Jeszcze kilka lat temu odpowiedź wydawała się oczywista – numer telefonu traktowano niemal automatycznie jako dane osobowe w rozumieniu RODO. Ostatnie orzeczenia sądów administracyjnych, w tym szczególnie wyroki Naczelnego Sądu Administracyjnego, pokazują jednak, że problem jest znacznie bardziej złożony. Dla przedsiębiorców prowadzących działania marketingowe oznacza to konieczność ostrożnego podejścia do kontaktów telefonicznych, dokumentowania procesów oraz właściwego rozróżniania sytuacji, w których numer telefonu rzeczywiście pozwala zidentyfikować konkretną osobę.

Numer telefonu a definicja danych osobowych na gruncie RODO

Punktem wyjścia jest definicja danych osobowych zawarta w art. 4 pkt 1 RODO. Dane osobowe to informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Kluczowe znaczenie ma więc możliwość identyfikacji człowieka – bezpośrednio lub pośrednio. Sam fakt posiadania numeru telefonu nie zawsze oznacza jeszcze, że administrator wie, do kogo numer należy. W praktyce właśnie wokół tego zagadnienia powstał spór między przedsiębiorcami, organem nadzorczym i sądami administracyjnymi.

Praktyczny przykład jak sądy oceniają numer telefonu

Jedna ze skarg, które wpłynęły do Urzędu Ochrony Danych Osobowych dotyczyła osoby otrzymującej połączenia marketingowe. Skarżący twierdził, że spółka naruszyła przepisy RODO, ponieważ mimo żądania usunięcia danych nadal kontaktowała się telefonicznie. Prezes UODO uznał, że numer telefonu stanowi dane osobowe i udzielił spółce upomnienia za zbyt późne wykonanie żądania usunięcia danych. Następnie stanowisko to podtrzymał Wojewódzki Sąd Administracyjny w Warszawie.

WSA argumentował, że numer telefonu może stanowić swoisty „punkt kontaktowy” umożliwiający dotarcie do konkretnej osoby. Sąd zwrócił uwagę, że współczesne technologie – komunikatory internetowe, wyszukiwarki numerów czy media społecznościowe – pozwalają stosunkowo łatwo powiązać numer z konkretnym człowiekiem. W ocenie sądu możliwość potencjalnego ustalenia tożsamości była wystarczająca, aby objąć numer ochroną przewidzianą przez RODO.

Odmienne stanowisko zajął jednak NSA. W najnowszych wyrokach sąd wskazał, że sam numer telefonu, bez dodatkowych informacji identyfikujących, nie zawsze pozwala na ustalenie tożsamości osoby fizycznej. NSA podkreślił, że możliwość wykonania połączenia telefonicznego nie jest równoznaczna z możliwością identyfikacji właściciela numeru. Innymi słowy – sam kontakt telefoniczny nie przesądza jeszcze o tym, że mamy do czynienia z danymi osobowymi.

Czy numer telefonu jest daną osobową? To zależy

To stanowisko NSA ma ogromne znaczenie dla branży telemarketingowej, call center oraz firm prowadzących marketing bezpośredni. Nie oznacza jednak, że przedsiębiorcy mogą całkowicie ignorować przepisy RODO lub swobodnie wykorzystywać bazy numerów telefonicznych. NSA nie stwierdził bowiem, że numer telefonu nigdy nie jest daną osobową. Wręcz przeciwnie – wszystko zależy od kontekstu i możliwości przypisania numeru do konkretnej osoby.

Jeżeli przedsiębiorca dysponuje dodatkowymi informacjami, np. imieniem i nazwiskiem, historią zamówień, adresem e-mail albo nagraniami rozmów, identyfikacja osoby staje się realna. W takim przypadku numer telefonu należy traktować jako element danych osobowych i stosować pełne wymogi RODO. Podobnie będzie wtedy, gdy numer przypisany jest do klienta w systemie (zbiorze danych) lub w bazie abonentów.

Szczególnie interesujące są również sprawy dotyczące numerów służbowych i kontaktów biznesowych. W jednym z orzeczeń wskazano, że numer telefonu prezesa zarządu wykorzystywany wyłącznie jako dane kontaktowe spółki nie musi korzystać z ochrony przewidzianej dla danych osobowych osoby fizycznej. To pokazuje, że nawet identyczny numer telefonu może być oceniany inaczej w zależności od funkcji, celu przetwarzania oraz sposobu jego wykorzystania.

Legalność marketingu telefonicznego w kontekście innych ustaw

Przedsiębiorcy powinni pamiętać także o tym, że legalność marketingu telefonicznego nie zależy wyłącznie od RODO. Równolegle obowiązują przepisy prawa komunikacji elektronicznej oraz regulacje dotyczące zgód marketingowych. Nawet jeśli w konkretnej sytuacji sam numer telefonu nie zostałby uznany za dane osobowe, wykonywanie połączeń marketingowych bez wymaganej zgody może nadal prowadzić do odpowiedzialności administracyjnej lub finansowej.

Z perspektywy compliance najbezpieczniejszym rozwiązaniem pozostaje przyjęcie ostrożnościowego podejścia. Firmy powinny przede wszystkim:

• przeprowadzić analizę, czy wykorzystywane numery telefonów umożliwiają identyfikację osób,
• uporządkować podstawy prawne kontaktów marketingowych,
• wdrożyć procedury realizacji żądań usunięcia danych,
• określić zasady retencji numerów telefonów,
• zadbać o właściwe klauzule informacyjne i zgody marketingowe,
• dokumentować źródła pozyskania numerów telefonów.

W praktyce wielu przedsiębiorców skupia się wyłącznie na zgodach marketingowych, pomijając kwestie związane z analizą ryzyka czy oceną charakteru danych. Tymczasem to właśnie brak procedur oraz niejednolite praktyki są dziś jedną z głównych przyczyn sporów z organem nadzorczym i klientów składających skargi do UODO.

Warto podkreślić, że obecna linia orzecznicza nadal się rozwija. Możliwe są kolejne rozbieżności pomiędzy sądami administracyjnymi, organem nadzorczym i praktyką biznesową. Dlatego przedsiębiorcy nie powinni opierać swoich działań wyłącznie na pojedynczych wyrokach czy uproszczonych interpretacjach pojawiających się w mediach. Znacznie ważniejsze jest przygotowanie spójnego systemu ochrony danych, dostosowanego do rzeczywistych procesów funkcjonujących w organizacji.

Dobrze przygotowana dokumentacja RODO

Dobrze przygotowana dokumentacja RODO nie jest dziś wyłącznie formalnością. W przypadku kontroli lub sporu stanowi realne zabezpieczenie przedsiębiorcy i dowód dochowania należytej staranności. Dotyczy to szczególnie firm prowadzących działania sprzedażowe, call center, obsługę klienta oraz marketing telefoniczny.

Prawidłowe wdrożenie procedur dotyczących kontaktów telefonicznych wymaga nie tylko znajomości przepisów, ale również aktualnego orzecznictwa oraz praktyki organów nadzorczych. Właśnie dlatego coraz więcej przedsiębiorców decyduje się na wsparcie ekspertów zajmujących się ochroną danych osobowych, audytami zgodności oraz przygotowywaniem dedykowanych procedur RODO dla działalności marketingowej i sprzedażowej.

Zachęcamy do kontaktu ze specjalistami w zakresie ochrony danych osobowych, którzy przygotują dokumenty zabezpieczające Państwa firmę:

Artykuł Czy numer telefonu jest daną osobową? Aktualne stanowisko sądów i praktyczne konsekwencje dla firm pochodzi z serwisu .