Subskrybuj nas na Youtube
Numer dowodu osobistego, PESEL czy adres IP nie muszą być danymi osobowymi. Takie wnioski można wyciągnąć z wyroku w sprawie warszawskich parkomatów.
/>
Informacja o zamiarze poszerzenia strefy płatnego parkowania w Warszawie zbiegła się w czasie z opublikowaniem długo wyczekiwanego uzasadnienia wyroku Naczelnego Sądu Administracyjnego w sprawie legalności parkomatów, które wymagają wpisywania numerów rejestracyjnych aut. Sąd uznał w nim, że nie można mówić o naruszeniu przepisów o ochronie danych osobowych, gdyż numery rejestracyjne, przynajmniej w tej sprawie, w ogóle nie są danymi osobowymi.
Przypomnijmy – skargę złożył mieszkaniec Warszawy, który uznał, że parkomaty wymagające przed opłaceniem podania numeru naruszają jego prywatność. Mając te dane, służby miejskie mogą prześledzić trasę auta i sprawdzić, gdzie i kiedy parkował. W ramach protestu mężczyzna wpisywał do urządzeń same litery X oraz cyfry 1 i taki kwitek zostawiał za szybą. Gdy został ukarany, zaskarżył uchwałę Rady Miasta Stołecznego Warszawy. Wojewódzki Sąd Administracyjny w Warszawie uznał, że rzeczywiście naruszała ona przepisy o ochronie danych osobowych (wyrok z 12 kwietnia 2017 r., sygn. akt VII SA/Wa 1069/16).
Nadmierny wysiłek
NSA uchylił ten wyrok, powołując się na art. 6 ust. 1 uchylonej już ustawy o ochronie danych osobowych. Zgodnie z tym przepisem za dane osobowe można uznać tylko te informacje, które pozwalają na ustalenie tożsamości osoby „bez nadmiernego wysiłku i kosztów”. NSA przyznał, że w orzecznictwie pojawiły się dwa poglądy. Zgodnie z pierwszym numery rejestracyjne nie pozwalają na identyfikację osoby (choćby dlatego, że z pojazdu mogą korzystać różni użytkownicy), zgodnie z drugim już tak.
„NSA w składzie orzekającym podziela pierwszy z poglądów, że brak możliwości powiązania numerów rejestracyjnych pojazdów, bez nadmiernego wysiłku i kosztów, z osobami fizycznymi, które dają się zidentyfikować, sprawia, że numer rejestracyjny pojazdu nie ma statusu danych osobowych” – napisano w uzasadnieniu wyroku z 28 czerwca 2019 r. (sygn. akt I OSK 2063/17).
Jednym z powodów takiej, a nie innej oceny było to, że Zarząd Dróg Miejskich w Warszawie nie ma stałego dostępu do Centralnej Ewidencji Pojazdów, a więc nie może w sposób dowolny sprawdzić, kto jest właścicielem danego samochodu. Robi to wyłącznie jako organ egzekucyjny, w przypadku gdy ktoś nie opłaci parkowania i dochodzi do windykacji. Dodatkowo samochodami mogą jeździć inne osoby.
„Zauważyć należy, że numer rejestracyjny, ponieważ jest umieszczony na samochodzie, za zgodą właściciela pojazdu, sam w sobie jest ogólnie dostępny dla bliżej nieokreślonej liczby osób. Jednak nie oznacza to, że można go w sposób prosty powiązać z konkretną osobą. Wskazać bowiem należy, że często z tego samego pojazdu korzystają różne osoby. Powyższe niezbicie wskazuje, że nie jest możliwe, w sposób prosty i łatwy, powiązanie numeru rejestracyjnego pojazdu z konkretną osobą – właściciela (lub posiadacza) pojazdu” – podkreślono w uzasadnieniu.
Wyrok aktualny
Po publikacji uzasadnienia tego wyroku nasuwa się pytanie o jego aktualność pod rządami RODO. Choć bowiem wydano go już pod rządami unijnego rozporządzenia, to w oparciu o uchyloną już ustawę o ochronie danych osobowych, co zresztą podkreślono w uzasadnieniu. Nowa polska ustawa nie zawiera zaś definicji danych osobowych, gdyż wynika ona wprost z RODO. Jego art. 4 pkt 1 uznaje za dane osobowe wszystkie informacje „o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej”. Motyw 26 RODO wspomina jednak o „rozsądnie prawdopodobnych sposobach” i uwzględnieniu „obiektywnych czynników takich jak koszt i czas potrzebne do zidentyfikowania”.
– Uważam, że wyrok jest w pełni aktualny ze względu na ten motyw. Choć nie jest on tak bezpośrednio sformułowany, jak wcześniej polska ustawa, to jednak zmierza do tego samego – ustalenia kryteriów identyfikowalności danej osoby. Moim zdaniem każdy przypadek należy oceniać indywidualnie. Dla jednego podmiotu sam numer rejestracyjny może być daną osobową, ale dla innego, takiego choćby jak warszawski ZDM, już nie – ocenia dr Arwid Mednis z kancelarii Kobylańska Lewoszewski Mednis, który reprezentował Radę Miasta st. Warszawy przed NSA.
