II SA/Wa 1310/22

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Kwiecińska (spr.), Sędzia WSA Sławomir Antoniuk, Sędzia WSA Piotr Borowiecki, , Protokolant starszy specjalista Aleksandra Weiher, po rozpoznaniu na rozprawie w dniu 27 stycznia 2023 r. sprawy ze skargi E. Sp. z o.o. z siedzibą w Z. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Zdanie odrębne złożył Sędzia WSA Piotr Borowiecki

Sędziego WSA Piotra Borowieckiego

do wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie

z dnia 27 stycznia 2023 r., sygn. akt II SA/Wa 1310/22

Działając na podstawie art. 137 § 2 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (tekst jednolity Dz. U. z 2023 r., poz. 259 - dalej także: "P.p.s.a."), stwierdzam, iż nie podzielam stanowiska wyrażonego w wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 27 stycznia 2023 r., sygn. akt II SA/Wa 1310/22 z następujących przyczyn:

Należy zauważyć, że w rozpatrywanej sprawie zainicjowanej skargą spółki [...] sp. z o.o. z siedzibą w [...] ([...]) na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2022 r., nr [...], wydaną w przedmiocie przetwarzania danych osobowych zasadniczą dla rozstrzygnięcia przedmiotowej sprawy kwestią było rozważenie, czy Prezes UODO prawidłowo stwierdził, że numery telefonów komórkowych uczestnika postępowania (K. K.) stanowią dane osobowe. Skład orzekający słusznie uznał bowiem, że o ile okazałoby się, że ustalenia organu nadzorczego w tym zakresie są błędne, niedopuszczalna byłaby ocena przetwarzania przez skarżącą spółkę tej informacji pod względem zgodności z przepisami rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 ze zm.), dalej powoływanego jako "RODO".

Skład Wojewódzkiego Sądu Administracyjnego w Warszawie, wydając sporny wyrok z dnia 27 stycznia 2023 r., doszedł do przekonania, że w niniejszej sprawie zaszła podstawa do uznania, iż Prezes UODO prawidłowo stwierdził, że w stanie faktycznym ustalonym w toku postępiania numery telefonów komórkowych uczestnika postępowania stanowią dane osobowe.

Sąd uznał bowiem, że w świetle przywołanych przez organ nadzorczy przepisów RODO, w tym przede wszystkim art. 4 pkt 1 tego rozporządzenia, nie budzi wątpliwości, że zidentyfikowanie osoby fizycznej nie musi polegać na określeniu jej imienia i nazwiska, a wystarczające jest oznaczenie danej osoby w sposób umożliwiający wywieranie na nią określonego wpływu. Nie chodzi zatem, jak stwierdził skład orzekający, o możliwość odniesienia konkretnej informacji do konkretnej osoby, lecz o możliwość wskazania danej osoby, rozumianego jako faktyczne wyodrębnienie jej spośród innych osób. Sąd stwierdził, że taką możliwość daje numer telefonu osoby fizycznej, także wtedy gdy podmiot, który jest w jego posiadaniu, nie dysponuje innymi danymi identyfikującymi tę osobę lub rozsądnie prawdopodobnym do wykorzystania sposobem uzyskania takich danych.

W konsekwencji, skład orzekający Wojewódzkiego Sądu Administracyjnego w Warszawie uznał, że organ nadzorczy zasadnie przyjął, że skarżąca spółka przetwarzała dane osobowe uczestniczki postępowania bez podstawy prawnej, przez co naruszyła art. 6 ust. 1 RODO. Jednocześnie, Sąd stwierdził, że w analizowanej sprawie Prezes UODO trafnie uznał, iż uczestniczka postępowania była uprawniona do zgłoszenia sprzeciwu na podstawie art. 21 ust. 2 RODO.

W tej sytuacji, skład orzekający Sądu, wydając sporny wyrok z dnia 27 stycznia 2023 r., wskazał, że skoro skarżąca spółka przetwarzała dane osobowe uczestniczki postępowania pomimo wniesionego sprzeciwu oraz pomimo braku pierwotnej podstawy prawnej na przetwarzanie tych danych w celach marketingowych, to organ nadzorczy zasadnie przyjął, iż zachodziła podstawa do zastosowania wobec skarżącej spółki środka naprawczego w postaci upomnienia (art. 58 ust. 2 lit. b RODO).

