Czy numer telefonu to dane osobowe? Wyjaśniamy kwestie prawne

Numer telefonu może być uznany za daną osobową, jednak jego ostateczna kwalifikacja zależy od kontekstu przetwarzania i dostępu do dodatkowych informacji przez dany podmiot. Orzecznictwo sądów administracyjnych i stanowisko Prezesa UODO pokazują, że nie jest to kwestia oczywista – sam ciąg cyfr nie zawsze podlega pod restrykcyjny reżim RODO. Prześledźmy najważniejsze wyroki i praktyczne konsekwencje tej niejednoznaczności.

Jak RODO definiuje dane osobowe?

Rozporządzenie o Ochronie Danych Osobowych w art. 4 pkt 1 wskazuje, że są to wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Podstawą identyfikacji może być identyfikator taki jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji czy identyfikator internetowy. Definicja celowo pozostaje szeroka – obejmuje również zestaw kilku szczególnych czynników określających tożsamość fizyczną, ekonomiczną lub społeczną.

Właśnie ta pojemność znaczeniowa sprawia, że wiele informacji trafia w obszar danych osobowych dopiero po uwzględnieniu okoliczności ich wykorzystania. Bezpośrednie wskazanie konkretnej osoby nie jest warunkiem bezwzględnym – wystarczy sama możliwość pośredniego ustalenia tożsamości przy racjonalnym nakładzie środków.

Jakie stanowisko wobec numeru telefonu zajmuje Prezes UODO?

Urząd Ochrony Danych Osobowych konsekwentnie podkreśla, że choć numer telefonu nie określa bezpośrednio tożsamości, to umożliwia bezpośredni kontakt z konkretną osobą fizyczną. Sam fakt nawiązania połączenia często wystarcza do ustalenia, kim jest abonent, bez konieczności ponoszenia nadmiernych kosztów lub czasochłonnych działań. W dokumencie „Przegląd stanowisk UODO i orzecznictwa krajowego w zakresie pojęcia danych osobowych” z marca ubiegłego roku organ wprost stwierdza, że numer telefonu stanowi daną osobową w rozumieniu RODO.

W prowadzonych postępowaniach PUODO wskazuje, że administrator nie może zasłaniać się brakiem innych informacji o abonencie. Już przekazanie numeru do systemu telemarketingowego traktowane jest jako operacja na danych osobowych. Organ nakładał na firmy obowiązek usuwania numerów pozyskanych bez podstawy prawnej, nawet gdy spółka utrzymywała, że dysponuje wyłącznie ciągiem cyfr. Decyzje te opierają się na poglądzie, iż samodzielny numer tworzy wystarczający pomost do identyfikacji użytkownika końcowego.

Takie podejście ma solidne oparcie w opinii Grupy Roboczej Art. 29 z 2007 roku. Grupa już kilkanaście lat temu uznawała, że celem wykorzystania informacji jest identyfikacja osoby fizycznej, to należy ją traktować jako daną osobową – nawet gdy brakuje imienia czy nazwiska. Stanowisko to wciąż przywołuje się w analizach dotyczących dzisiejszego obrotu danymi kontaktowymi.

Co orzekły sądy administracyjne?

Linia orzecznicza polskich sądów nie jest jednolita, a największe kontrowersje wzbudza wyrok Naczelnego Sądu Administracyjnego z 25 listopada 2022 roku (sygn. II SA/Wa 710/22). NSA uznał, że sam numer telefonu nie musi być daną osobową, ponieważ do identyfikacji potrzebne są dodatkowe informacje – imię, adres czy numer PESEL. W tym konkretnym stanie faktycznym podmiot wykonujący połączenia marketingowe nie posiadał żadnych danych łączonych z numerem, więc nie mógł zidentyfikować rozmówcy przed jego samoidentyfikacją.

