Czy numer rejestracyjny jest daną osobową i co to oznacza?
Numer rejestracyjny bywa daną osobową, ale nie zawsze. Zależy to od tego, czy w konkretnych warunkach można realnie powiązać go z konkretną osobą fizyczną bez nadmiernych trudności, a nie od samego istnienia tablicy na pojeździe [1][2][3]. RODO chroni informacje o osobach, a nie o pojazdach, dlatego rozstrzygnięcie zawsze jest kontekstowe [2]. Organy i sądy akcentują odmienne akcenty, ale praktyczny test pozostaje ten sam identyfikacja musi być faktycznie osiągalna przy użyciu rozsądnych środków [1][4][5][2][3].
Czym według RODO są dane osobowe?
W prawie UE dane osobowe to każda informacja o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, przy czym identyfikacja może być bezpośrednia albo pośrednia na przykład przez identyfikator [2]. Ochrona z RODO dotyczy ludzi, a nie rzeczy, więc kluczowe jest to, czy dana informacja prowadzi do osoby, a nie to, czy opisuje sam pojazd [2].
Czy numer rejestracyjny jest daną osobową?
Numer rejestracyjny najczęściej identyfikuje pojazd, lecz może stać się identyfikatorem pośrednim osoby, jeżeli podmiot przetwarzający ma realną możliwość powiązania numeru z konkretną osobą [1][4][2]. W polskich materiałach organu nadzorczego podkreślono, że taki numer może prowadzić do identyfikacji osoby i w tym ujęciu stanowi dane osobowe [5]. Jednocześnie w orzecznictwie pojawił się pogląd przeciwny według którego sam numer rozpoznaje pojazd, a nie właściciela, dlatego nie w każdym przypadku podlega pod reżim danych osobowych [4][3]. Wniosek praktyczny jest taki, że numer nie jest daną osobową zawsze i automatycznie staje się nią dopiero wtedy, gdy w danym procesie przetwarzania można go połączyć z osobą fizyczną bez nadmiernych trudności [1][2][3].
Od czego zależy ocena w praktyce?
Rozstrzygające znaczenie ma kontekst przetwarzania, zakres dostępnych środków identyfikacji oraz to, kto dane przetwarza i jakie ma możliwości sięgania po dodatkowe informacje [2][6]. Sam numer może być neutralny, ale po zestawieniu z innymi danymi staje się wskaźnikiem konkretnej osoby, co przesuwa go do sfery danych osobowych [1][2]. Kluczowe jest połączenie numeru z danymi z rejestrów lub z informacjami operacyjnymi pozwalającymi na jednoznaczne wskazanie osoby korzystającej z pojazdu, ponieważ wtedy identyfikowalność staje się realna [1][2]. W zautomatyzowanych systemach kontroli oraz rozliczeń numer nierzadko pełni funkcję identyfikatora umożliwiającego przypisanie zdarzenia do osoby, co w praktyce oznacza przetwarzanie danych osobowych [2]. Jeżeli jednak numer występuje wyłącznie jako cecha pojazdu i nie ma rozsądnej możliwości ustalenia właściciela lub użytkownika, argument za uznaniem go za dane osobowe jest znacząco słabszy [4][3]. Dodatkowo w strukturach firmowych i flotowych numer częściej wskazuje pojazd służbowy niż konkretną osobę, co może prowadzić do innej oceny niż w przypadku aut prywatnych [6]. Istotny jest także poziom wysiłku potrzebny do identyfikacji jeżeli ustalenie osoby wymaga nadmiernych kosztów, czasu lub działań, część orzeczeń skłania się ku tezie, że taki numer nie stanowi danych osobowych [3].
Kiedy numer rejestracyjny zwykle nie będzie daną osobową?
Co do zasady, jeżeli pojazd należy do osoby prawnej, sama tablica nie dotyczy bezpośrednio osoby fizycznej i nie podpada pod definicję danych osobowych z RODO, o ile brak jest możliwości wskazania konkretnej osoby na podstawie dostępnych informacji [2][6]. Gdy numer funkcjonuje wyłącznie jako atrybut pojazdu i nie towarzyszą mu dane pozwalające na przypisanie go do człowieka, stanowisko o braku statusu danych osobowych znajduje oparcie w linii orzeczniczej akcentującej przedmiotowy charakter takiej informacji [4][3].
Jak działa test realnej identyfikowalności?
