III OSK 6041/21
Podsumowanie
Przejdź do pełnego tekstuNaczelny Sąd Administracyjny rozpoznał skargę kasacyjną Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie. WSA uchylił decyzję Prezesa UODO, która nałożyła upomnienie na X Sp. z o.o. za naruszenie przepisów RODO w związku z przetwarzaniem danych osobowych. Sprawa wywodziła się ze skargi P. C. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez X Sp. z o.o., w szczególności numeru telefonu, bez podstawy prawnej. Spółka nabyła bazę numerów telefonów od innego podmiotu, ale twierdziła, że sam numer telefonu nie jest danym osobowym, ponieważ nie pozwala na identyfikację konkretnej osoby. Prezes UODO wydał decyzję nakładającą upomnienie i zobowiązującą spółkę do usunięcia danych. WSA uznał, że organ błędnie zakwalifikował numer telefonu jako dane osobowe, ponieważ spółka nie dysponowała informacjami pozwalającymi na identyfikację właściciela numeru. NSA, rozpatrując skargę kasacyjną organu, szczegółowo zinterpretował definicję danych osobowych zawartą w art. 4 pkt 1 RODO. Sąd podkreślił, że aby informacja była uznana za dane osobowe, musi dotyczyć zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Kluczowe jest rozróżnienie między danymi zidentyfikowanymi a danymi, które mogą pośrednio prowadzić do identyfikacji. NSA stwierdził, że sam numer telefonu, bez dodatkowych informacji pozwalających na powiązanie go z konkretną osobą, nie jest danymi osobowymi. Sąd wskazał, że możliwość identyfikacji musi być oparta na rozsądnie prawdopodobnych sposobach i uzasadnionym prawdopodobieństwie wykorzystania ich do identyfikacji, uwzględniając dostępne środki i koszty. W analizowanej sprawie X Sp. z o.o. nie posiadała informacji pozwalających na przypisanie konkretnego numeru telefonu do wnioskodawcy, a sam kontakt telefoniczny nie gwarantował pozyskania danych identyfikujących. W związku z tym NSA uznał, że spółka nie przetwarzała danych osobowych wnioskodawcy i oddalił skargę kasacyjną organu.
Przeanalizuj tę sprawę w pełnym kontekście orzecznictwa.
Analiza orzecznictwa · odpowiedzi na pytania · badanie przepisów · drafting pism.
Wartość praktyczna
Siła precedensu: WysokaInterpretacja definicji danych osobowych w kontekście numerów telefonów i możliwości identyfikacji osób fizycznych w świetle RODO.
Orzeczenie dotyczy sytuacji, gdy podmiot posiada jedynie numer telefonu bez dodatkowych informacji identyfikujących. Sytuacja może być inna, gdy numer telefonu jest powiązany z innymi danymi lub gdy istnieją inne, łatwo dostępne środki identyfikacji.
Zagadnienia prawne (1)
Czy sam numer telefonu, nabyty przez podmiot od innego podmiotu, stanowi dane osobowe w rozumieniu RODO, jeśli podmiot nie posiada dodatkowych informacji pozwalających na identyfikację osoby fizycznej?Ratio decidendi
Odpowiedź sądu
Nie, sam numer telefonu nie stanowi danych osobowych, jeśli nie można go powiązać z konkretną osobą fizyczną przy użyciu rozsądnych środków i uzasadnionego prawdopodobieństwa.
Uzasadnienie
Sąd wyjaśnił, że dane osobowe to informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie. Pośrednia identyfikacja wymaga możliwości połączenia 'informacji zasadniczej' (tu: numer telefonu) z 'informacjami dodatkowymi' w sposób racjonalny i prawdopodobny. Sam numer telefonu, bez takich dodatkowych informacji, nie pozwala na identyfikację osoby fizycznej.
Przepisy (12)
Główne
RODO art. 4 § pkt 1
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679
Definicja danych osobowych, w tym pojęcia osoby możliwej do zidentyfikowania, wymaga możliwości powiązania informacji z konkretną osobą przy użyciu rozsądnych środków i uzasadnionego prawdopodobieństwa.
p.p.s.a. art. 183 § § 1
Ustawa z dnia 30 sierpnia 2002 r.
