Sam numer telefonu nie jest daną osobową. Wyrok NSA

Czy sposobem na namolny telemarketing może być skarga na naruszenie przepisów RODO? Nie zawsze. Potwierdza to najnowsze orzeczenie Naczelnego Sądu Administracyjnego (NSA).

Sprawa zaczęła się w grudniu 2018 r., gdy do Urzędu Ochrony Danych Osobowych (UODO) wpłynęła skarga mężczyzny, którego głównym zarzutem było to, że jedna ze spółek dopuściła się bezprawnego przetwarzania jego danych osobowych w celach marketingowych.

Czy można skarżyć się do UODO na telefony od telemarketerów?

Prezes UODO nie zbagatelizował sprawy i wezwał spółkę do wyjaśnień. Ta odpowiedziała jednak, że przetworzyła dane w postaci numeru telefonu wyłącznie w akcji telemarketingowej realizowanej na rzecz szkoły językowej, która jest ich administratorem. Firma tłumaczyła, że akcja telemarketingowa na zlecenie szkoły językowej miała polegać wyłącznie na wykonaniu połączenia na określony numer telefonu w celu ustalenia, czy dana osoba, do której wykonywane jest połączenie, zainteresowana jest informacjami dotyczącymi kursów języka angielskiego online oraz kontaktem ze strony administratora. Jeżeli ktoś wykazywał takie zainteresowanie, konsultant miał zapytać o imię i nazwisko oraz miejscowość, a następnie na zlecenie administratora odczytywał klauzulę informacyjną dotyczącą administratora.

Czytaj więcej

Dane osobowe

"Dane osobowe? To mnie nie dotyczy" - Każdy powinien dbać o swoją prywatność

Wielu z nas posiada mylne wyobrażenie, że ochrona danych osobowych to sprawa wyłącznie instytucji...

Spółka zastrzegła, że w ramach tej skróconej informacji podawany był link do pełnej klauzuli informacyjnej administratora. Po odczytaniu klauzuli informacyjnej konsultant zwracał się z pytaniem o zgodę na otrzymywanie połączeń telefonicznych w celach marketingowych. Administrator dostawał dane tylko osób, które wyraziły na to zgodę. Inne były zaś usuwane, poza pozostawieniem numeru telefonu na tzw. „czarnej liście” w celu zablokowania możliwości połączenia się z nim przez konsultanta w przyszłości.  Z wyjaśnień spółki wynikało, że spółka w ramach akcji marketingowej dysponowała numerem telefonu, który pozyskała na zlecenie administratora z ogólnodostępnego źródła, tj. internetu. Niemniej podkreślała, że dane te zostały przetworzone wyłącznie w celu wykonania kontaktu na zlecenie administratora, czyli szkoły językowej. Dane skarżącego nie zostały udostępnione na rzecz innych osób lub podmiotów. Spółka przetworzyła te dane wyłącznie na zlecenie administratora zgodnie z zawartymi umowami. 

Spółka broniła się też, że skoro nie była ani nie jest administratorem danych skarżącego, to nie spełniała obowiązku informacyjnego wobec skarżącego. Nie mogła go wypełnić w sposób opisany w załączonym skrypcie rozmowy, bo połączenie zostało przerwane. Firma przekonywała również, że nie posiada informacji, aby ta konkretna osoba zażądała w jakikolwiek sposób realizacji swoich praw z zakresu ochrony danych osobowych telefonicznie, mailowo czy korespondencyjnie.

Czy numer telefonu to dana osobowa?

Te argumenty nie przekonały prezesa UODO. W jego ocenie, choć numer telefonu nie określa bezpośrednio tożsamości osoby fizycznej, to jest informacją, która umożliwia bezpośredni kontakt z określoną osobą, a samo ustalenie tożsamości nie wymaga poniesienia nadmiernych kosztów, czasu lub działań. Sama zatem możliwość skontaktowania się z tą osobą może prowadzić do ustalenia jej tożsamości, a więc numer telefonu stanowi dane osobowe w rozumieniu RODO.

Czytaj więcej

Rzecz o prawie

Jakub Groszkowski: Numer telefonu jest jak imię i nazwisko

Powoli kształtuje się linia orzecznicza w sprawach ochrony danych osobowych.

I ostatecznie prezes UODO nakazał firmie telemarketingowej wyeliminowanie nieprawidłowości w procesie przetwarzania danych osobowych mężczyzny. Konkretnie usunięcie jego numeru telefonu jako przetwarzanego bez podstawy prawnej.

Spółka nie zgodziła się z nakazem. W skardze do sądu administracyjnego przekonywała, że w jej przypadku numer telefonu nie jest daną osobową, bo sam nie pozwala na identyfikację konkretnej osoby. Może być wyłącznie podstawą dla podjęcia określonych czynności w celu identyfikacji posiadacza numeru, tj. abonenta lub osoby, która faktycznie używa danego numeru.

Najpierw rację skarżącej przyznał Wojewódzki Sąd Administracyjny (WSA) w Warszawie. Zauważył, że w spornym przypadku połączenie telefoniczne nie doprowadziło do pozyskania przez konsultanta danych osobowych, a sam numer telefonu nie dawał możliwości jego identyfikacji. A skoro numer telefonu nie pozwalał na identyfikowanie konkretnej osoby w oparciu o przypisane jej cechy indywidualne, to zdaniem WSA nie sposób uznać, aby spółka dysponowała spornymi danymi osobowymi i je przetwarzała. 

Czy wykorzystanie bez zgody numeru telefonu narusza RODO?