W mojej ocenie, wydany wyrok Sądu jest nieprawidłowy, albowiem - wbrew stanowisku składu Wojewódzkiego Sądu Administracyjnego w Warszawie orzekającego w niniejszej sprawie - Prezes UODO dopuścił się istotnego naruszenia przepisów prawa materialnego, w tym w szczególności art. 4 pkt 1 RODO w związku z motywem 26 Preambuły RODO poprzez ich błędną wykładnię polegającą na bezzasadnym przyjęciu, że numer telefonu jest daną osobową umożliwiającą zidentyfikowanie osoby fizycznej w sytuacji, gdy numery telefonów w stanie faktycznym niniejszej sprawy nie są informacją o charakterze osobowym, czyli nie obejmują żadnych danych identyfikujących osobę fizyczną, a zatem nie pozwalają na ustalenie same w sobie tożsamości (personaliów) podmiotu nimi się posługującego.

Z tego względu, moim zdaniem, Sąd nie powinien oddalać skargi spółki [...] z siedzibą w [...], lecz uchylić zaskarżoną decyzję organu nadzorczego z dnia [...] maja 2022 r.

Należy zauważyć, że zgodnie z art. 4 pkt 1 RODO, dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie której dane dotyczą"). Jednocześnie prawodawca europejski wskazał w tym przepisie, że możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

Z kolei, motyw 26 Preambuły RODO stanowi, że "aby stwierdzić, czy dana osobo fizyczna jest możliwa do zidentyfikowania, należy wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby (w tym wyodrębnienie wpisów dotyczących tej samej osoby), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej. Aby stwierdzić, czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby, należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do jej zidentyfikowania, oraz uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny. Zasady ochrony danych nie powinny więc mieć zastosowania do informacji anonimowych, czyli informacji, które nie wiążą się ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną, ani do danych osobowych zanonimizowanych w taki sposób, że osób, których dane dotyczą, w ogóle nie można zidentyfikować lub już nie można zidentyfikować (...)".

W tej sytuacji, w mojej ocenie, należy przyjąć, że tylko i wyłącznie informacje, które bez nadzwyczajnego wysiłku oraz bez nieproporcjonalnie dużych nakładów dają się powiązać z określoną osobą, zwłaszcza przy wykorzystaniu łatwo osiągalnych źródeł powszechnie dostępnych, zasługują na zaliczenie ich do kategorii danych osobowych (takie stanowisko wyraził również Naczelny Sąd Administracyjny /w:/ wyrok z dnia 19 stycznia 2010 r., sygn. akt I OSK 491/09, wyrok z dnia 19 maja 2011 r., sygn. akt I OSK 1086/10, czy też wyrok z dnia 22 listopada 2016 r., sygn. akt I OSK 496/15; http://orzeczenia.nsa.gov.pl.).

Z kolei, moim zdaniem, nie zasługują na taką kwalifikację te informacje, których powiązanie z oznaczoną osobą nie jest łatwo osiągalne i wymaga nakładów nadzwyczajnych. Innymi słowy, informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań.

Warto zwrócić jednocześnie uwagę, że również Wojewódzki Sąd Administracyjny w Warszawie w wyroku z dnia 18 maja 2021 r., wydanym w sprawie sygn. akt II SA/Wa 1898/20, wyraźnie wskazał, że "sam numer telefonu nie pozwala na identyfikację konkretnej osoby. Może być wyłącznie podstawą dla podjęcia określonych czynności w celu identyfikacji posiadacza numeru - abonenta lub osoby, która faktycznie używa danego numeru. Skoro nabyty przez Spółkę od Spółki II zbiór danych (baza numerów telefonów) identyfikuje wyłącznie osoby zamieszkujące pewien teren (tak powołane przez Spółkę kryteria zasobu nabytej bazy – geograficzne), to sam numer telefonu nie jest wystarczający do identyfikacji konkretnej osoby, jako jednostki o przypisanych jej cechach indywidualnych. Nie sposób więc uznać, aby Spółka dysponowała danymi osobowymi Wnioskodawcy i je przetwarzała. Skoro zaś Spółka nie przetwarzała danych osobowych Wnioskodawcy, nie znajdą do niej zastosowania wymagania określone w RODO".

