie zaś do podejmowania działań zmierzających dopiero do ustalenia (uzyskania) informacji, które mogą stanowić dane osobowe (identyfikować konkretną osobę fizyczną). Spółka podała, że nie dysponuje środkami prawnymi, technicznymi bądź organizacyjnymi, umożliwiającymi jej dokonanie identyfikacji rozmówców, nie jest również w stanie przypisać danego numeru telefonu do konkretnej osoby fizycznej.

Spółka podniosła również, że w toku przeprowadzonej rozmowy, ani w inny sposób nie pozyskała żadnych danych osobowych skarżącego, ponieważ nie wyraził zgody na ich przetwarzanie, wymaganej art. 6 ust. 1 lit. a rozporządzenia, a w konsekwencji nie ma możliwości jego identyfikacji.

Spółka wywiodła, że skoro numer telefonu, pod który wykonała połączenie, nie stanowi danej osobowej w rozumieniu RODO, to nie można jej zarzucić, że przetwarzała dane osobowe B.W. (w postaci numeru telefonu) bez podstawy prawnej.

Spółka potwierdziła, że numery telefonów, z których wnoszący skargę otrzymał połączenia telefoniczne, należą do niej. Podniosła, że odmowa podania przez B.W. danych osobowych uniemożliwiła jego prawidłową identyfikację i w konsekwencji ustalenie legitymacji do złożenia żądania zaprzestania przetwarzania danych (sic – przypis P.L.).

Wskazała, że nie ustosunkowała się do żądania w zakresie usunięcia danych osobowych wnoszącego skargę, ponieważ nie dysponowała jego danymi na etapie prowadzonej rozmowy telefonicznej i nie miała możliwości dokonania jego prawidłowej identyfikacji. Spółka stwierdziła, że wnoszący skargę nie wykazuje żadnymi środkami dowodowymi, że wystąpił do Spółki z żądaniem usunięcia danych.

W takim stanie faktycznym Prezes UODO na podstawie art. 104 § 1 kpa w zw. z art. 7 ust. 1 i ust. 2 uodo 2018, art. 6 ust. 1, art. 12 ust. 3 w zw. z art. 17 ust. 1 lit. c, art. 21 ust. 2 i ust. 3 oraz art. 58 ust. 2 lit. b RODO  udzielił Spółce upomnień

(1) za naruszenie art. 6 ust. 1 RODO polegające na przetwarzaniu danych osobowych B.W., w zakresie jego numeru telefonu, bez podstawy prawnej w celach marketingowych oraz

(2) za naruszenie art. 12 ust. 3 w zw. z art. 17 ust. 1 lit. c RODO polegające na spełnieniu żądania B.W. w zakresie usunięcia jego danych osobowych po upływie przewidzianego prawem terminu.

Spółka złożyła skargę na przedmiotową decyzję, a WSA w Warszawie ją oddalił szeroko argumentując powody takiego orzeczenia.

Newsletter

Numer telefonu to dane osobowe

Sąd, w pierwszej kolejności, rozważył:

czy Prezes Urzędu Ochrony Danych Osobowych (dalej “PUODO”) prawidłowo stwierdził, że numer telefonu komórkowego uczestnika postępowania (B.W.) stanowi daną osobową.

O ile bowiem okazałoby się, że ustalenia organu w tym zakresie są błędne, niedopuszczalna byłaby ocena przetwarzania przez skarżącą tej informacji pod względem zgodności z przepisami rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 ze zm.), dalej powoływanego jako RODO.

Według Sądu:

Definicja danych osobowych w RODO nie różni się istotnie od definicji, którą zawierał art. 2 lit. a dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. U. UE. L. z 1995 r. Nr 281, str. 31 ze zm.), dalej powoływanej jako “dyrektywa 95/46/WE”. Przepis ten stanowił bowiem, że dane osobowe oznaczają wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (“osoby, której dane dotyczą”); osoba możliwa do zidentyfikowania to osoba, której tożsamość można ustalić bezpośrednio lub pośrednio, szczególnie przez powołanie się na numer identyfikacyjny lub jeden bądź kilka szczególnych czynników określających jej fizyczną, fizjologiczną, umysłową, ekonomiczną, kulturową lub społeczną tożsamość.

