WSA wskazuje liczne argumenty, że numer telefonu to dane osobowe

W kolejnym orzeczeniu WSA w Warszawie szeroko wypowiada się na temat rozszyfrowania pojęcia danych osobowych.

W tej sprawie pewna spółka nabyła “pakiet numerów telefonów” jedynie z przypisaną lokalizacją geograficzną ograniczającą się do danego województwa.

Spółka, która kupiła taką bazę numerów telefonów, wykonywała połączenia telefoniczne, w celu przedstawienia swojej oferty.

Jedna z osób, która otrzymała taki telefon, złożyła skargę do Prezesa UODO związaną z przetwarzaniem jej danych osobowych.

Prezes UODO we wrześniu 2022 r. wydał decyzję, w której:

nakazał wyeliminowanie nieprawidłowości w procesie przetwarzania danych osobowych I. C. poprzez usunięcie jej danych osobowych w zakresie numeru telefonu (…),

udzielił upomnienia za naruszenie art. 15 ust. 1 RODO polegające na niezrealizowaniu żądania I. C. w zakresie prawa dostępu do danych w zakresie wskazania podstawy prawnej i źródła jej danej osobowej, tj. numeru telefonu (…).

Powody takiej decyzji były następujące:

Pełnomocnik Spółki oświadczył, iż Spółka wykonuje połączenia telefoniczne na posiadane przez Spółkę numery telefonów, jednakże bez przyporządkowanych do nich jakichkolwiek danych osobowych ich właścicieli lub użytkowników. Telemarketer kontaktujący się z daną osobą w imieniu Spółki nie zna jakichkolwiek danych osobowych rozmówcy, w tym imienia, nazwiska czy adresu zamieszkania, do czasu ich ewentualnego podania drogą telefoniczną, celem przesłania zaproszenia, vouchera lub dalszych informacji. Zgodnie z oświadczeniem pełnomocnika Spółki, nie prowadzi ona sprzedaży bezpośredniej w trakcie połączeń z odbiorcami końcowymi, zatem w trakcie połączeń z konsumentami nie składa ofert handlowych i nie promuje żadnych produktów handlowych;

Pełnomocnik Spółki oświadczył, iż dane osobowe skarżącej w zakresie jej imienia, nazwiska, adresu zamieszkania, numeru PESEL, numeru telefonu oraz adresu e-mail, Spółka pozyskała w związku z prowadzonym przez Prezesa UODO postępowaniem administracyjnym w niniejszej sprawie;

Pełnomocnik Spółki oświadczył, iż Spółka nie mogła udzielić żadnej odpowiedzi w zakresie prawa dostępu do danych wynikającego z art. 15 ust. 1 lit. g rozporządzenia 216/679 oraz nie mogła usunąć danych osobowych z uwagi na brak pozyskania i przetwarzania tych danych. Ponadto Pełnomocnik Spółki podkreślił, iż skarżąca nie skierowała żadnego żądania w tym zakresie, a w aktach sprawy brak jest dowodu na tę okoliczność;

Sąd odniósł się do argumentów podnoszonych przez spółkę i wskazał, że:

zidentyfikowanie osoby fizycznej nie musi polegać na określeniu jej imienia i nazwiska, a wystarczające jest oznaczenie danej osoby w sposób umożliwiający wywieranie na nią określonego wpływu (zob. Opinia Grupy Roboczej z 20 czerwca 2007 r. nr 4/2007; str. 14; zob. też D. Lubasz [w:] Ochrona Danych Osobowych [red.] D. Lubasz, Warszawa 2020 r., str. 81). Nie chodzi zatem o możliwość odniesienia konkretnej informacji do konkretnej osoby, lecz o możliwość wskazania danej osoby, rozumianego jako faktyczne wyodrębnienie jej spośród innych osób (zob. P. Litwiński [w:] Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych, Komentarz [red.] P. Litwiński, Warszawa 2018 r., str. 181).

taką możliwość daje numer telefonu osoby fizycznej, także wtedy gdy podmiot, który jest w jego posiadaniu, nie dysponuje innymi danymi identyfikującymi tę osobę lub rozsądnie prawdopodobnym do wykorzystania sposobem uzyskania takich danych.

