Czy numer telefonu to dane osobowe? Wyjaśniamy przepisy RODO

Nie ma uniwersalnej odpowiedzi – wszystko zależy od kontekstu. Sam numer telefonu, jako ciąg cyfr bez możliwości powiązania z konkretną osobą przez administratora, według najnowszego orzecznictwa Naczelnego Sądu Administracyjnego może nie być daną osobową. W praktyce jednak w zdecydowanej większości sytuacji biznesowych będzie nią, dlatego warto poznać szczegóły tej złożonej kwestii.

Jak zmienia się interpretacja przepisów?

Dyskusja na temat statusu numeru telefonu w kontekście ochrony prywatności jest w Polsce wyjątkowo dynamiczna. Przez lata dominowało stanowisko, że jakakolwiek informacja umożliwiająca kontakt z konkretną osobą fizyczną stanowi jej daną osobową. Podejście to było szeroko akceptowane zarówno przez Generalnego Inspektora Ochrony Danych Osobowych (GIODO), jak i później przez Prezesa Urzędu Ochrony Danych Osobowych.

Obecnie obserwujemy wyraźną ewolucję tej wykładni, napędzaną przez kolejne wyroki sądów administracyjnych. Linia orzecznicza zaczyna się rozwarstwiać, odchodząc od automatyzmu w uznawaniu każdego identyfikatora technicznego za informację podlegającą reżimowi Rozporządzenia o Ochronie Danych Osobowych (RODO). Kluczowym momentem stało się orzeczenie Naczelnego Sądu Administracyjnego ze stycznia 2026 roku, które wprost podważyło dotychczasową, rygorystyczną praktykę organu nadzorczego.

Sedno sporu sprowadza się do odpowiedzi na pytanie, czy dysponując wyłącznie ciągiem cyfr, administrator jest w stanie zidentyfikować osobę bez nadmiernego wysiłku. Sądy coraz częściej wskazują, że nie jest to tożsame z samą tylko możliwością podjęcia próby kontaktu, która dopiero może do tej identyfikacji doprowadzić.

Co na ten temat mówi definicja z art. 4 RODO?

Podstawą wszelkich rozważań jest definicja zawarta w art. 4 pkt. 1 RODO. Przepis ten stanowi, że dane osobowe to wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Możliwa do zidentyfikowania osoba to taka, którą można bezpośrednio lub pośrednio zidentyfikować, szczególnie na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny czy dane o lokalizacji.

Definicja ta celowo jest pojemna i nie daje prostej odpowiedzi. Mówi o możliwości identyfikacji, a nie o jej absolutnej pewności. Oznacza to, że ta sama informacja – na przykład numer telefonu – w rękach jednego podmiotu będzie stanowić daną osobową, a w rękach innego nie. Wszystko zależy od tego, czy ten drugi podmiot posiada lub może w racjonalny sposób pozyskać dodatkowe środki, by powiązać numer z tożsamością konkretnego człowieka.

Kiedy numer telefonu jest daną osobową według UODO?

Urząd Ochrony Danych Osobowych prezentuje stanowisko, które można nazwać ostrożnościowym i pro-prywatnościowym. W oficjalnych dokumentach, takich jak „Przegląd stanowisk UODO i orzecznictwa krajowego w zakresie pojęcia danych osobowych”, organ podkreśla, że numer telefonu jest informacją umożliwiającą bezpośredni kontakt z określoną osobą. Ustalenie tożsamości na tej podstawie nie wymaga, zdaniem UODO, poniesienia nadmiernych kosztów, czasu lub działań.

W praktyce oznacza to, że dla Urzędu już sama możliwość nawiązania połączenia i potencjalnego wpływania na sferę prywatności jednostki przesądza o uznaniu numeru za daną osobową. To podejście ma daleko idące konsekwencje – nakazuje administratorom traktować każdy pozyskany numer z pełnym rygoryzmem RODO, nawet jeśli w momencie jego gromadzenia nie znają jeszcze personaliów jego właściciela.

Sama zatem możliwość skontaktowania się z tą osobą może prowadzić do ustalenia jej tożsamości, a więc numer telefonu stanowi dane osobowe w rozumieniu przepisów rozporządzenia 2016/679.

