WSA: numer telefonu nie stanowi danych osobowych

I kolejne orzeczenie WSA w Warszawie dotyczące interpretacji pojęcia danych osobowych w odniesieniu do numeru telefonu. 

Tym razem WSA w Warszawie poparł argumentacje przedstawioną przez pełnomocnika podmiotu wobec, którego Prezes UODO udzielił upomnienia za przetwarzanie danych osobowych bez podstawy prawnej.

Celowo nie piszę, czy podmiot ten był administratorem danych czy podmiotem przetwarzającym, bo to też budziło wątpliwości Sądu, ale z powodu nieprzetwarzania danych osobowych nie miało istotnego znaczenia.

Sprawa zaczęła się od tego, że pewien obywatel otrzymywał telefony od spółki, która wskazała Prezesowi UODO, że do dnia przekazania jej kopii skargi nie posiadała żadnych danych osobowych tego obywatela.

Spółka wykonywała połączenia telefoniczne, pod posiadane przez Spółkę numery telefonów, jednakże bez przyporządkowanych do nich jakichkolwiek danych osobowych ich właścicieli lub użytkowników. Telemarketer kontaktujący się z daną osobą w imieniu Spółki nie znał jakichkolwiek danych osobowych rozmówcy, w tym imienia, nazwiska, wieku, czy adresu zamieszkania, do czasu ich ewentualnego podania drogą elektroniczną, celem przesłania zaproszenia, voucher lub dalszych informacji.

Spółka pozyskała numer telefonu Wnioskodawcy w ramach umowy o udostępnienie pakietu danych (numerów telefonów typowanych na podstawie kryterium geograficznego) od współpracującego z nią podmiotu nazwanego w treści decyzji Spółką II.

Spółka wskazała, że usunęła nr telefonu Wnioskodawcy.

Mimo powyższego Prezes UODO decyzją z marca 2023 r.:

udzielił Spółce upomnienia za naruszenie art. 6 ust. 1 RODO, polegającego na przetwarzaniu – bez podstawy prawnej – w celach marketingowych danych osobowych Wnioskodawcy w zakresie numeru telefonu

Prezes UODO bardzo szeroko argumentował, że sam numer telefonu stanowi daną osobową.

Pełnomocnik Spółki przedstawił jeszcze szerszą argumentację, że sam numer telefonu nie jest daną osobową.

Ten skład WSA w Warszawie przyjął stanowisko Pełnomocnika Spółki. 

Skarga zasługuje na uwzględnienie, gdyż trafne są zarzuty Spółki, gdzie podniesiono, że orzekając w sprawie naruszono przepis prawa materialnego zakreślający, co należy traktować jako dane osobowe (art. 4 pkt 1 RODO), których przetwarzanie podlega regułom RODO. Mylna konstatacja organu, jakoby Spółka przetwarza dane osobowe Wnioskodawcy, prowadziła do bezpodstawnego wydania orzeczenia, którym udzielono Spółce upomnienia.

Zasadnie jednak wywiedziono w skardze, że organ – prowadząc postępowanie oraz przywołując określone okoliczności formalne sprawy – nie wykazał w istocie, aby Spółka – dysponując wyłącznie zbiorem określonych nr telefonów – jest to niesporne, w kontekście posiadanych danych Wnioskodawcy (choć Spółka wywodzi, że nie była administratorem ich bazy) – przetwarzała dane osobowe, w rozumieniu art. 4 pkt 1 RODO.

Zasadnie zauważa organ, że danymi takimi mogą być informacje, które nie identyfikują konkretnej osoby lecz jest możliwe – przy ich pomocy i wykorzystaniu nieznacznych środków – zidentyfikowanie konkretnej osoby. Organ nie wywiódł jednak, aby tego rodzaju charakter miał w danym przypadku sam nr telefonu – nieprzypisany do konkretnej osoby, w ramach zbioru informacji posiadanych przez podmiot, dysponujący tymi danymi, bądź w łatwy sposób pozyskiwalnymi.

