Kwietniowy wyrok WSA – sam numer telefonu nie jest daną osobową

01.06.2021

W wyroku WSA z 13.04.2021 r. Sąd uchylił decyzję Prezesa UODO wydaną w lipcu 2020 r.

 

 

We wskazanej decyzji Prezes UODO udzielił Spółce upomnienia za naruszenie art. 15 ust. 1 lit. g i art. 15 ust. 3 RODO, polegające na odmowie realizacji żądania Wnioskodawcy – udzielenia mu wszelkich dostępnych informacji o źródle pozyskania danych osobowych oraz kopii jego danych osobowych.

Prezes UODO przyjął, iż takimi danymi osobowymi jest sam numer telefonu komórkowego.

Innego zdania była upomniana Spółka, która na etapie postępowania administracyjnego wskazała, że:

pozyskała numer telefonu Wnioskodawcy w związku z nabyciem pakietu danych (numerów telefonu, wytypowanych w oparciu o kryterium geograficzne) od […] z siedzibą w […] ([…]) – zwanej dalej “Spółką II” – tak: wyjaśnienia Spółki z […] marca 2020 r.

Przedmiotowa sprawa rozpoczęła się od tego, że:

Wnioskodawca zwrócił się do Spółki […] października 2019 r. – drogą elektroniczną – z żądaniem dostarczenia kopii jego danych, przetwarzanych przez Spółkę oraz udzielenia informacji o źródle ich pozyskania – tak: kopia korespondencji – w aktach sprawy oraz pismo Spółki z […] czerwca 2020 r.

a Spółka stanęła na stanowisku, że:

odmówiła realizacji żądań Wnioskodawcy; wedle niej numer telefonu nie stanowi danej osobowej – tak: pismo Wnioskodawcy z […] października 2019 r. i Spółki z […] czerwca 2020 r.

I właśnie odpowiedź na to zagadnienie było przedmiotem kwietniowego wyroku WSA. W orzeczeniu tym Sąd wskazał, że:

Skarga zasługuje na uwzględnienie, gdyż trafne są zarzuty Spółki gdzie podniesiono, że orzekając w sprawie naruszono przepisy prawa materialnego zakreślające, co należy traktować jako dane osobowe, których przetwarzanie podlega regułom RODO. Mylna konstatacja organu, jakoby Spółka przetwarza dane osobowe Wnioskodawcy, prowadziła do bezpodstawnego wydania orzeczenia, którym udzielono Spółce upomnienia oraz zobowiązano ją do podjęcia określonych czynności

Powyższe stanowisko Sądu został oparte na następującej argumentacji:

Trafnie jednak wywiedziono w skardze, że organ – prowadząc postępowanie oraz przywołując określone okoliczności formalne sprawy – nie wykazał w istocie, aby Spółka – dysponując wyłącznie zbiorem określonych numerów telefonów (jest to niesporne, w kontekście posiadanych danych Wnioskodawcy) przetwarzała dane osobowe – w rozumieniu art. 4 pkt 1 RODO”

Zasadnie zauważa organ, że danymi takimi mogą być informacje, które nie identyfikują konkretnej osoby lecz jest możliwe – przy ich pomocy i wykorzystaniu nieznacznych środków – zidentyfikowanie konkretnej osoby. Organ nie wywiódł jednak, aby tego rodzaju charakter miał sam numer telefonu – nieprzypisany do konkretnej osoby, w ramach zbioru informacji posiadanych przez podmiot dysponujący tymi danymi, bądź w łatwy sposób pozyskiwalnymi.

Co trafnie zauważa Spółka stanowisko, że sam numer telefonu nie stanowi danej osobowej, jest także podzielone w doktrynie (patrz przywołany wcześniej pogląd)”;

I co najciekawsze:

Jak trafnie wywiedziono w skardze, sam numer telefonu nie pozwala na identyfikację konkretnej osoby. Może być wyłącznie podstawą dla podjęcia określonych czynności w celu identyfikacji posiadacze numeru – abonenta lub osoby, która faktycznie używa danego numeru. Skoro nabyty przez Spółkę od Spółki II zbiór danych (baza numerów telefonów) identyfikuje wyłącznie osoby zamieszkujące pewien teren (tak powołane przez Spółkę kryteria zasobu nabytej bazy – geograficzne) to sam numer telefonu nie jest wystarczający do identyfikacji konkretnej osoby, jako jednostki o przypisanych jej cechach indywidualnych. Nie sposób więc uznać, aby Spółka dysponowała danymi osobowymi Wnioskodawcy i je przetwarzała”

Skoro zaś Spółka nie przetwarzała danych osobowych Wnioskodawcy, nie znajdą do niej zastosowania wymagania określone RODO. Nie mogła być też wydana wobec niej decyzja w następstwie naruszenie stosownych reguł, wynikających z tego aktu”

Odnosząc się do argumentacji organu, że rzeczywistym celem Spółki – przy nabyciu praw do bazy danych, obejmującej numery telefonów – jest zgromadzenie informacje o potencjalnych odbiorcach usług przez nią oferowanych, należy wskazać, że – w takim razie – także w ocenie organu posiadane informacje mogą być wyłącznie przydatne do utworzenia w przyszłości określonego zasobu informacji o danych osobowych, a więc ich przetwarzania. Tylko jeżeli określone działania Spółki przyniosą zakładane przez nią skutki będzie ona obowiązana wobec pewnych abonentów – osób, których dane osobowe zgromadzi – do zachowania reguł określonych w RODO. Ich naruszenie uzasadni zastosowanie przez organ przypisanych mu środków dyscyplinujących”

Nie wydaje mi się, aby Prezes UODO w tak doniosłej sprawie nie skorzystał z możliwości wniesienia skargi kasacyjnego do NSA od wskazanego wyroku.