Takie restrykcyjne stanowisko było przez lata dominującym standardem w doktrynie, a inspektorzy ochrony danych rekomendowali właśnie ten kierunek interpretacji jako bezpieczniejszy na wypadek kontroli.

Dlaczego Naczelny Sąd Administracyjny ma inne zdanie?

Przełom nastąpił za sprawą wyroków Wojewódzkiego Sądu Administracyjnego w Warszawie, a przede wszystkim Naczelnego Sądu Administracyjnego. Sąd kasacyjny w orzeczeniu ze stycznia 2026 roku (sygn. akt III OSK 274/23) uznał, że samodzielny numer telefonu, bez żadnych danych dodatkowych, nie jest daną osobową. Sprawa dotyczyła firmy telemarketingowej, która wykonywała połączenia na numery z zakupionej bazy, nie znając personaliów abonentów.

NSA argumentował, że dana osobowa to taka informacja, która pozwala odróżnić konkretną osobę od innych. Jeśli administrator nie dysponuje żadnymi innymi informacjami, takimi jak imię, nazwisko, adres zamieszkania czy numer PESEL, nie jest w stanie dokonać identyfikacji rozmówcy. Sąd podkreślił, że do identyfikacji nie może dojść na skutek „samoidentyfikacji” – czyli sytuacji, gdy to sam odbierający połączenie przedstawi się konsultantowi, dopiero wtedy kreując dane osobowe.

Wpływ wyroku WSA z 2022 roku na obecną wykładnię

Jeszcze wyraźniej widać to na przykładzie wyroku WSA w Warszawie z 25 listopada 2022 r. (sygn. akt II SA/Wa 710/22). Sąd stwierdził w nim, że numer telefonu może stanowić dane osobowe, ale wyłącznie w sytuacji, gdy jego dysponent jest w posiadaniu także innych informacji identyfikujących. Identyfikacja musi być możliwa na podstawie już posiadanych lub łatwych do uzyskania danych, a nie być celem samym w sobie podejmowanych działań.

To orzeczenie wprowadziło bardzo ważną dystynkcję: czym innym jest informacja o osobie, a czym innym informacja, która jedynie daje szansę na zdobycie wiedzy o osobie. NSA potwierdził tę linię myślenia, wskazując, że nie można mylić procesu weryfikacji tożsamości z pierwotnym posiadaniem danych umożliwiających jej osądzenie bez dodatkowych starań.

Kazus menedżerki z domu weselnego – odpowiedzialność administratora

Zupełnie inny aspekt poruszył Wojewódzki Sąd Administracyjny we Wrocławiu w wyroku z 27 marca 2024 r. (II SA/Wa 1378/23). Tutaj numer telefonu był jednoznacznie przypisany do konkretnej osoby – byłej pracownicy, której dane wcześniej opublikowano za jej zgodą na firmowej stronie. Gdy zgoda została cofnięta, numer nadal widniał w sieci, a przedsiębiorca tłumaczył się utratą haseł dostępowych do witryny.

Sąd nie miał wątpliwości: były pracodawca jako administrator danych ponosi pełną odpowiedzialność za przetwarzanie danych osobowych. Problemy techniczne czy konflikt z osobą trzecią nie zwalniają z obowiązku realizacji praw podmiotu danych. W tym kontekście numer telefonu, powiązany z wcześniejszą zgodą i profilem zawodowym menedżerki, bezsprzecznie stanowił daną osobową podlegającą ochronie.

Czy do numeru telefonu stosuje się także Prawo telekomunikacyjne?

Oprócz RODO, na przetwarzanie numerów telefonu w celach marketingowych ogromny wpływ ma art. 172 Prawa telekomunikacyjnego. Przepis ten zakazuje używania telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących dla celów marketingu bezpośredniego, chyba że abonent lub użytkownik końcowy uprzednio wyraził na to zgodę.

To bardzo istotne zastrzeżenie, ponieważ Prawo telekomunikacyjne nie operuje pojęciem „możliwej do zidentyfikowania osoby fizycznej”, a pojęciem „użytkownika końcowego”. Każdy numer ma takiego użytkownika. W praktyce, nawet jeśli w świetle najnowszego orzecznictwa RODO nie uznałoby się numeru za daną osobową, to i tak prowadzenie telemarketingu bez zgody jest zakazane na mocy innej ustawy.