Nadto Sąd wskazał, że:

dokładne porównanie art. 2 lit. a dyrektywy 95/46/WE z art. 4 pkt 1 RODO oraz motywów 26 obu aktów pozwala dostrzec pewne różnice w ich treści. Może nawet sugerować, że w przypadku RODO prawodawca unijny zdecydował się wprowadzić nowy element – nieznany dyrektywie – w postaci “uzasadnionego prawdopodobieństwa”, który subiektywizuje rozumienie określeń “zidentyfikowana” i “możliwa do zidentyfikowania” w większym stopniu niż wynikało to z postanowień dyrektywy 95/46/WE. Różnice te są jednak pozorne.

jak zaznacza w swym orzecznictwie Trybunał Sprawiedliwości (dalej “TS”), akty prawa wspólnotowego są redagowane w wielu językach i różne wersje językowe są na równi autentyczne. Wykładnia przepisu prawa wspólnotowego wymaga zatem porównania poszczególnych wersji językowych. Konieczność jednolitej interpretacji w celu jednolitego stosowania przepisu zakazuje jego rozpatrywania w układzie wyizolowanym i nakazuje jego interpretowanie w świetle wszystkich pozostałych wersji (zob. np. wyroki TS: z 6 października 1982 r. w sprawie 283/81 CILFIT, z 20 października 2005 r. w sprawie C-247/04 Transport Maatschappij Traffic, z 12 kwietnia 2005 r. w sprawie C-265/03 Simutenkov).

Uwzględniając powyższe, po pierwsze należy zauważyć, że jakkolwiek w polskiej wersji językowej RODO w art. 4 pkt 1 posłużono się sformułowaniem: osoba, którą można bezpośrednio lub pośrednio zidentyfikować, a w polskiej wersji językowej dyrektywy 95/46/WE w art. 2 lit. a użyto zwrotu osoba, której tożsamość można ustalić bezpośrednio lub pośrednio, to w wersji angielskiej obu aktów zwrot ten brzmi: is one who can be identified, directly or indirectly.

W wersji francuskiej w art. 4 pkt 1 RODO użyto sformułowania: une personne physique qui peut être identifiée, directement ou indirectement, a w art. 2 lit. a dyrektywy sformułowania: une personne qui peut être identifiée, directement ou indirectement.

W wersji niemieckiej RODO użyto z kolei sformułowania: als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, (…) identifiziert werden kann, a wersji niemieckiej dyrektywy sfromulowania: als bestimmbar wird eine Person angesehen, die direkt oder indirekt identifiziert werden kann.

Co ważne, Sąd powiedział także, że: 

w świetle zd. 3 motywu 26 w polskiej wersji językowej RODO, aby stwierdzić, czy dana osoba fizyczna jest możliwa do zidentyfikowania, należy wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby (w tym wyodrębnienie wpisów dotyczących tej samej osoby), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej.

Wedle natomiast motywu 26 dyrektywy 95/46/WE, w celu ustalenia, czy daną osobę można zidentyfikować, należało wziąć pod uwagę wszystkie sposoby, jakimi może posłużyć się administrator danych lub inna osoba w celu zidentyfikowania owej osoby.

Wykładając zatem art. 4 pkt 1 w zw. z motywem 26 RODO zgodnie ze stawianym przez TS wymogiem porównania poszczególnych wersji językowych aktu prawnego UE, należy dojść do następujących wniosków:

Po pierwsze, sformułowania “osoba, którą można bezpośrednio lub pośrednio zidentyfikować” i “osoba, której tożsamość można ustalić bezpośrednio lub pośrednio”, użyte odpowiednio w RODO i dyrektywie 95/46/WE, mają to samo znaczenie.

Po drugie, RODO w motywie 26 nie zawiera nowego elementu, nieznanego dyrektywie 95/46/WE, tj. “uzasadnionego prawdopodobieństwa”. Zarówno w RODO, jak i w dyrektywie posłużono się sformułowaniami równoznacznymi: account should be taken of all the means reasonably likely to be used (RODO) oraz account should be taken of all the means likely reasonably to be used (dyrektywa); il convient de prendre en considération l’ensemble des moyens raisonnablement susceptibles d’être utilizes (RODO) oraz il convient de considérer l’ensemble des moyens susceptibles d’être raisonnablement mis en oeuvre (dyrektywa); sollten alle Mittel berücksichtigt werden, (…) allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren (RODO) oraz sollten alle Mittel berücksichtigt werden, die vernünftigerweise (…) eingesetzt werden könnten, um die betreffende Person zu bestimmen (dyrektywa).

“Uzasadnione”, czy też “rozsądne” prawdopodobieństwo wykorzystania określonego sposobu identyfikacji osoby fizycznej było zatem także wymogiem uznania, że jest ona możliwa do zidentyfikowania, wynikającym z motywu 26 dyrektywy 95/46/WE. Odwołanie się do niego w motywie 26 RODO nie stanowi więc nowości normatywnej.

Po trzecie, jakkolwiek w polskiej wersji językowej w motywie 26 RODO posłużono się dwoma sformułowaniami, mianowicie “wszelkie rozsądnie prawdopodobne sposoby” oraz “sposoby (…), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane (…)”, to w świetle porównania tej wersji z wersjami angielską, francuską i niemiecką, nie budzi wątpliwości, że oba te sformułowania oznaczają w istocie jeden wymóg, mianowicie rozsądnego (uzasadnionego) prawdopodobieństwa wykorzystania danego sposobu identyfikacji osoby fizycznej przez administratora lub inną osobę.

