Naczelny Sąd Administracyjny (NSA) wydał rozstrzygnięcie istotne z punktu widzenia RODO – zarówno dla banków, jak i dla samych obywateli. Sprawa dotyczyła starszego pana, który w kiosku kupił numer telefonu na kartę. Aktywował go mniej więcej w marcu 2022 r. Schody zaczęły się, gdy kilka miesięcy później zaczął otrzymywać SMS-owe ponaglenia z banku o spłatę długu. Mężczyzna oddzwaniał na bankową infolinię i próbował wyjaśnić, że to pomyłka. Informował jego pracowników, że nie jest osobą, której dotyczą te wiadomości tekstowe. Zapewniał też, że nie wie, kto to jest, a on sam nie miał żadnego kontaktu z bankiem. Pracownik na infolinii przyjmował te tłumaczenia do wiadomości i obiecywał, że telefony się skończą. Niestety tak się nie stało. Nowy właściciel numeru znów dostał kilkanaście ponagleń głosowych z różnych numerów banku. Stracił cierpliwość i poskarżył się do prezesa Urzędu Ochrony Danych Osobowych (UODO).
Numer telefonu a ochrona danych osobowych
Ten zajął się skargą i ustalił, że bank pozyskał feralny numer od swojego klienta, który zawarł z nim umowę o przyznanie limitu kredytowego i wydanie karty. Odebrał od niego wówczas stosowne oświadczenia, w szczególności na podstawie art. 6 ust. 1 lit. b) RODO. Telefon został zaś podany przez klienta jako dane zaufane do bankowości elektronicznej. Bank tłumaczył, że klient przestał spłacać swoje zadłużenie na karcie i faktycznie na wskazany przez niego numer zaczęto wysyłać powiadomienia windykacyjne. SMS-y nie były więc kierowane do nowego właściciela numeru. Bank zaznaczył ponadto, że jego dane pozyskał już w wyniku złożenia reklamacji i są one przetwarzane dla celów związanych z jej obsługą.
W tej sytuacji prezes UODO umorzył postępowanie zainicjowane skargą nowego właściciela numeru. Zauważył, że sporny numer został wskazany przez inną osobę, tj. klienta banku jako jego telefon kontaktowy. A każda osoba może dowolnie wskazywać swoje dane kontaktowe, w tym numer telefonu, bowiem to ona ponosi konsekwencje nieodebrania kierowanych do niej wiadomości. Zdaniem UODO, gdy więcej niż jedna osoba wskazuje do kontaktu taki sam numer telefonu, dotyczy on ich obu w tym samym stopniu. Bank nie ma zaś możliwości weryfikacji prawdziwości danych w zakresie numeru telefonu podanego przez klienta. Prezes UODO uznał, że instytucja nie popełniła błędu, przypisując sporny numer telefonu do innej osoby, bo przetwarzała go jako dane swojego klienta. Bank kierował więc ponaglenia do swojego dłużnika. Nowy właściciel numeru nie może być zaś stroną postępowania o przetwarzanie danych osobowych osoby trzeciej. Postępowanie jako bezprzedmiotowe należało więc umorzyć.
Czytaj więcej
Dane zawarte w umowach przeniesienia numerów, dotyczącej innej osoby niż dłużnik, nie mogą być przetwarzane jako niezbędne w związku ze sprzedażą z...
Mężczyzna nie pogodził się z takim obrotem sprawy. W skardze do Wojewódzkiego Sądu Administracyjnego (WSA) w Warszawie żądał nie tylko wysokiego zadośćuczynienia od banku i UODO. Przede wszystkim wskazywał na naruszenie jego dóbr osobistych i zarzucał, że sprawa nie została wyjaśniona. Podkreślał m.in., że karta SIM z numerem telefonu weszła do ponownej sprzedaży, rejestracji i aktywacji, zatem dopiero po jakimś czasie od nieregulowania należności przez wskazywaną osobę i nieaktywności. Warszawski WSA uwzględnił jego skargę. Uznał, że prezes UODO przedwcześnie umorzył sprawę, bo nie wyjaśnił wszystkich okoliczności. Sądu nie przekonały zwłaszcza tłumaczenia, że feralny numer wcześniej należał do innej osoby i w systemie banku funkcjonował jako kontakt do jego klienta. WSA podkreślił jednak, że okoliczność ta nie zwalniała UODO z obowiązku dokonania pełnych i niebudzących wątpliwości ustaleń faktycznych dotyczących przetwarzania numeru od momentu, gdy bank po raz pierwszy otrzymał od skarżącego informację, że dane kontaktowe są nieaktualne.