Ponadto, warto zauważyć, że również w świetle dotychczasowego stanowiska doktryny przyjmuje się, że sam numer telefonu w większości przypadków (tj. z wyjątkiem sytuacji, gdy administrator danych - dysponent informacji - będzie miał również inne informacje, które umożliwiają identyfikację osoby fizycznej) nie będzie stanowił danych osobowych. Możliwość identyfikowania osoby fizycznej - jak wskazuje się w doktrynie - należy odnosić do określenia tożsamości konkretnej osoby fizycznej na podstawie posiadanych lub ewentualnie możliwych do uzyskania informacji. Nie można natomiast odnosić tego pojęcia do podejmowania działań zmierzających dopiero do ustalenia (uzyskania) informacji, które mogą stanowić dane osobowe (identyfikować konkretną osobę fizyczną) (por. m.in. Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, pod red. dr. Pawła Litwińskiego, wyd. 1, Wydawnictwo C.H. Beck, Warszawa 2018, komentarz do art. 4 RODO).

W tej sytuacji, w mojej ocenie, nie można zgodzić się ze stanowiskiem zajętym zarówno przez Prezesa UODO w uzasadnieniu zaskarżonej decyzji z dnia [...] maja 2022 r., jak i w uzasadnieniu spornego wyroku Sądu z dnia 27 stycznia 2023 r., w którym uznając za dane osobowe sam numer telefonu, skład orzekający odniósł pojęcie możliwości zidentyfikowania do bezpośredniego kontaktu z osobą fizyczną (z wykorzystaniem numeru telefonu). Uzasadnienie tego stanowiska przez organ nadzorczy oraz Sąd budzi poważne wątpliwości, skoro we wskazanej decyzji stwierdza się, że choć dane w postaci numeru telefonu nie określają bezpośrednio tożsamości osób fizycznych, to umożliwiają one określenie tożsamości przez bezpośredni kontakt z tą osobą.

Tymczasem, warto podkreślić, że możliwość identyfikowania osoby fizycznej należy odnosić do określenia tożsamości konkretnej osoby fizycznej na podstawie posiadanych lub ewentualnie możliwych do uzyskania informacji. Nie można natomiast odnosić tego pojęcia do podejmowania działań zmierzających dopiero do ustalenia (uzyskania) informacji, które mogą stanowić dane osobowe (identyfikować konkretną osobę fizyczną).

W konsekwencji, podzielam stanowisko skarżącej spółki, iż połączenie nie może być uznane za metodę identyfikacji, albowiem czynność ta w żadnym razie nie spełnia kryteriów warunkujących identyfikację, a więc prawidłowości danych, skuteczności identyfikacji, a także łatwości i możliwości identyfikacji rozmówcy, które to przesłanki - w przypadku odmowy podania danych osobowych przez osobę, do której zadzwoniono - również pozostają niespełnione.

Jednocześnie, podkreślić należy, że metoda identyfikacji winna być powszechnie dostępna, gdy tymczasem zauważyć trzeba, że skarżąca spółka, jako zwykły podmiot obrotu gospodarczego, nie posiada żadnych szczególnych uprawnień do pozyskiwania danych o osobach z innych źródeł, niż wyłącznie od tych osób.

Nie ulega wątpliwości, że skarżąca spółka nie dysponowała środkami prawnymi, technicznymi bądź też organizacyjnymi, które umożliwiałyby jej dokonanie identyfikacji podmiotów, z którymi kontaktowali się jej przedstawiciele. Skarżąca spółka nie była również w stanie przypisać danego numeru telefonu do konkretnej osoby fizycznej. Numer telefonu bez pozostałych danych nie pozwalał więc skarżącej spółce na ustalenie danych osobowych.