Sąd biorąc pod uwagę wszystko, co powyżej wywiedziono stwierdził, że:

skarżąca, pozyskując numer telefonu komórkowego uczestnika postępowania, przechowując go i wykorzystując następnie do nawiązania połączenia telefonicznego przetwarzała jego dane osobowe. Sąd zaznacza przy tym jeszcze raz, że przyjął, iż numer telefonu komórkowego użytkownika końcowego będącego osobą fizyczną definiuje tego użytkownika jako osobę korzystającą dla zaspokojenia własnych potrzeb z usług telekomunikacyjnych przypisanych do tego numeru, w tym z podstawowej usługi połączeń telefonicznych, a zatem umożliwia jego zidentyfikowanie poprzez nawiązanie z nim kontaktu w określonym celu i wywieranie na niego określonego wpływu.

Sąd dodatkowo wywiódł natomiast, że:

nawet przy założeniu, iż sam numer telefonu nie pozwala na zidentyfikowanie osoby fizycznej, należy stwierdzić, że skarżąca dysponowała sposobami pozwalającymi na uzyskanie dodatkowych danych identyfikujących uczestnika postępowania, które mogła z uzasadnionym prawdopodobieństwem wykorzystać. Sądowi znane jest stanowisko wyrażone w powołanym przez Spółkę wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z 18 maja 2021 r. sygn. akt II SA/Wa 1898/20, lecz z przedstawionych wyżej względów, Sąd nie podzielił go w przedmiotowej sprawie.

przetwarzanie takich informacji ma bowiem sens tylko wtedy, gdy umożliwia zidentyfikowanie konkretnych osób i zastosowanie wobec nich określonego sposobu traktowania (str. 16 powołanej Opinii). Przywołana konstatacja zyskuje zdaniem Sądu na aktualności w świetle zd. 4 motywu 26 RODO, w którym wskazuje się na konieczność uwzględnienia m.in. technologii dostępnej w momencie przetwarzania danych, jak i postępu technologicznego.

W świetle powyższego nie budzi wątpliwości, że zidentyfikowanie osoby fizycznej nie musi polegać na określeniu jej imienia i nazwiska, a wystarczające jest oznaczenie danej osoby w sposób umożliwiający wywieranie na nią określonego wpływu (zob. Opinia Grupy Roboczej z 20 czerwca 2007 r. nr 4/2007; str. 14; zob. też D. Lubasz [w:] Ochrona Danych Osobowych [red.] D. Lubasz, Warszawa 2020 r., str. 81).

Nie chodzi zatem o możliwość odniesienia konkretnej informacji do konkretnej osoby, lecz o możliwość wskazania danej osoby, rozumianego jako faktyczne wyodrębnienie jej spośród innych osób (zob. P. Litwiński [w:] Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych, Komentarz [red.] P. Litwiński, Warszawa 2018 r., str. 181).

Taką możliwość daje numer telefonu osoby fizycznej, także wtedy gdy podmiot, który jest w jego posiadaniu, nie dysponuje innymi danymi identyfikującymi tę osobę lub rozsądnie prawdopodobnym do wykorzystania sposobem uzyskania takich danych.

Marketing bezpośredni:

W zakresie marketingu bezpośredniego Sąd wskazał, że Prezes UODO nie posiada kompetencji do badania naruszenia przez:

skarżącą art. 24 ust. 1 i ust. 2 ustawy z dnia 16 lutego 2007 r. o ochronie konkurencji i konsumentów (Dz. U. z 2021 r. poz. 275 ze zm.) w zw. z art. 172 ust. 1 P.t., należy zauważyć, że na identyfikujący (“definiujący odbiorcę”) charakter numeru telefonu komórkowego zwrócił uwagę Sąd Najwyższy w uchwale z 17 lutego 2016 r. sygn. akt III SZP 7/15, (OSNP z 2016 r. nr 8, poz. 111), w której przedmiotem rozważań było m.in. wykorzystanie automatycznych systemów wywołujących dla celów marketingu bezpośredniego.

Jak stwierdził Sąd Najwyższy, w okolicznościach sprawy będącej przedmiotem rozpoznania zleceniodawca (przedsiębiorca telekomunikacyjny – przyp. Sądu) wskazywał zleceniobiorcy (firmie niebędącej takim przedsiębiorcą – przyp. Sądu) automatyczny system wybierania, jako narzędzie kierowania komunikatów marketingu bezpośredniego “do zdefiniowanego przez niego za pomocą numeru telefonu odbiorcy, co powoduje, że posługuje się on ASW (a zatem używa go w rozumieniu art. 172 ust. 1 PT) dla celów marketingu bezpośredniego”. W uzasadnieniu powołanej uchwały Sąd Najwyższy odwołał się także do wymienionych wyżej celów dyrektywy 2002/58, dostrzegając z jednej strony znaczenie prawa do prywatności, a z drugiej uciążliwość form komunikacji marketingowej wymienionych w art. 172 ust. 1 P.t. dla użytkowników telefonii komórkowej.