Telefony z banku a naruszenie RODO
Zupełnie inaczej na sprawę spojrzał jednak NSA. Uchylił wyrok WSA, oddalił skargę nowego właściciela numeru, czym ostatecznie rację przyznał UODO. Na wstępie NSA wyraźnie zaznaczył, że oceniał sprawę za okres od rozpoczęcia przez pracowników banku kontaktów w sprawie zadłużenia innej osoby do momentu, gdy nowy właściciel numeru złożył reklamację. Uznał, że okoliczności ustalone w sprawie wystarczyły do umorzenia spornego postępowania. NSA zauważył, że dana w postaci numeru telefonu może przynależeć nie tylko do jednej osoby. Tak jest w spornym przypadku. I w opinii sądu numer, który obecnie jest własnością skarżącego, wcześniej należał do dłużnika, który zawarł z bankiem umowę i podał go jako kontaktowy. Bank mógł go więc wykorzystywać i przetwarzać zgodnie z przepisami RODO, do momentu, gdy zorientował się, że nie należy on już do dłużnika.
Czytaj więcej
Numer telefonu nie pozwala na prostą identyfikację konkretnej osoby i bez innych informacji nie stanowi danej osobowej.
Mówiąc prościej, NSA uznał, że bank może wykorzystywać numer telefonu dłużnika, by ustalić, dlaczego ten nie spłaca zobowiązań i co jest tego przyczyną. Bank dysponował numerem, który był aktualny w momencie zawierania umowy. I sąd przyznał, że pracownik banku, dzwoniąc pod wskazany numer, nie jest w stanie zdalnie zweryfikować, czy osoba odbierająca połączenie rzeczywiście nie jest dłużnikiem. Nie może przecież ustalić, czy ten, który odbiera telefon, mówi prawdę. Zwłaszcza że dłużnik może po prostu oszukiwać, żeby uniknąć kontaktu z bankiem. NSA cały czas podkreślał, że spór dotyczy sytuacji sprzed reklamacji i żądania dotyczącego innej osoby. UODO słusznie zaś uznał, że aktualny właściciel numeru telefonu może interweniować w kwestii swoich danych osobowych, ale nie może żądać zaprzestania przetwarzania danych osobowych innej osoby. Sąd nie kwestionował, że zaistniała sytuacja mogła być przyczyną różnych niedogodności dla nowego właściciela, m.in. ewentualnego stalkingu, a także naruszenia prawa do prywatności czy dóbr osobistych. Niemniej, jak podkreślił sędzia NSA Zbigniew Ślusarczyk, prezes UODO ani sądy administracyjne tymi kwestiami zajmować się nie mogą. Właściwe do ich rozpatrzenia są inne organy, m.in. prokuratura i sądy cywilne, a w przypadku żądania zmiany numeru – operator telekomunikacyjny. Wyrok jest prawomocny.
Sygnatura akt: III OSK 1646/24
Prof. Grzegorz Sibiga
adwokat, partner w kancelarii Traple, Konarski, Podrecki i Wspólnicy
Komentowany wyrok NSA jest ważny i może przełożyć się na praktykę. Z jednej strony jest korzystny dla administratorów, ponieważ w istocie ogranicza konieczność weryfikacji przez nich poprawności przetwarzanych danych osobowych. Jednak z drugiej zawęża prawo do sprostowania nieprawidłowych danych. Tymczasem z podstawowych zasad ochrony danych wynika zawsze potrzeba rozsądnych działań, mających na celu ustalenie poprawności danych, i to od pierwszego otrzymanego w tym zakresie żądania czy informacji. Administrator powinien być do tego przygotowany organizacyjnie. Mam również zastrzeżenia co do sposobu rozstrzygnięcia tej sprawy przez samego prezesa UODO, tj. umorzenia postępowania z powodu jego bezprzedmiotowości. Według mnie przedmiot tej sprawy istniał, ponieważ dochodziło do przetwarzania danych osobowych. Organ ten powinien zatem wydać merytoryczną decyzję administracyjną.
