Aby zadzwonić z ofertą trzeba mieć zgodę posiadacza telefonu nawet, jeśli marketer nie zna jego innych danych. Numer telefonu jest bowiem daną osobową. Tak wskazują orzeczenia sądów administracyjnych, chociaż nie wszystkie. Sądy różnią się w ocenie tej sytuacji. Tymczasem wiele firm ciągle handluje pakietami numerów telefonów uznając, że nie są to dane osobowe.
Spółka, pozyskując numery telefonów komórkowych uczestniczki postępowania, przechowując je i wykorzystując następnie do nawiązania połączenia telefonicznego, przetwarzała jej dane osobowe – czytamy w uzasadnieniu do Wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie II SA/Wa 2219/22 z 23 marca 2023 r.
W innych orzeczeniach można jednak znaleźć argumenty za tym, że sam numer telefonu, jeśli nie są znane inne dane (np. imię i nazwisko, adres) nie jest daną osobową.
Jak zidentyfikować osobę fizyczną
Skąd takie różnice w opiniach? RODO nie przesądza wprost, czy numer telefonu to dana osobowa. Aby się tego dowiedzieć trzeba zinterpretować definicję danych osobowych zawartą w tym rozporządzeniu. Zgodnie z art. 3 pkt 1) RODO dane osobowe” oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. W kolejnym zdaniu tej definicji wskazuje się, że możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować. Jako przykładowe podstawy takiej identyfikacji RODO podaje m.in. imię i nazwisko, numer identyfikacyjny, dane o lokalizacji.
Sądy i organy oceniając, czy numer telefonu to dana osobowa spierają się głównie o to, czy numer telefonu umożliwia identyfikację, czy też nie. Prezes Urzędu Ochrony Danych Osobowych w wielu decyzjach podkreśla, że pozwala on bardzo łatwo ustalić inne dane osoby.
Choć numer telefonu nie określa bezpośrednio tożsamości osoby fizycznej, to jest on informacją, która umożliwia bezpośredni kontakt z określoną osobą, a samo ustalenie tożsamości nie wymaga poniesienia nadmiernych kosztów, czasu lub działań. Sama zatem możliwość skontaktowania się z tą osobą może prowadzić do ustalenia jej tożsamości, a więc numer telefonu stanowi dane osobowe w rozumieniu przepisów rozporządzenia 2016/679
– wskazuje PUODO m.in. na stronie internetowej urzędu.
Nie wystarczy zadzwonić
Jego stanowisko często jest torpedowane przez sądy administracyjne. Sęk w tym, że RODO w definicji danych osobowych wskazuje, że mogą to być dane, które umożliwiają zarówno bezpośrednią, jak i pośrednią identyfikację osoby fizycznej. I o tę pośrednią identyfikację toczy się bój. Jak ją rozumieć? Czy jeśli można zadzwonić i spytać o imię i nazwisko to jest pośrednia identyfikacja?
W niektórych orzeczeniach sądy odpowiadają na to pytanie zdecydowanie negatywnie.
Nie można zgodzić się z organem, że w sytuacji, gdy celem wykonywania połączeń telefonicznych przez konsultantów w ramach prowadzonej akcji marketingowej było pozyskanie danych osobowych osób, do których wykonywane były te połączenia telefoniczne w zakresie ich imion i nazwiska oraz miejsca zamieszkania, a tym samym istniała możliwość identyfikacji tych osób, to numer telefonu należy uznać za dane osobowe
– czytamy w uzasadnieniu do wyroku WSA w Warszawie z 25.11.2022 r. (sygn. akt II SA/Wa 710/22).
W sprawie, której dotyczy to orzeczenie, telemarketer nie uzyskał od osoby, do której zadzwonił innych danych (ta nie chciała ich podać), co sąd uznał za dodatkowy argument za tym, że sam numer telefonu nie jest daną osobową, ponieważ nie pozwala na identyfikację.
Możliwość identyfikowania osoby fizycznej należy bowiem odnosić do określenia tożsamości konkretnej osoby fizycznej na podstawie posiadanych lub ewentualnie możliwych do uzyskania informacji. Nie można natomiast odnosić tego pojęcia do podejmowania działań zmierzających dopiero do ustalenia (uzyskania) informacji, które mogą stanowić dane osobowe (identyfikować konkretną osobę fizyczną).
– czytamy w uzasadnieniu do tego orzeczenia.
W innym wyroku, także WSA w Warszawie (wyrok z 25 listopada 2022 r., sygnatura II SA/Wa 710/22) podkreślił, że numer telefonu może stanowić dane osobowe w sytuacji, gdy dysponent tego numeru jest w posiadaniu także innych informacji, które umożliwiają identyfikację osoby fizycznej, takich jak np. imię i nazwisko, adres zamieszkania, nr PESEL.
Wywieranie wpływu
Nie jest to jednak jednolite stanowisko. W przywołanym na początku artykułu wyroku z 22 marca 2023 r. warszawski WSA podkreślił, że numer telefonu umożliwia zidentyfikowanie osoby „poprzez nawiązanie z nią kontaktu w określonym celu i wywieranie na nią określonego wpływu”.
Powołał się przy tym na opinię unijnej Grupy Roboczej ds. danych osobowych z 20 czerwca 2007 r. nr 4/2007, zgodnie z którą: „zidentyfikowanie osoby fizycznej nie musi polegać na określeniu jej imienia i nazwiska, a wystarczające jest oznaczenie danej osoby w sposób umożliwiający wywieranie na nią określonego wpływu”.
Taką możliwość daje numer telefonu osoby fizycznej także wtedy, gdy podmiot, który jest w jego posiadaniu, nie dysponuje innymi danymi identyfikującymi tę osobę lub rozsądnie prawdopodobnym do wykorzystania sposobem uzyskania takich danych.
– stanowczo wskazał sąd w orzeczeniu II SA/Wa 710/22.
Kto ma zdjęcie na WhatsApp
Podkreślił, że są mu znane uzasadnienia orzeczeń prezentujących inne opinie. Jednak ich nie podziela. Numer telefonu, przy dzisiejszych technologiach, daje bowiem często dostęp do szeregu informacji, np. do zdjęcia w aplikacji WhatsApp.
Biorąc pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do zidentyfikowania, oraz uwzględniając dostępną technologię i postęp technologiczny, należy stwierdzić, że Spółka, której oddział w Polsce profesjonalnie zajmował się działalnością centrów telefonicznych (call center), przetwarzaniem danych, a także zarządzaniem stronami internetowymi dysponowała sposobami pozwalającymi na uzyskanie dodatkowych danych identyfikujących uczestnika postępowania, które mogła z uzasadnionym prawdopodobieństwem wykorzystać.
– podsumował sąd
Póki co nie mamy jednolitej linii orzeczniczej, dlatego też każda tego typu sprawa może zakończyć się odmiennym rozstrzygnięciem. Ma to duże znaczenie praktyczne. Na rynku istnieje bowiem wiele firm, które sprzedają pakiety danych, np. właśnie samych numerów telefonów uznając, że nie są to dane osobowe. Jeśli jednak ich interpretacja nie jest właściwa to takie działanie może być uznane za niezgodne z prawem. Do udostępniania danych osobowych pomiędzy firmami potrzebna jest bowiem podstawa prawna i uzasadnienie, nie można nimi swobodnie handlować.