Zakres rozpoznania sprawy przez NSA.
p.p.s.a. art. 183 § § 2
Ustawa z dnia 30 sierpnia 2002 r.
Nieważność postępowania.
p.p.s.a. art. 189
Ustawa z dnia 30 sierpnia 2002 r.
Przesłanki rozważane z urzędu przez NSA.
p.p.s.a. art. 184
Ustawa z dnia 30 sierpnia 2002 r.
Podstawa oddalenia skargi kasacyjnej.
p.p.s.a. art. 204 § pkt 2
Ustawa z dnia 30 sierpnia 2002 r.
Podstawa rozstrzygnięcia o kosztach postępowania kasacyjnego.
p.p.s.a. art. 205 § § 2
Ustawa z dnia 30 sierpnia 2002 r.
Podstawa rozstrzygnięcia o kosztach postępowania kasacyjnego.
Pomocnicze
RODO art. 4 § pkt 5
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679
Odwołanie do definicji danych zanonimizowanych i pseudoanonimizowanych w kontekście możliwości identyfikacji.
Rozporządzenie delegowane Komisji (UE) 2016/1450 art. art. 4 pkt 1
K.p.a. art. 104 § § 1
Ustawa z dnia 14 czerwca 1960 r.
K.p.a. art. 15 § ust. 1 i 3
Ustawa z dnia 14 czerwca 1960 r.
K.p.a. art. 126
Ustawa z dnia 14 czerwca 1960 r.
Argumenty
Skuteczne argumenty
Sam numer telefonu, bez dodatkowych informacji pozwalających na identyfikację osoby fizycznej, nie stanowi danych osobowych w rozumieniu RODO.
Odrzucone argumenty
Argumentacja Prezesa UODO, że numer telefonu nabyty przez spółkę stanowił dane osobowe, które były przetwarzane bez podstawy prawnej.
Godne uwagi sformułowania
możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. • Aby stwierdzić, czy dana osoba fizyczna jest możliwa do zidentyfikowania, należy wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby (w tym wyodrębnienie wpisów dotyczących tej samej osoby), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej. • O możliwości identyfikacji konkretnej osoby fizycznej na gruncie art. 4 pkt 1 RODO w zw. z motywem 26 RODO można mówić wówczas, gdy do stworzenia zbioru informacji identyfikujących tę osobę, na który składają się 'informacja zasadnicza' i 'informacje dodatkowe' dochodzi niezależnie od tej osoby.
Skład orzekający
Jerzy Stelmasiak
przewodniczący
Maciej Kobak
sprawozdawca
Piotr Korzeniowski
członek
Informacje dodatkowe
Wartość precedensowa
Siła: Wysoka
Powoływalne dla: "Interpretacja definicji danych osobowych w kontekście numerów telefonów i możliwości identyfikacji osób fizycznych w świetle RODO."
Ograniczenia: Orzeczenie dotyczy sytuacji, gdy podmiot posiada jedynie numer telefonu bez dodatkowych informacji identyfikujących. Sytuacja może być inna, gdy numer telefonu jest powiązany z innymi danymi lub gdy istnieją inne, łatwo dostępne środki identyfikacji.
Wartość merytoryczna
Ocena: 7/10
Sprawa dotyczy powszechnego zagadnienia, jakim jest interpretacja danych osobowych w kontekście RODO, a konkretnie czy sam numer telefonu jest danymi osobowymi. Orzeczenie ma duże znaczenie praktyczne dla firm.
“Czy Twój numer telefonu to dane osobowe? NSA wyjaśnia, kiedy RODO ma zastosowanie.”
Twój asystent do analizy prawnej.
Zadaj pytanie prawne, zleć analizę orzecznictwa i przepisów, lub poproś o projekt pisma — AI przeszuka 1,4 mln orzeczeń i aktualne akty prawne.
- Analiza orzecznictwa i przepisów
- Drafting pism i dokumentów
- Odpowiedzi na pytania prawne
- Pogłębiona analiza z doktryny
Pełny tekst orzeczenia
Oryginalna treść postanowienia (niezmieniona). Otwiera się jako osobna strona.