Według Sądu:

Zasadnie odnotowano w uzasadnieniu zaskarżonego aktu, niektóre dane – w zależności od ich powiązania z innym zbiorem informacji o osobach – mogą w pewnych sytuacjach stanowić dane osobowe bądź nimi nie być. Uwagę te odnieść należy także do nr telefonu jako danej o charakterze numerycznym przypisanej do konkretnego abonenta – osoby związanej z operatorem umową na świadczenie usług telekomunikacyjnych. Jak trafnie wywiedziono w skardze, sam nr telefonu nie pozwala na prostą identyfikację konkretnej osoby. Może być wyłącznie podstawą dla podjęcia określonych czynności w celu identyfikacji posiadacze numeru – faktycznego abonenta lub osoby, która faktycznie używa danego numeru. Skoro nabyty przez Spółkę od Spółki II zbiór danych (baza nr telefonów) identyfikuje wyłącznie osoby zamieszkujące pewien teren (tak powołane przez Spółkę kryteria zasobu nabytej bazy – geograficzne) to sam nr telefonu nie jest wystarczający do identyfikacji konkretnej osoby fizycznej – jako jednostki o przypisanych jej cechach indywidualnych. Nie sposób więc uznać, aby Spółka – wedle stanu faktycznego ustalonego przez organ – dysponowała danymi osobowymi Wnioskodawcy i je przetwarzała.

W kontekście niespornych uwarunkowań faktycznych danej sprawy uprawnione jest założenie, że Spółka dokonywała operacji na pozyskanej od Spółki II w bazie danych nr telefonu, których abonenci przypisani są do określonej lokalizacji geograficznej. Bez ich zgody na przetwarzanie danych dotyczyło to jedynie stosownego oznaczania, czy osoba odbierająca połączenie (nie koniecznie to abonent) wykazuje zainteresowanie przedstawioną obecnie konkretną ofertą.

Co istotne Sąd wskazał, że:

Trafnie też wychodzi Spółka że nie istnieje – w każdym razie organ nie przywołał ani nie jest znane Sądowi z urzędu – narzędzie pozwalające przyporządkować w sposób prosty, szybki i ekonomicznie opłacalny (np. przez zautomatyzowane wyszukiwanie) nr telefonów wobec konkretnego zbioru osób fizycznych.

Nie może mieć istotnego znaczenia sama potencjalna możliwość identyfikacji poszczególnych osób przy pomocy określonych aplikacji czy komunikatorów (tak powołane przez organ tezy orzeczenia), skoro – w kontekście danej sprawy – nie uprawdopodobniono nawet aby – wobec rodzaju posiadanych przez Spółkę danych – mogły być takie działania realizowane przez nią czy podmioty trzecie.

Skoro Spółka nie przetwarzała danych osobowych Wnioskodawcy, nie znajdą do niej zastosowania wymagania określone RODO. Nie mogła być też wydana wobec niej decyzja w następstwie naruszenie stosownych reguł, wynikających z tego aktu.

Trafne są zatem zarzuty naruszenia wymienionego w skardze przepisu prawa materialnego – art. 4 pkt 1 RODO, przez błędne przyjęcie jakoby – w myśl w wskazanej definicji legalnej – sam nr telefonu stanowił daną osobą w jej rozumieniu. Czyni to zasadnymi zarzuty naruszenia innych reguł RODO (powołanych w skardze przepisów prawa materialnego), skoro unormowania danego aktu nie znajdą w sprawie zastosowania.

Orzekając w sprawie Sąd miał na uwadze, że sam obrót bazami nr telefonów w celu wykonywania połączeń do wytypowanej ich grupy, bez uprzedniej zgody abonenta, może być uważany za praktykę naganną.

Odnosząc się do stanowiska Wnioskodawcy na rozprawie należy wskazać, że ewentualna kwestia gromadzenia czy posiadania (przetwarzania) dodatkowych informacji o abonentach poszczególnych numerów, czy osobach odbierających połączenie – poza przypisaniem lokalizacji geograficznej nr (np. o wieku osoby) – w kontekście uznania, że przetwarzane są dane osobowe w rozumieniu RODO nie było dotąd w ogóle przedmiotem rozważań organu.