Sąd podkreślił, że zgromadzenie danych nie może nastąpić dopiero w wyniku odebrania połączenia przez abonenta. Jeśli spółka otrzymała wyłącznie bazę gołych cyfr, to do momentu ewentualnego podania przez rozmówcę imienia i nazwiska nie dysponuje daną osobową. W ocenie NSA kwalifikacja numeru telefonu jako informacji chronionej RODO nie może zależeć od późniejszego, hipotetycznego zachowania osoby odbierającej telefon.

Podobnie wypowiedział się Wojewódzki Sąd Administracyjny w Warszawie w wyroku z 25 listopada 2022 roku. Sąd stwierdził, że organ nadzorczy musi każdorazowo wykazać w decyzji, iż w danych okolicznościach numer stanowi daną osobową. Automatyczne kwalifikowanie go bez analizy kontekstu zostało uznane za uchybienie. Równie istotne okazało się orzeczenie WSA we Wrocławiu z 27 marca 2024 roku (II SA/Wa 1378/23), które dotyczyło byłej pracownicy. Tam numer telefonu został opublikowany na stronie internetowej wraz z imieniem i nazwiskiem, co w ocenie sądu ewidentnie tworzyło zestaw danych osobowych. Problemem był brak możliwości technicznych usunięcia tych treści przez administratora – sąd uznał, że kłopoty z dostępem do panelu administracyjnego nie zwalniają z odpowiedzialności.

Jakie znaczenie ma wyrok TSUE z 2025 roku?

Na szerszym tle zarysował się również wyrok Trybunału Sprawiedliwości Unii Europejskiej w sprawie C-413/23, w którym uznano, że dane spseudonimizowane przekazane odbiorcy niezdolnemu do odwrócenia pseudonimizacji nie są danymi osobowymi. To orzeczenie umacnia podejście kontekstowe – ten sam zestaw znaków u jednego podmiotu może podlegać RODO, a u innego pozostawać poza zakresem rozporządzenia. Wpływa ono pośrednio również na dyskusję o numerach telefonu, pokazując, że kluczowe jest realne pole możliwości identyfikacji, a nie abstrakcyjny potencjał.

W jakich sytuacjach numer telefonu staje się daną osobową?

Bez wątpienia powiązanie numeru z nazwiskiem, adresem e-mail czy identyfikatorem urządzenia zawsze prowadzi do powstania danych osobowych. Również kontekst, w którym numer służy jako identyfikator w systemie – na przykład login do konta klienta – przesądza o jego charakterze chronionym. Nawet gdy firma pozyskuje jedynie ciąg cyfr, ale jednocześnie nagrywa rozmowy telefoniczne, każda wypowiedź rozmówcy podająca swoje dane zamienia posiadany zestaw w pełnoprawny zbiór danych osobowych.

W obszarze marketingu bezpośredniego dodatkową warstwę regulacji nakłada art. 172 Prawa telekomunikacyjnego. Przepis ten zakazuje używania automatycznych systemów wywołujących do kontaktu marketingowego bez uprzedniej zgody abonenta lub użytkownika końcowego. Oznacza to, że nawet jeżeli numer nie zostanie uznany za daną osobową w świetle RODO, to i tak istnieje obowiązek uzyskania pozwolenia na jego wykorzystanie w celach handlowych. Co więcej, marketing nie może odbywać się na koszt konsumenta.

Praktyka call center i infolinii bankowych od lat uwzględnia obie te regulacje – przed połączeniem odtwarzana jest klauzula informacyjna, a zgoda na kontakt handlowy odbierana jest w odrębnym trybie. Dzieje się tak właśnie dlatego, że większość dużych podmiotów przyjmuje ostrożnościowe podejście i traktuje numer telefonu jako daną osobową już od momentu jego wpisania do systemu.

Czy numer na stronie internetowej to dane osobowe?

Gdy przedsiębiorca publikuje na firmowej witrynie numer telefonu swojej menedżerki, a ta później wycofuje zgodę, powstaje sytuacja analogiczna do sprawy rozpatrywanej przez WSA we Wrocławiu. Sąd jasno wskazał, że informacja o numerze telefonu stanowi daną osobową, jeśli podmiot ma możliwość powiązania go z konkretną osobą. Nawet gdy właściciel firmy utracił dostęp do panelu administracyjnego strony, nadal pozostawał administratorem i odpowiadał za skuteczne usunięcie danych. Problemy techniczne nie mogą wyłączać odpowiedzialności, ponieważ to administrator decyduje o wyborze rozwiązań informatycznych i musi zapewnić sobie kontrolę nad publikowanymi treściami.