Według Sądu:

nie ma przy tym znaczenia, że usługa, do skorzystania z której, zachęcała skarżąca, nie była oferowana przez nią lecz przez jej kontrahentów. Należy bowiem podkreślić, odwołując się ponownie do powołanej wyżej uchwały Sądu Najwyższego z 17 lutego 2016 r. sygn. akt III SZP 7/15, że z uwagi na znaczenie prawa do prywatności oraz uciążliwość form komunikacji marketingowej, o których mowa w art. 172 ust. 1 Prawa telekomunikacyjnego, dla użytkowników telefonii komórkowej, zwroty, którymi posłużył się ustawodawca w tym przepisie (“używanie telekomunikacyjnych urządzeń końcowych”, “używanie automatycznych systemów wywołujących”) nie mogą być interpretowane zawężająco. Skoro zatem skarżąca używała telekomunikacyjnych urządzeń końcowych w celu zaproszenia konsumentów do skorzystania z określonych usług, bądź zapraszała na pokazy lub spotkania, podczas których istniała możliwość zakupu produktów, to używała tych urządzeń w celu marketingu bezpośredniego. To, kto następnie oferował te usługi i produkty nie ma znaczenia z perspektywy normy prawnej zawartej w art. 172 ust. 1 P.t.

Istotą omawianego orzeczenia WSA w Warszawie, w zakresie podstaw marketingu, jest następująca kontestacja:

skoro zatem używanie telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących dla celów marketingu bezpośredniego dopuszczalne jest pod warunkiem uprzedniego wyrażenia zgody przez abonenta lub użytkownika końcowego, to brak takiej zgody ze strony uczestnika postępowania, powoduje, że nie mógł on mieć rozsądnych przesłanek, by spodziewać się, że może nastąpić przetwarzanie jego danej osobowej w postaci numeru telefonu do tych celów;

podzielając powyższe stanowisko, należy zaznaczyć, że w świetle dookreślającego i precyzującego przepisy RODO art. 172 ust. 1 P.t., zakazane jest używanie telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących dla celów marketingu bezpośredniego, chyba że abonent lub użytkownik końcowy uprzednio wyraził na to zgodę. Zgodnie z art. 174 P.t., do uzyskania zgody abonenta lub użytkownika końcowego stosuje się przepisy o ochronie danych osobowych;

co za tym idzie, skarżąca nie była uprawniona do przetwarzania danych osobowych uczestnika postępowania w zakresie numeru telefonu w oparciu o art. 6 ust. 1 lit. f RODO.

w tym bowiem przypadku nadrzędny charakter nad prawnie uzasadnionym interesem skarżącej ma prawo uczestnika postępowania do ochrony podstawowego prawa – prawa do prywatności, chronionego przepisem Prawa telekomunikacyjnego implementującym przepisy dyrektywy 2002/58.

W świetle powyższego należało stwierdzić, że PUODO trafnie uznał, że skarżąca przetwarzała dane osobowe uczestnika postępowania bez podstawy prawnej, przez co naruszyła art. 6 ust. 1 RODO.

Żądanie usunięcia danych:

W zakresie prawa do bycia zapomnianym Sąd wskazał błędną podstawę w decyzji Prezesa UODO, lecz nie miało to wpływu na poprawną decyzję:

jakkolwiek PUODO błędnie powołał się w zaskarżonej decyzji na art. 17 ust. 1 lit. c w zw. z art. 21 ust. 2 i ust. 3 RODO zamiast na art. 17 ust. 1 lit. d RODO, to nie budzi wątpliwości, że uczestnik postępowania wniósł mające oparcie w drugim z wymienionych przepisów żądanie usunięcia danych osobowych.

zgodnie z art. 17 ust. 1 lit. d RODO, osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli dane osobowe były przetwarzane niezgodnie z prawem.

Spółka, realizując to żądanie dopiero po wniesieniu skargi do organu nadzorczego, przekroczyła termin przewidziany w art. 12 ust. 3 RODO.

Reasumując, kontrola zaskarżonej decyzji w granicach sprawy nie dała podstaw do stwierdzenia, że została ona wydana z naruszeniem przepisów postępowania, natomiast stwierdzone naruszenie prawa materialnego (poprzez błędne zastosowanie art. 17 ust. 1 lit. c w zw. z art. 21 ust. 2 i ust. 3 RODO zamiast art. 17 ust. 1 lit. d RODO) nie miało wpływu na wynik sprawy.