Pod pojęciem danych osobowych należy rozumieć wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Do niedawna nie ulegało wątpliwości, że numer telefonu jest daną osobową w rozumieniu RODO. Na chwilę obecną stanowisko polskiego organu nadzorczego jest w tym zakresie niezmienne. Co się jednak okazuje, wątpliwości w tym zakresie ma Naczelny Sąd Administracyjny.
W głośnym wyroku jaki zapadł 25 listopada 2022 r. (sygn. akt: II SA/WA 710/22) NSA uznał, że numery telefonów nie muszą być danymi osobowymi, ponieważ do identyfikacji osoby fizycznej niezbędne są również inne informacje o abonentach, którymi podmiot wykonujący połączenie niekoniecznie dysponuje. Jest to już drugie orzeczenie NSA w tym przedmiocie – na pierwsze z nich (sygn. akt II SA/Wa 1898/20) Prezes Urzędu Ochrony Danych Osobowych złożył skargę kasacyjną, jednak sprawa nie jest jeszcze rozstrzygnięta.
Podejście prezentujące numery telefonu jako dane osobowe jest dość ugruntowane w doktrynie prawa ochrony danych osobowych. Przed wejściem w życie RODO takie stanowisko zajmował GIODO, który wskazywał, że co prawda sam ciąg cyfr składających się na numer telefonu nie wskazuje osoby fizycznej, to jednak numer ten pozwala na bezpośredni kontakt z konkretną osobą. Co więcej, już w 2007 r. Grupa Robocza Art. 29 wydała opinię, w której za dane osobowe uznano nawet niekompletne informacje bez jakiejkolwiek wzmianki o nazwisku lub innym bezpośrednim czynniku identyfikującym. W doktrynie podnosiło się dotychczas, że danymi osobowymi są również te dane, na podstawie których możemy dokonać identyfikacji osoby choćby potencjalnie – bez badania, czy rzeczywiście mamy taką możliwość, tj. czy dysponujemy dodatkowymi informacjami czy też będziemy musieli podjąć ku temu dodatkowe środki.
Nie bez znaczenia jest również to, że organy nadzorcze i sądy pozostałych państw europejskich uznają za dane osobowe adresy IP komputera, jako pozwalający na identyfikację osoby. Nie ma racjonalnych przyczyn, dla których numery telefonów należałoby traktować inaczej. Niektórzy podnoszą także, że brak wyraźnego orzecznictwa europejskiego w przedmiocie statusu numeru telefonu w kontekście RODO wynika z tego, że kwestia ta nie budzi wątpliwości i numer telefonu po prostu jest uznawany za daną osobową.
W Polsce mamy natomiast rozbieżność stanowisk polskiego organu nadzorczego – Prezesa Urzędu Ochrony Danych Osobowych oraz sądownictwa wyższego. Spór ten sprowadza się do ustalenia, czy dysponując wyłącznie numerem telefonu, możemy zidentyfikować osobę. NSA podnosi przy tym, że dana osobowa to informacja o osobie możliwej do identyfikacji, a nie informacja umożliwiająca weryfikację tożsamości osoby fizycznej. Stąd też wniosek, że numer telefonu będzie daną osobową tylko wtedy, gdy dysponent tego numeru jest w posiadaniu także innych informacji, które umożliwiają identyfikację, takich jak np. imię i nazwisko czy adres zamieszkania.
Na tym etapie sporu interpretacyjnego na linii PUODO-NSA trudno o jednoznaczne ustalenia przedstawionej kwestii. Już teraz podnosi się natomiast, że konsekwencją orzeczenia NSA może być liberalizacja podejścia do obrotu bazami danych z numerami telefonów.