Zakazane jest używanie telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących dla celów marketingu bezpośredniego, chyba że abonent lub użytkownik końcowy uprzednio wyraził na to zgodę.

Co więcej, działania takie nie mogą odbywać się na koszt konsumenta. To pokazuje, że prawo przewiduje ochronę przed niechcianymi połączeniami z kilku niezależnych źródeł, a polem do walki z nadużyciami nie jest jedynie Urząd Ochrony Danych Osobowych. Właściwym regulatorem w zakresie naruszeń spokoju telekomunikacyjnego jest Prezes Urzędu Komunikacji Elektronicznej (UKE).

Jakie rekomendacje dla administratorów płyną z obecnego chaosu prawnego?

Wobec rozbieżności między stanowiskiem Prezesa UODO a wyrokami sądów administracyjnych, przedsiębiorcy znajdują się w trudnej sytuacji. Z jednej strony UODO nadal stoi na stanowisku, że numer telefonu jest daną osobową. Z drugiej, NSA daje im mocny argument do obrony w przypadku przetwarzania samych numerów. Nie zmienia to faktu, że w większości procesów biznesowych numer telefonu występuje w zestawie z innymi danymi, co automatycznie przesądza o jego statusie jako danej osobowej.

Eksperci, w tym radca prawny Łukasz Kulicki, rekomendują podejście ostrożnościowe jako podstawę budowania kultury zgodności w organizacji. Nawet jeśli istnieje techniczna szansa na wygranie sporu z organem, koszty postępowania i ryzyko wizerunkowe są zwykle zbyt wysokie. O wiele bezpieczniej jest wdrożyć procedury ochrony dla wszystkich numerów, które trafiają do firmowych baz.

Rekomendowane działania prewencyjne, które powinien podjąć każdy przedsiębiorca, to przede wszystkim:

• przeprowadzenie pełnej inwentaryzacji wszystkich miejsc pozyskiwania i publikowania numerów telefonu,
• zadbanie o fizyczne posiadanie i przechowywanie wszystkich haseł administracyjnych do firmowych stron www i paneli hostingowych,
• opracowanie procedury szybkiego reagowania na żądania usunięcia danych i ich techniczna implementacja,
• regularna weryfikacja, czy zgody marketingowe są wciąż aktualne i odnoszą się do konkretnych działań.

Szczególne przypadki: nagrywanie rozmów i spisy abonentów

Szczególną ostrożność należy zachować przy nagrywaniu rozmów telefonicznych. Nawet jeśli na początku administrator posiada jedynie numer, to rozmowa bardzo szybko generuje dane osobowe – głos, imię, a często także szczegóły zamówienia czy lokalizacji. Systemy infolinii nierzadko automatycznie logują dane o przybliżonej lokalizacji, godzinie połączenia i czasie trwania. W takim przypadku cały zestaw informacji staje się daną osobową, która wymaga spełnienia obowiązku informacyjnego już na samym początku połączenia.

Podobnie traktowana jest kwestia zamieszczania numerów w spisach abonentów. Zgodnie z dyrektywą 2002/58/WE oraz wyrokiem WSA z 22 grudnia 2022 r. (II SA/Wa 981/22), numer abonenta będącego osobą fizyczną jest obok imienia i nazwiska samodzielną daną osobową. Decyzja o tym, czy chce, by jego numer znalazł się w publicznym spisie, należy wyłącznie do samego abonenta i jest wyrazem ochrony jego prywatności oraz poufności komunikacji.

Jak podejść do dokumentowania ryzyka i rozliczalności?

Niezależnie od przyjętej przez firmę interpretacji, kluczowym obowiązkiem wynikającym z RODO jest zasada rozliczalności. Administrator sam decyduje, czy w danym procesie uzna numer telefonu za daną osobową, ale decyzja ta musi zostać odnotowana. Opracowanie wewnętrznej analizy ryzyka i zapisów w rejestrze czynności przetwarzania będzie stanowiło dowód dochowania należytej staranności.

Przemilczenie problemu lub brak jakiejkolwiek dokumentacji może zostać ocenione przez UODO jako rażące zaniedbanie. Nawet jeśli linia orzecznicza sądów jest dla administratorów łagodniejsza, to brak dowodu na świadome i udokumentowane podjęcie decyzji co do kwalifikacji numeru telefonu stawia firmę na straconej pozycji w przypadku ewentualnej kontroli.