numer telefonu osoby fizycznej stanowi zatem wspomniany wyżej “punkt kontaktowy”, ponieważ umożliwia osobie trzeciej podjęcie inicjatywy kontaktu z osobą fizyczną, a w konsekwencji wywierania na nią określonego wpływu. Numer telefonu osoby fizycznej stanowi niepowtarzalną kombinację cyfr, która jest do tej osoby przypisana i odróżnia ją, po pierwsze od osób niekorzystających z usługi telekomunikacyjnej (połączeń telefonicznych), a po drugie, korzystających z innych numerów telefonów. Jest informacją na temat tej osoby, która umożliwia podmiotowi, który wejdzie w posiadanie numeru telefonu, kontakt z nią i skierowanie do niej określonej informacji (zarówno ustanej, jak i tekstowej).

w realiach rozpoznanej sprawy nie budzi natomiast wątpliwości, że numery telefonów, wskazane w skardze i na str. 2 zaskarżonej decyzji, są numerami telefonów komórkowych I. C., z których korzysta dla zaspokojenia własnych potrzeb. Jest ona zatem użytkownikiem końcowym, o którym mowa w art. 2 pkt 50 P.t.

dodatkowych argumentów za uznaniem numeru telefonu osoby fizycznej za jej dane osobowe i to niezależnie od tego, czy podmiot, który jest w jego posiadaniu dysponuje innymi informacjami umożliwiającymi identyfikację tej osoby lub rozsądnie prawdopodobnym do wykorzystania sposobem uzyskania takich informacji, dostarczają przepisy Prawa telekomunikacyjnego implementujące dyrektywę 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotyczącą przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej) (Dz. U. UE. L. z 2002 r. Nr 201, str. 37 ze zm.) (dalej: “dyrektywa 2002/58”).

Sąd wskazał także, że:

Spółka, pozyskując numery telefonów komórkowych uczestniczki postępowania, przechowując je i wykorzystując następnie do nawiązania połączenia telefonicznego, przetwarzała jej dane osobowe. Sąd zaznacza przy tym jeszcze raz, że przyjął, iż numer telefonu komórkowego użytkownika końcowego będącego osobą fizyczną definiuje tego użytkownika jako osobę korzystającą dla zaspokojenia własnych potrzeb z usług telekomunikacyjnych przypisanych do tego numeru, w tym z podstawowej usługi połączeń telefonicznych, a zatem umożliwia jego zidentyfikowanie poprzez nawiązanie z nim kontaktu w określonym celu i wywieranie na niego określonego wpływu. Sąd dodatkowo wywiódł natomiast, że nawet przy założeniu, iż sam numer telefonu nie pozwala na zidentyfikowanie osoby fizycznej, należy stwierdzić, że Spółka dysponowała sposobami pozwalającymi na uzyskanie dodatkowych danych identyfikujących uczestnika postępowania, które mogła z uzasadnionym prawdopodobieństwem wykorzystać.

w świetle dookreślającego i precyzującego przepisy RODO art. 172 ust. 1 P.t., zakazane jest używanie telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących dla celów marketingu bezpośredniego, chyba że abonent lub użytkownik końcowy uprzednio wyraził na to zgodę. Zgodnie z art. 174 P.t., do uzyskania zgody abonenta lub użytkownika końcowego stosuje się przepisy o ochronie danych osobowych.

w analizowanej sprawie Prezes UODO prawidłowo przyjął, że uczestniczka postępowania była uprawniona do zgłoszenia sprzeciwu na podstawie art. 21 ust. 2 RODO. Zgodnie bowiem z brzmieniem tego przepisu, jeżeli dane osobowe są przetwarzane na potrzeby marketingu bezpośredniego, osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania dotyczących jej danych osobowych na potrzeby takiego marketingu, w tym profilowania, w zakresie, w jakim przetwarzanie jest związane z takim marketingiem bezpośrednim. Prawu temu odpowiada, wyrażony w art. 21 ust. 3 RODO, obowiązek w postaci niezwłocznego zaprzestania przetwarzania danych w celach marketingowych. Ponadto, zgodnie z treścią art. 17 ust. 1 RODO, osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, m.in. jeżeli osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 1 wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania lub osoba, której dane dotyczą wnosi sprzeciw na mocy art. 21 ust. 2 wobec przetwarzania (art. 17 ust. 1 lit. c).