- Numery rejestracyjne pojazdów to dane osobowe, takie jak IP komputerów czy numery PESEL - mówi dr Paweł Litwiński, adwokat w kancelarii Barta Litwiński.
dr Paweł Litwiński, adwokat w kancelarii Barta Litwiński fot. materiały prasowe / DGP
W piątek Naczelny Sąd Administracyjny w sprawie warszawskich parkomatów uznał, że numery rejestracyjne samochodów nie stanowią danych osobowych. Napisał pan w mediach społecznościowych, że głęboko nie zgadza się z tym orzeczeniem. Dlaczego?
Bo demoluje ono wypracowywane przez 20 lat rozumienie danych osobowych i drastycznie obniża poziom ich ochrony. Co więcej, jest nie tylko niezgodne z orzecznictwem Trybunału Sprawiedliwości Unii Europejskiej, ale także sądów w innych krajach, jak choćby w Niemczech, gdzie numery rejestracyjne pojazdów są jednoznacznie uznawane za dane osobowe. Mówimy tutaj o klasycznym identyfikatorze, który pozwala zidentyfikować właściciela samochodu. Oczywiście w sytuacji gdy właścicielem tym jest osoba fizyczna, a tak chyba jednak wciąż jest w przypadku większości zarejestrowanych w Polsce samochodów.
Sąd uznał, że numer pozwala jedynie na identyfikację pojazdu, a nie jego właściciela. Zwrócił uwagę, że samochody są użyczane, często należą do firmy czy też leasingodawcy. Nie wiadomo więc, kto nimi rzeczywiście jeździ.
To jednak nie ma żadnego znaczenia dla oceny, czy są to dane osobowe. Do momentu, w którym będzie w Polsce choć jeden samochód zarejestrowany na osobę fizyczną i przez nią użytkowany, będzie możliwość identyfikacji tej osoby po numerze rejestracyjnym. A więc w jej przypadku będziemy mówić o danych osobowych. Sąd zaś niejako odwraca tę argumentację i mówi, że skoro nie wszystkich da się zidentyfikować, to nigdy nie możemy mówić o danych osobowych. To w mej ocenie niedopuszczalne.
Posłużę się przykładem bazy danych zawierającej adresy e-mail. Jeszcze GIODO wielokrotnie uznawał ją za zbiór danych osobowych, choć nie wszystkie takie adresy pozwalają na identyfikację konkretnej osoby. W przypadku adresu typu np. „misiaczek1” nie jest to możliwe, ale w przypadku adresu zawierającego imię i nazwisko, już jak najbardziej. I to wystarcza by mówić o danych osobowych.
Kolejny argument sądu był taki, że miejscy urzędnicy nie sprawdzają na bieżąco w bazie CEPiK, do kogo należy dany samochód. Mogą to robić wyłącznie na potrzeby windykacji należności.
To również nie wpływa w żaden sposób na ocenę, czy mamy do czynienia z danymi osobowymi. Wystarczy choćby potencjalna możliwość sprawdzenia, do kogo należy auto o danym numerze. Sytuacja jest analogiczna jak z numerem PESEL. Większość ludzi nie jest w stanie sprawdzić do kogo konkretnie jest przypisany, ale już sama możliwość powiązania go z konkretną osobą przesądza o tym, że mowa jest o danych osobowych. A nikt chyba nie ma wątpliwości, że numery PESEL to dane osobowe.
Inny przykład – IP komputera. Tak jak w przypadku rejestracji auta identyfikuje on jedynie rzecz, bo komputer. Tak jak w przypadku samochodu, nie wiadomo, kto z niego w danej chwili korzystał. I wreszcie po samym numerze nie dojdziemy do konkretnej osoby, bez pomocy dostawcy internetu, który powie, do kogo dane IP jest przypisane. Idąc tokiem rozumowania NSA należałoby uznać, że numery IP nie mogą stanowić danych osobowych, tymczasem TSUE w swym orzecznictwie (ostatnio w sprawie C-582/14) konsekwentnie je za takie dane uznaje.
Jakie według pana mogą być konsekwencje wyroku NSA?
Katastrofalne. Idąc tokiem rozumowania NSA należałoby uznać, że IP czy nawet numery PESEL nie stanowią danych osobowych. To zaś oznaczałoby dramatyczne wręcz obniżenie standardu ochrony nie tylko samych danych, ale szerzej rozumianej prywatności.
Jedną z reakcji na wyrok była radość internautów, że nie trzeba już zamazywać tablic rejestracyjnych na zdjęciach źle parkujących samochodów.
Takie właśnie mogą być konsekwencje orzeczenia i to na obydwu wspomnianych przeze mnie płaszczyznach. Na gruncie przepisów o ochronie danych osobowych sytuacja jest jednoznaczna – skoro numer rejestracyjny nie stanowi danych osobowych, to nie ma czego chronić. Wyrok ten jednak zmniejsza też ochronę szerzej rozumianej prywatności, choćby w kontekście możliwości naruszenia dóbr osobistych. Skoro bowiem sąd uznaje, że numer rejestracyjny nie identyfikuje osoby kierującej, to nie da się dowieść, że jego publikacja mogła naruszyć czyjeś dobra osobiste.
Dlatego mam nadzieję, że głos w tej sprawie zabierze Urząd Ochrony Danych Osobowych. Podczas kontroli, np. funkcjonowania systemu poboru opłat parkingowych, mógłby wydać decyzję uznającą numery rejestracyjne aut za dane osobowe. Co więcej mógłby też doprowadzić do zadania stosownych pytań prejudycjalnych TSUE, co po wyroku NSA uważam za wręcz niezbędne.