Ostatecznie wygraną spółki przypieczętował NSA. Zgodził się, że w okolicznościach sprawy nie można uznać, że numer telefonu był daną osobową w rozumieniu RODO. NSA zauważył, że w spornym przypadku spółka otrzymała bazę numerów telefonów bez niczego. To znaczy nie miała żadnych innych danych związanych z imieniem, nazwiskiem czy terenem z , z jakiego pochodzą numery telefonu. W konsekwencji telemarketerzy oferowali usługi na rzecz szkoły językowej, która wcześniej przekazała jedynie bazę numerów telefonu. Przy czym jak podkreślił sąd, jeżeli rozmówca nie podał żadnych danych, to spółka nie miała żadnych dokładnych danych poza numerem telefonu. Jedynie w sytuacji, gdy sama osoba, do której dzwoniono podała te dane osobowe, to wtedy doszłoby do tego, że spółka rzeczywiście by nimi dysponowała. Niemniej jak zaznaczył sędzia NSA Zbigniew Ślusarczyk numer telefonu nie może stać się daną osobową na skutek samoidentyfikacji. Żeby było inaczej, te tzw. dane dodatkowe spółka musiałaby uzyskać w inny sposób np. od tego, który przekazuje numery.

Czytaj więcej

Konsumenci

Co zrobić, by telemarketerzy przestali dzwonić

Blokowanie numeru, gdy wiadomo, że to niechciana oferta, nie rozwiąże problemu. Najlepiej ogranic...

NSA nie miał więc wątpliwości, że przez samoidentyfikację osoby, do której się dzwoni, kwalifikacja tego numeru telefonu jako danej osobowej by się zmieniła. Jak tłumaczył sąd w spornych okolicznościach, nie można stwierdzić, żeby spółka, która prowadziła telemarketing posiadała jakiekolwiek inne dane dodatkowe. Zatem posiadanie samego numeru telefonu w żaden sposób nie umożliwiało jej uzyskania imienia i nazwiska. A przecież chodzi głównie o to, żeby ustalić tożsamość tej konkretnej osoby, do której dzwoniono. Dlatego w sprawie sporny numer nie był daną osobową i nie można mówić o jej przetwarzaniu. 

NSA nie krył, że ma świadomość problemu uciążliwości połączeń telemarketingowych „na oślep”. Jednak w jego ocenie wyeliminowanie go należy do państwa, ewentualnie do samych abonentów przez skorzystanie z innej drogi niż skargi do UODO. 

Czytaj więcej

Opinie Prawne

Sławomir Wikariak: Walka dwóch wilków RODO

Walczą we mnie dwa wilki RODO. Jeden warczy, by zbyt wielu informacji nie uznawać za dane osobowe...

Jak bronić się przed niechcianymi telefonami od telemarketerów?

Co na to eksperci? Zdaniem Pawła Litwińskiego, adwokata w kancelarii Barta Litwiński, stanowisko NSA jest jak najbardziej słuszne.

– Nie mam wątpliwości, że samodzielnie występujący numer telefonu co do zasady, patrząc systemowo, nie ma charakteru danych osobowych, – wyjaśnia Paweł Litwiński.

 Ekspert nie kwestionuje, że wykorzystywanie telefonów do działań marketingowych może prowadzić do nadużyć. Jednak w jego przekonaniu problemu tego nie rozwiąże „naciąganie” przepisów RODO.  

– W obecnie obowiązujących przepisach regulatorem, który ma zwalczać niechciane kontakty telefoniczne jest prezes Urzędu Komunikacji Elektronicznej (UKE). Szkopuł w tym, że w praktyce z tego obowiązku się nie wywiązuje. Dla wielu osób marketing telefoniczny to uciążliwość i trudno się dziwić, że sięgają po regulacje RODO i szukają pomocy u prezesa Urzędu Ochrony Danych Osobowych, który działa znacznie aktywniej. Nie zmienia to jednak faktu, że samoistne numery telefonów nie są danymi osobowymi, a więc RODO nie ochroni nas przed niechcianymi połączeniami– tłumaczy Paweł Litwiński.

 Zdaniem eksperta jedynym rozwiązaniem poważnego problemu niechcianej komunikacji telefonicznej jest zmiana podejścia do nadużyć i skuteczna egzekucja przepisów przez prezesa UKE. 

Czytaj więcej

Konsumenci

Telemarketing - jak się skarżyć na nękające telefony

Kwestię telemarketingu reguluje kilka ustaw, a na straży ich przestrzegania stoją aż trzy urzędy....

 Nieco inny pogląd na sprawę ma jednak prof. Grzegorz Sibiga, adwokat, partner w kancelarii Traple, Konarski, Podrecki i Wspólnicy. Zauważa, że wyrok NSA potwierdza trend subiektywizacji „danych osobowych”.

– A sprowadza się on do tego, że uznanie określonych danych za osobowe każdorazowo jest ustalane w konkretnych okolicznościach. Przede wszystkim zależy od kontekstu przetwarzania i możliwości identyfikacji osoby fizycznej przez konkretny podmiot – tłumaczy prof. Grzegorz Sibiga.

Ekspert przyznaje, że to generalny trend nie tylko w orzecznictwie polskich sądów administracyjnych, które np. wcześniej nie kwalifikowały jako danych osobowych numerów rejestracyjnych aut w systemie płatnego parkowania, ale także w orzecznictwie TSUE i w projekcie Komisji Europejskiej dotyczący zmian RODO w ramach Digital Omnibus. 

– Nie zmienia to jednak faktu, że ta nowa tendencja w praktyce jeszcze bardziej utrudni ocenę, czy w danej sytuacji mamy do czynienia z danymi osobowymi czy nie. W konsekwencji będzie więc wywoływać kolejne spory i niepewność, – konkluduje prof. Grzegorz Sibiga.