Naczelny Sąd Administracyjny (sygn. akt III OSK 274/23) wydał prawomocne orzeczenie, które rzuca nowe światło na obowiązki administratorów danych oraz firm realizujących kampanie outboundowe. Sąd uznał, że sam numer telefonu, pozbawiony dodatkowych informacji identyfikujących użytkownika, nie posiada statusu danych osobowych w rozumieniu RODO.
Sprawa miała swój początek w 2018 roku, kiedy do Prezesa Urzędu Ochrony Danych Osobowych (UODO) wpłynęła skarga na spółkę prowadzącą działania telemarketingowe. Organ nadzorczy stanął wówczas na stanowisku, że numer telefonu umożliwia bezpośredni kontakt z osobą fizyczną, a ustalenie jej tożsamości nie wymaga nadmiernych kosztów ani czasu. W konsekwencji UODO nakazał zaprzestanie przetwarzania numeru bez podstawy prawnej.
Argumentacja NSA: brak możliwości identyfikacji
Naczelny Sąd Administracyjny oddalił interpretację Prezesa UODO, podtrzymując wcześniejszy wyrok sądu pierwszej instancji. Sąd podkreślił, że w analizowanym przypadku spółka operowała wyłącznie na „suchej” bazie numerów pozyskanych z ogólnodostępnych źródeł (internet). Konsultanci nie dysponowali imionami, nazwiskami ani lokalizacją abonentów przed nawiązaniem połączenia.
Według NSA, numer telefonu nie staje się daną osobową automatycznie w procesie tzw. samoidentyfikacji, czyli w momencie, gdy rozmówca sam przedstawi się w trakcie rozmowy. Aby dany zestaw informacji uznać za dane osobowe, podmiot przetwarzający musiałby wejść w posiadanie danych dodatkowych z innego źródła, np. od dostawcy bazy. W sytuacji „ślepych” kampanii telemarketingowych, gdzie celem jest dopiero ustalenie zainteresowania ofertą, sam numer jest jedynie technicznym łącznikiem, a nie daną osobową.
Subiektywizacja danych a wyzwania operacyjne
Eksperci wskazują, że wyrok ten wpisuje się w szerszy trend subiektywizacji danych osobowych. Oznacza to, że ta sama informacja (np. numer rejestracyjny lub numer telefonu) może być uznana za daną osobową u jednego podmiotu (który ma dostęp do rejestrów), a u innego już nie.
Dla menedżerów Customer Care orzeczenie to niesie dwojakie konsekwencje:
- ograniczenie ryzyka na gruncie RODO: firmy realizujące kampanie na bazach numerów bez przypisanych nazwisk mogą skuteczniej bronić się przed zarzutami o naruszenie przepisów o ochronie danych osobowych przed organem nadzorczym.
- przesunięcie odpowiedzialności na UKE: NSA zaznaczył, że uciążliwość niechcianych połączeń nie powinna być zwalczana „naciąganiem” przepisów RODO. Właściwym organem do regulacji nadużyć w tym zakresie pozostaje Urząd Komunikacji Elektronicznej (UKE), działający na podstawie Prawa telekomunikacyjnego.
Konkluzje dla działów Customer Service
Mimo korzystnego wyroku, specjaliści ostrzegają przed nadmiernym optymizmem. Praktyka subiektywnego podejścia do danych wprowadza niepewność prawną – każda sprawa może być oceniana indywidualnie w zależności od kontekstu technologicznego i możliwości operacyjnych firmy. Skuteczna ochrona prywatności w procesach marketingowych wciąż wymaga restrykcyjnego przestrzegania skryptów rozmów oraz klarownego realizowania obowiązków informacyjnych w momencie, gdy klient zdecyduje się ujawnić swoją tożsamość.