Test polega na odpowiedzi na pytanie, czy w konkretnych okolicznościach oraz przy uwzględnieniu dostępnych środków i uprawnień dany podmiot może powiązać numer rejestracyjny z określoną osobą fizyczną bez nadmiernego wysiłku [1][2][3]. Ocena obejmuje zwłaszcza to, czy numer jest przetwarzany samodzielnie, czy łącznie z innymi informacjami oraz czy istnieje dostęp do rejestrów lub danych operacyjnych, które czynią identyfikację możliwą w praktyce [1][2]. Należy również zważyć, kto przetwarza informacje, ponieważ rolę odgrywa zarówno kontekst prawny, jak i techniczne środki dostępne temu konkretnemu administratorowi lub podmiotowi przetwarzającemu [2][6][3].
Co to oznacza dla administratorów danych?
Jeżeli w danym procesie przetwarzania numer rejestracyjny pozwala zidentyfikować osobę fizyczną, administrator musi przyjąć, że operuje danymi osobowymi, a zatem powinien ustalić właściwą podstawę prawną oraz stosować adekwatne środki ochrony [5][2]. Spory prawne pokazują istnienie dwóch podejść numer jako dane osobowe oraz numer jako informacja o pojeździe dlatego kluczowe jest udokumentowanie kontekstu i przesłanek, które w danej sprawie uzasadniają przyjętą kwalifikację [4][5][3].
Dlaczego nie ma jednego progu ani statystyki dla numerów rejestracyjnych?
W dostępnych opracowaniach brak jednej oficjalnej, powszechnej statystyki wskazującej, w ilu przypadkach numer rejestracyjny stanowi dane osobowe, ponieważ ocena każdorazowo zależy od uwarunkowań prawnych i technicznych konkretnego procesu [1][2]. Nie wyznaczono też jednolitego, mierzalnego progu, po przekroczeniu którego numer zawsze staje się daną osobową, zamiast tego stosuje się test realnej identyfikowalności i analizę dostępnych środków oraz nakładów koniecznych do powiązania informacji z człowiekiem [1][2][3].
Podsumowanie
RODO chroni osoby, nie pojazdy, dlatego numer rejestracyjny nie jest z definicji daną osobową [2]. Najczęściej identyfikuje pojazd, jednak może stać się identyfikatorem pośrednim, jeśli realnie umożliwia wskazanie konkretnej osoby, w szczególności przy łączeniu z innymi informacjami lub rejestrami [1][4][2]. Ocena zależy od kontekstu, dostępnych środków i podmiotu przetwarzającego, a w sporach prawnych funkcjonują dwie linie rozumowania, których zastosowanie przesądza o wyniku w konkretnych okolicznościach [4][5][3]. Jeżeli identyfikacja jest możliwa administrator ma obowiązek oprzeć przetwarzanie na właściwej podstawie prawnej i traktować taki numer jako dane osobowe [5][2]. W razie braku realnej możliwości powiązania numeru z człowiekiem zwłaszcza gdy dotyczy pojazdu należącego do osoby prawnej numer co do zasady nie podlega reżimowi RODO [2][6].
Wykorzystane materiały
- https://rkrodo.pl/kiedy-numer-rejestracyjny-pojazdu-to-dana-osobowa/
- https://odo24.pl/blog-post.rozpoznawanie-tablic-rejestracyjnych-na-parkingach
- https://autokult.pl/numer-rejestracyjny-to-nie-dane-osobowe-jest-wyrok-sadu,6809475726461057a
- https://www.poradyodo.pl/orzeczenia/nsa-potwierdza-numer-rejestracyjny-to-nie-dane-osobowe-12032.html
- https://uodo.gov.pl/pl/file/4249
- https://gallio.pro/pl/blog/rozmycie-tablic-rejestracyjnych-zgodne-z-gdpr-czy-prawnie-ochrona-prywatnosci/
CyberThreat.pl to zespół pasjonatów i ekspertów cyberbezpieczeństwa, którzy przekładają skomplikowane zagadnienia na praktyczne porady i rzetelne analizy. Wierzymy, że wiedza i świadomość to najlepsza ochrona przed zagrożeniami cyfrowego świata. Nasze treści tworzymy z myślą o wszystkich użytkownikach internetu, dbając o wiarygodność, przejrzystość oraz edukację. CyberThreat.pl – szyfrujemy Twoją ciekawość!