W tej sytuacji, należy zgodzić się ze stroną skarżącą, że jedynym sposobem identyfikacji podmiotu danych, który nie pozostawia wątpliwości co do prawidłowego przyporządkowania numeru telefonu do danych osobowych abonenta, jest dostęp do listy abonentów prowadzonej przez operatorów telefonicznych. Tymczasem, skarżąca spółka nie posiadała i nie posiada dostępu do takiej bazy danych osobowych, a udzielenie informacji przez operatorów jest ściśle reglamentowane przepisami prawa, przy czym - co warto podkreślić - skarżąca spółka nie spełnia przesłanek uzyskania takich informacji od operatorów.

W tej sytuacji, skoro brak jest skuteczności i dostępności metody identyfikacyjnej skutkującej prawidłowym ustaleniem tożsamości, to nie sposób mówić o numerze telefonu jako danej osobowej, a więc numery telefonów należące do uczestniczki postępowania – K. K. nie stanowiły danych osobowych, gdyż skarżąca spółka nie dysponowała żadną metodą identyfikacji tej osoby dysponując wyłącznie jej numerami telefonów wytypowanymi w oparciu o kryterium geograficzne.

W mojej ocenie, zauważyć należy ponadto, że o ile prawodawca europejski w przywołanej przez Sąd dyrektywie 2002/58/WE posługuje się pojęciem danych osobowych, to nie sposób przyjąć jednocześnie - jak sugeruje skład orzekający - że ewidentnie uznaje za dane osobowe sam numer telefonu.

Jednocześnie, nie sposób zgodzić się z Sądem w zakresie, w którym przywołał komunikatory społecznościowe, jako potencjalny sposób identyfikacji osób. Otóż, w mojej ocenie, Sąd nie uwzględnił w swych rozważaniach nie tylko tego, że po samym numerze nie ma możliwości uzyskania danych użytkownika danego konta używanego na komunikatorze, ale również nie wziął pod uwagę tego, że częstą praktyką przy korzystaniu z komunikatorów jest wskazywanie przez użytkowników fikcyjnych lub też fantazyjnych danych lub innych nazw dowolnie przybranych, które nie niosą ze sobą waloru informacyjnego pozwalającego na jakąkolwiek identyfikację.

W konsekwencji, należy stwierdzić, że w mniejszej sprawie numery telefonów uczestniczki postępowania, jako jedyna dana (wytypowana w oparciu o kryterium geograficzne), będąca w posiadaniu skarżącej spółki, nie pozwalała na jej identyfikację i nie stanowiła danych osobowych uczestniczki postępowania.

W związku z tym, skarżąca spółka nie była obowiązana do stosowania RODO przy dokonywanych operacjach na danych nieosobowych będących danymi uczestniczki postępowania.

Mając powyższe na względzie, uznać należy, że skarżąca spółka w żadnym razie nie była obowiązana do realizacji jakichkolwiek obowiązków wynikających z RODO i nie mogła być jednocześnie zobligowana do ustalenia dodatkowych danych celem zastosowania tego rozporządzenia.

Z tych wszystkich względów, moim zdaniem, skład orzekający Sądu - zamiast orzec o oddaleniu skargi w sprawie sygn. akt II SA/Wa 1310/22 - winien uznać, że wydając sporną decyzję administracyjną, Prezes UODO dopuścił się mającego istotny wpływ na wynik sprawy naruszenia art. 4 pkt 1 RODO w związku z motywem 26 Preambuły RODO i w konsekwencji niewłaściwego zastosowania art. 58 ust. 2 lit. b RODO, który przyznaje organowi nadzorczemu uprawnienie do udzielenia upomnień wyłącznie w odniesieni do administratora lub podmiotu przetwarzającego w przypadku naruszenia przepisów RODO przez operację przetwarzania, co w niniejszej sprawie nie miało miejsca.

W tej sytuacji, uważam, że Wojewódzki Sąd Administracyjny w Warszawie - działając na podstawie art.145 § 1 pkt 1 lit. a P.p.s.a. - zobowiązany był uchylić zaskarżoną decyzję Prezesa UODO z dnia [...] maja 2022 r.

Piotr Borowiecki

Sędzia WSA w Warszawie