Czy numer rejestracyjny jest daną osobową?

Pisemne uzasadnienie wyroku nie jest jeszcze znane, jednakże z ustnych motywów rozstrzygnięcia przedstawionych przez Sąd wynika, iż zdaniem Naczelnego Sądu Administracyjnego numer rejestracyjny nie jest daną osobową. Teza ta wywołała kontrowersje wśród prawników, którzy zwracają uwagę na płynące z niej zagrożenia.

Postępowanie przed sądem zostało zaininicjowane skargą kierowcy, który uznał, że gromadzenie przez warszawskie organy samorządowe numerów rejestracyjnych wpisywanych na parkomatach, jest nieuzasadnione i narusza jego prywatność. Zdaniem kierowcy numery te nie są niezbędne do opłacenia miejsca parkingowego, a ich podawanie pozwala organom na śledzenie trasy i miejsc postoju samochodu. Kierowca zdecydował więc o wniesieniu skargi na niezgodność z prawem uchwały Rady Miasta st. Warszawy dotyczącej płatnego parkowania. W odpowiedzi Rada Miasta argumentowała, że podawanie numerów rejestracyjnych jest konieczne, ponieważ zapobiega praktyce handlu biletami parkingowymi.

W pierwszej instancji Wojewódzki Sąd Administracyjny w Warszawie przyznał rację kierowcy. Orzekł, że uchwała dotycząca płatnego parkowania została wydana z naruszeniem prawa, a Rada Miasta nie wykazała podstawy prawnej do przetwarzania danych w postaci numerów rejestracyjnych. Miasto złożyło skargę na powyższe orzeczenie, a sprawa trafiła do NSA.

W toku postępowania przed NSA Miasto prezentowało pogląd, wedle którego numer rejestracyjny nie pozwala na ustalenie tożsamości kierowcy. W pewnych wypadkach może wprawdzie prowadzić do ustalenia właściciela pojazdu, ale nie zawsze właściciel samochodu jest jego kierowcą. Wskazywano także, że Miasto ustala tożsamość właściciela auta wyłącznie w celach windykacyjnych, co jest prawnie uzasadnione. W ocenie Rady Miasta numer rejestracyjny nie jest zatem daną osobową, ponieważ nie prowadzi do zidentyfikowania osoby fizycznej. Tym samym gromadząc informacje o numerach rejestracyjnych Miasto nie przetwarza danych osobowych i nie musi wykazywać istnienia podstawy prawnej uzasadniającej przetwarzanie.

Naczelny Sąd Administracyjny w wyroku z 28 czerwca 2019 r. (sygn. akt I OSK 2063/17) uchylił wyrok Wojewódzkiego Sądu Administracyjnego i oddalił skargę kierowcy, przyznając tym samym rację przedstawicielom Rady Miasta. Należy podkreślić, że ostateczny pogląd NSA na przedmiotową sprawę poznamy dopiero po zapoznaniu się z pisemnym uzasadnieniem wyroku, które nie zostało jeszcze sporządzone. W chwili obecnej dysponujemy jedynie informacjami zawartymi w ustnych motywach rozstrzygnięcia przedstawionych przez Sąd po ogłoszeniu wyroku. Wynika z nich, że NSA – podobnie jak Rada Miasta – doszedł do wniosku, iż numer rejestracyjny pojazdu nie jest daną osobową, ponieważ nie pozwala na ustalenie tożsamości kierowcy. Z tego względu skarga kierowcy została uznana za nieuzasadnioną.

Pisemne uzasadnienie wyroku z pewnością wyjaśni, czym kierował się Sąd wydając rozstrzygnięcie i jakie były powody uchylenia wyroku wydanego w pierwszej instancji. Może ono także rzucić na sprawę zupełnie nowe światło. Jednakże już w chwili obecnej można stwierdzić, że pogląd, wedle którego numer rejestracyjny nie jest daną osobową, jest dyskusyjny i może budzić wątpliwości. Wyrok wywołał niepokój wśród prawników, którzy alarmują, że może on prowadzić do błędnego rozumienia pojęcia danych osobowych i do nadużyć ze strony podmiotów przetwarzających dane.

