Jeśli chodzi o RODO, to orzecznictwo polskich sądów można uznać za awangardowe. Tego, co w całej UE uznawane jest za dane osobowe, w Polsce za takie dane już się nie uważa. Sądy dochodzą do wniosku, że ani numer rejestracyjny, ani telefoniczny nie prowadzą do identyfikacji ich właścicieli. Idąc tym tropem, to w zasadzie adres zameldowania również nie.
W opisanym wczoraj przez DGP wyroku Naczelny Sąd Administracyjny po raz kolejny uznał, że numery rejestracyjne to nie dane osobowe. Rozumowanie sądu jest następujące – numery rejestracyjne identyfikują samochód, nie osobę. Skoro w łatwy sposób nie można ustalić tożsamości właściciela auta, to taki numer go nie identyfikuje. A nawet gdyby, to i tak nie ma pewności, czy to właściciel był w danej chwili użytkownikiem pojazdu.
Trudno mi się zgodzić z takim podejściem sądu. Ile zajęłoby ustalenie właściciela, gdybym wrzucił jego zdjęcie z niezamazanymi tablicami na popularnych platformach społecznościowych? Dni czy godziny? Stawiam raczej na to drugie. Dlatego też zarówno organy nadzorcze, jak i sądy innych państw uznają numer rejestracyjny za dane osobowe. Już sama możliwość powiązania go z osobą przez krąg bliższych i dalszych znajomych, pracodawcę, sąsiadów jest dla nich wystarczająca. Idąc zresztą dalej tropem polskich sądów, należałoby uznać, że numer dowodu osobistego również nie podlega ochronie. Bo przecież znając sam numer, nie jestem w stanie ustalić jego właściciela. Może to zrobić np. policja, która ma dostęp do państwowych rejestrów.
Jeszcze trudniej zgodzić mi się z zastosowaniem tej samej argumentacji przez sąd administracyjny, tym razem wojewódzki, do numeru telefonicznego (skarga kasacyjna czeka na rozpoznanie). Jasne – numer może być służbowy, można go zmienić itd. Nie zmienia to jednak tego, że trudno byłoby mi wskazać inne tak bezpośrednio identyfikujące mnie dane. To ich używam do dwuskładnikowego uwierzytelnienia na kontach w internecie czy banku. To one od ponad 30 lat umożliwiają wszystkim, którzy je posiadają, bezpośredni kontakt ze mną.
Idąc tokiem rozumowania sądu, w zasadzie trudno byłoby cokolwiek uznać za dane osobowe. Adres zameldowania? On wskazuje wyłącznie dom, w którym nie muszę przecież mieszkać. Numer IP komputera? Przecież on wskazuje wyłącznie komputer, z którego może ktoś inny korzystać. Na marginesie – podważenie tego, że numer IP stanowi dane osobowe, byłoby o tyle trudne, że wynika to wprost z orzecznictwa Trybunału Sprawiedliwości Unii Europejskiej (sprawa C-582/14). W wyroku tym uznano, że choć przeciętny użytkownik nie wie, do kogo jest przypisany numer IP, to już sama hipotetyczna możliwość uzyskania tych informacji sprawia, że mamy do czynienia z danymi osobowymi.
Polskie orzecznictwo bez wątpienia jest w europejskiej awangardzie. Ja tylko się zastanawiam, czy nie za bardzo wyprzedziliśmy inne państwa.