Decydując się na wykorzystanie określonych rozwiązań technicznych do przetwarzania danych, administrator musi zapewnić sobie możliwość realizacji praw podmiotów danych – podkreślił sąd w uzasadnieniu.

Jak administrator powinien dokumentować przetwarzanie numeru?

Niezależnie od kierunku, w którym ostatecznie ukształtuje się orzecznictwo, każdy podmiot decydujący się na pozyskiwanie numerów telefonu powinien przeprowadzić analizę ryzyka i opisać jej wyniki w wewnętrznej dokumentacji. Rejestr czynności przetwarzania może odnotowywać proces wykorzystania numerów jako przetwarzanie danych osobowych, nawet jeśli w sądzie udałoby się obronić tezę przeciwną. Brak takiej analizy bywa odbierany przez PUODO jako przejaw niedbalstwa i skutkuje surowszymi sankcjami.

Wewnętrzny audyt warto rozszerzyć o następujące punkty:

• inwentaryzację wszystkich miejsc, gdzie pojawia się numer telefonu – od formularzy kontaktowych po bazy marketingowe,
• przegląd zgód na publikację numerów pracowników oraz współpracowników,
• weryfikację umów z podmiotami przetwarzającymi, takimi jak firmy telemarketingowe,
• zabezpieczenie alternatywnych sposobów modyfikacji treści na stronach internetowych,
• wdrożenie procedury szybkiego reagowania na żądania usunięcia numerów.

W sytuacjach wątpliwych – gdy numer pozyskuje się bez powiązania z imieniem i nie planuje się dalszego kontaktu – część ekspertów radzi stosować podejście ostrożnościowe i traktować cyfry jak daną osobową. Takie działanie minimalizuje ryzyko sporów z organem, buduje też spójną kulturę ochrony prywatności wewnątrz organizacji. Równolegle należy pamiętać o obowiązkach wynikających z Prawa telekomunikacyjnego, które dla działań marketingowych wymaga odrębnych, uprzednich zgód – w tym wypadku numer staje się chroniony nie jako dana osobowa, ale jako identyfikator użytkownika końcowego.

Jak bronić się przed niechcianymi połączeniami?

Dla konsumentów uciążliwość losowych telefonów sprzedażowych pozostaje poważnym problemem, jednak ścieżka skargi do UODO nie zawsze okazuje się skuteczna. Po wyrokach NSA osoby nękane przez telemarketerów często słyszą, że dochodzenie roszczeń na podstawie RODO wymaga uprawdopodobnienia, iż dzwoniący dysponuje również innymi danymi identyfikacyjnymi. W przeciwnym razie organ może odmówić interwencji, uznając, że czysty numer nie stanowił danej osobowej w rękach konkretnej firmy.

Specjaliści z zakresu prawa nowych technologii rekomendują w takich wypadkach kontakt z Urzędem Komunikacji Elektronicznej. To UKE ma instrumenty do egzekwowania przepisów Prawa telekomunikacyjnego – przede wszystkim zakazu marketingu bez zgody użytkownika końcowego. Niestety skuteczność tego organu bywa krytykowana, a wiele spraw ciągnie się miesiącami. Rozbieżność orzecznicza między PUODO a NSA sprawia, że część prawników postuluje wyraźne przesądzenie statusu numeru telefonu w nowelizacji przepisów, by uniknąć niepewności interpretacyjnej.

Subiektywizacja pojęcia danych osobowych sprawia, że to, co dla jednego podmiotu jest informacją chronioną, dla innego pozostaje tylko ciągiem cyfr – tę nową tendencję widać zarówno w orzecznictwie TSUE, jak i w projektowanych zmianach RODO w ramach Digital Omnibus.