Przypomnijmy, że zgodnie z rozporządzeniem ogólnym o ochronie danych osobowych (RODO), danymi osobowymi są wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Możliwa do zidentyfikowania osoba to taka, którą można zidentyfikować bezpośrednio lub pośrednio. Aby ocenić, czy osoba jest możliwa do zidentyfikowania, należy wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby, które w danym wypadku mogą znaleźć zastosowanie, biorąc pod uwagę m.in. dostępne technologie.

Informacja jest więc daną osobową nie tylko wtedy, gdy na jej podstawie możemy wprost ustalić tożsamość człowieka, ale również wówczas, gdy istnieją sposoby, które mogą zostać wykorzystane i które pośrednio pozwolą na identyfikację. Bez znaczenia są przy tym intencje podmiotu dysponującego danymi. Informacja może być daną osobową nawet wówczas, gdy podmiot ten nie zamierza dokonywać identyfikacji. Już sam fakt posiadania takiej możliwości jest wystarczający dla uznania, że informacja jest daną osobową.

Dla osoby postronnej numer rejestracyjny jest jedynie ciągiem znaków, który nie daje możliwości ustalenia właściciela pojazdu. Jednakże podmioty, w tym organy samorządowe, które mają dostęp do Centralnej Ewidencji Pojazdów i Kierowców (CEPiK), na podstawie numeru rejestracyjnego mogą ustalić, kto jest właścicielem auta. Skoro organ ma możliwość skorzystania z bazy CEPiK, to na podstawie numeru rejestracyjnego wpisywanego do parkomatu ma również możliwość identyfikacji właściciela samochodu. Fakt, że na co dzień Rada Miasta nie korzysta z bazy CEPiK, nie ma w tym wypadku znaczenia. Istotne jest, że taką możliwością dysponuje i potencjalnie może z niej skorzystać. Tym samym w przypadkach, gdy na podstawie numeru rejestracyjnego można ustalić tożsamość człowieka, numer ten powinien być traktowany jako dana osobowa.

Mimo że – tak jak wspominano – ostateczne uzasadnienie i powody rozstrzygnięcia NSA nie są jeszcze znane, warto się zastanowić, jakie skutki może nieść za sobą wyrok o takiej treści. Jeżeli bowiem numer rejestracyjny nie jest daną, to czy inne informacje, które dotychczas były uważane za dane osobowe, są takimi danymi? Przykładem może być numer PESEL. Dla przeciętnego odbiorcy jest to niewiele znaczący ciąg cyfr. Jednakże dla niektórych podmiotów, np. dla placówek medycznych, jest to podstawowy identyfikator człowieka, w oparciu o który mogą one zdobyć szereg informacji o osobie. Dlatego też uznanie, że PESEL nie jest daną osobową, byłoby całkowicie nieuzasadnione.

Powyższe należy odnieść również do identyfikatorów internetowych, np. numerów IP. Choć powszechnie przyjmuje się, że IP jest daną osobową, co zostało potwierdzone m.in. przez Trybunał Sprawiedliwości UE, wyrok NSA może stawiać ten pogląd pod znakiem zapytania. Przyjęcie, że numer IP nie jest daną osobową rodzi natomiast ryzyko, że podmioty przetwarzające dane użytkowników Internetu, będą gromadzić informacje o naszej aktywności w sieci bez ograniczeń, ponieważ nie one będą podlegały takiej ochronie jak dane osobowe.

Warto dodać, że same numery rejestracyjne były już kilkukrotnie przedmiotem zainteresowania sądów. Co ciekawe, z różnym skutkiem. Wystarczy wskazać na prawomocny wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 2014 r., z którego wynika, że numer rejestracyjny jest daną osobową. Można się zastanawiać, czy w kontekście licznych wątpliwości i rozbieżności orzeczniczych, NSA nie powinien był wystąpić do Trybunału Sprawiedliwości UE z pytaniem prejudycjalnym. Postąpił jednak inaczej, a na uzasadnienie wyroku i konsekwencje tego rozstrzygnięcia przyjdzie nam jeszcze poczekać.