Doktor Paweł Litwiński, adwokat w kancelarii Barta Litwiński, zgadza się z tym, że RODO nic nie zmieniło w ocenie, czym są dane osobowe.
– Tak naprawdę regulacja jest taka sama – informacja nie ma charakteru danych osobowych, jeżeli identyfikacja jest możliwa, ale wymagałaby niewspółmiernie dużego wysiłku. Problem tylko w tym, jak tę przesłankę należy rozumieć – zauważa prawnik.
Dwa podejścia
Sednem problemu są dwa podejścia do oceny tego, czym są dane. To, które wynika z wyroku NSA, określane jest jako subiektywne. Zgodnie z nim te same informacje dla jednych mogą stanowić dane osobowe, a dla innych, którzy nie dysponują środkami do powiązania ich z konkretną osobą, już nie. Podejście obiektywne oznacza rozszerzającą interpretację pojęcia danych osobowych, w którym wystarcza już nawet teoretyczna możliwość identyfikacji osoby. Ten drugi sposób rozumienia danych można odnaleźć w wyroku Trybunału Sprawiedliwości Unii Europejskiej w sprawie C-582/14. Uznano w nim, że adres IP to dane osobowe, nawet jeśli administrator nie jest w stanie bezpośrednio połączyć go z konkretną osobą, ale dysponuje środkami prawnymi, które pozwalałyby na identyfikację.
– W odniesieniu do numerów rejestracyjnych identyfikacja nie jest niewykonalna. Nie jest też zakazana prawem – przeciwnie, istnieje procedura umożliwiająca identyfikację, a w sprawie, w której zapadł wyrok, ta procedura jest znacznie łatwiejsza, bo zainteresowany ma dostęp do bazy CEP. Co prawda dostęp ten jest teoretycznie ograniczony do pewnych sytuacji, ale nikt nie weryfikuje, kiedy i po co taki dostęp ma miejsce – podkreśla Paweł Litwiński.
Nie przekonuje go również argument, że samochodem mogą jeździć inni kierowcy niż tylko jego właściciel.
– Część pojazdów jest wykorzystywana wyłącznie przez właścicieli. Są też sytuacje, w których konkretnego kierowcę, prowadzącego samochód w konkretnym dniu, można zidentyfikować np. na podstawie nagrań z monitoringu miejskiego, do których przecież miasto ma łatwy dostęp. Numer rejestracyjny może więc mieć charakter danych osobowych, a że nie można z góry ustalić, kiedy tak będzie, wszystkie numery trzeba traktować w tym przypadku jak dane osobowe – mówi prawnik.
Podobnie uważa Adam Szkurłat, adwokat z kancelarii Lubasz i Wspólnicy.
– Błędne jest założenie, że skoro dostęp do danych w ewidencji pojazdów nie jest powszechny, to działania dla zidentyfikowania osoby mają charakter nadzwyczajny. Takie zapatrywanie sądu prowadziłoby do konkluzji, że także inne identyfikatory liczbowe, jak PESEL, adres IP, numer dowodu osobistego nie mieszczą się w pojęciu danych osobowych, co jest sprzeczne ze stanowiskiem TSUE – zauważa. – Informacji nie należy uważać za dane osobowe „jeżeli, biorąc pod uwagę wszystkie sposoby, jakimi może posłużyć się administrator danych lub inna osoba, prawdopodobieństwo zidentyfikowania osoby nie istnieje lub jest nieznaczne”. W stanie faktycznym rozstrzygnięcia NSA administrator dysponował danymi i narzędziami, które dają nie tyle prawdopodobieństwo, ale wręcz pewność w identyfikacji osoby – dodaje mec. Szkurłat.
Internet to nie real?
Argumentacja NSA prowadzić może do wniosku, że adresy IP także nie muszą być uznawane za dane osobowe. Stałoby to w sprzeczności z przywołanym wyrokiem TSUE.
– Moim zdaniem należy go jednak odnosić wyłącznie do internetu. Rozumiem, że dane w internecie wymagają szczególnego podejścia ze względu na dużo łatwiejszą identyfikację użytkowników. Nie rozciągałbym jednak już tego na informacje takie, jak numer rejestracyjny funkcjonujący w realu – zauważa dr Arwid Mednis.
To samo jego zdaniem dotyczy numerów dowodów osobistych czy PESEL.
– W przypadku tych danych również uważam, że powinno się zawsze indywidualnie oceniać ich charakter. Dla instytucji i osób, które mają dostęp do rejestru PESEL, te numery będą stanowić dane osobowe. Dla innych, którzy takiego dostępu nie mają – już nie – podkreśla Arwid Mednis.
– Powiem więcej. Nawet imię i nazwisko nie muszą być uznane za dane osobowe. Janów Kowalskich jest tylu, że znajomość samego imienia i nazwiska nic mi nie daje. Z drugiej strony już samo podanie „Arwid M.” prowadzi do mojej identyfikacji, ze względu na rzadkość mojego imienia – dodaje.