Czy tablice rejestracyjne są danymi osobowymi i co z tego wynika?

Tablice rejestracyjne mogą być uznane za dane osobowe albo nie, w zależności od kontekstu i możliwości przypisania numeru do konkretnej osoby. W polskiej praktyce ścierają się dwa podejścia: część orzecznictwa wskazuje, że numer identyfikuje wyłącznie pojazd, natomiast organ nadzorczy akcentuje identyfikację pośrednią właściciela lub użytkownika. Z tego wynikają konkretne obowiązki w zakresie RODO, jeżeli dochodzi do przetwarzania informacji pozwalającej zidentyfikować osobę fizyczną [1][2][3][4][5].

Co właściwie rozstrzyga spór o status tablic rejestracyjnych?

Oś sporu dotyczy tego, czy tablice rejestracyjne identyfikują wyłącznie pojazd, czy także osobę fizyczną, która nim dysponuje. Część orzecznictwa stoi na stanowisku, że sam numer nie ujawnia tożsamości bez dodatkowych danych, dlatego nie stanowi danych osobowych [1][6][3].

Prezes UODO prezentuje pogląd odmienny i konsekwentnie uznaje, że numer rejestracyjny może pośrednio prowadzić do ustalenia właściciela lub użytkownika pojazdu, co w określonych okolicznościach nadaje mu status danych osobowych [2][7][4].

Na tle tego sporu przywoływane jest orzeczenie Naczelnego Sądu Administracyjnego o sygnaturze III OSK 1522/21, które wzmacnia linię argumentacji, że numer rejestracyjny sam w sobie nie jest daną osobową [1]. Jednocześnie brak jednolitego rozstrzygnięcia w całym systemie prawnym powoduje utrzymywanie się rozbieżnych interpretacji [1][2][4].

Czym według RODO są dane osobowe i identyfikacja pośrednia?

Zgodnie z RODO dane osobowe to informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, a identyfikacja może mieć charakter bezpośredni lub pośredni przy użyciu identyfikatora takiego jak numer identyfikacyjny albo innych cech pozwalających ustalić tożsamość [5].

RODO nie wyznacza progów liczbowych dla uznania, że osoba jest możliwa do zidentyfikowania. Kluczowe jest kryterium rozsądnych środków i realnie dostępnych informacji, które pozwalają dokonać powiązania z konkretną osobą [5][8].

Kiedy numer rejestracyjny staje się daną osobową?

Decydujące jest to, czy konkretny podmiot ma realną możliwość połączenia numeru rejestracyjnego z określoną osobą przy wykorzystaniu dostępnych i legalnych źródeł oraz środków. Jeżeli takie powiązanie jest możliwe, rośnie szansa, że numer będzie traktowany jak dane osobowe w danym procesie przetwarzania [5][9][10][4].

Jeśli jednak ustalenie tożsamości wymagałoby nadmiernego wysiłku lub dostępu do dodatkowych informacji, którymi dany podmiot nie dysponuje, stanowisko o braku statusu danych osobowych staje się silniejsze [1][3].

W praktyce kryterium to ma charakter kontekstowy. Ten sam numer może być neutralny dla podmiotu bez dostępu do baz danych, ale nie dla organizacji, która może go legalnie zestawić z innymi informacjami pozwalającymi zidentyfikować osobę [5][9][10].

Dlaczego kontekst i dostęp do baz są decydujące?

Mechanizm identyfikacji pośredniej polega na tym, że sam numer nie przesądza o tożsamości, lecz w zestawieniu z innymi danymi może prowadzić do jednoznacznego wskazania właściciela lub użytkownika pojazdu. Znaczenie ma to, kto przetwarza numer, w jakim celu i do jakich źródeł ma legalny dostęp [5][9][4].

Spór dotyczy więc nie tylko samych tablic rejestracyjnych, ale całego ekosystemu informacji dookoła nich, gdzie uczestniczą podmioty publiczne i prywatne, a ich kompetencje i dostęp do rejestrów determinują możliwość identyfikacji osoby fizycznej [2][7][9].

Jakie są konsekwencje uznania tablicy za dane osobowe?

Jeżeli numer rejestracyjny jest traktowany jako dane osobowe, przetwarzanie podlega RODO. Oznacza to konieczność posiadania właściwej podstawy prawnej, realizacji obowiązku informacyjnego, zastosowania zasady minimalizacji oraz wdrożenia adekwatnych środków bezpieczeństwa technicznego i organizacyjnego [5][4].

Wymagania te powinny być proporcjonalne do ryzyka oraz zakresu operacji, z uwzględnieniem charakteru i celu przetwarzania, przy zachowaniu rozliczalności i dokumentowania przyjętych rozwiązań zgodnościowych [5][8].

Czy w polskim prawie jest jednoznaczna odpowiedź?

Aktualnie nie ma jednolitego rozstrzygnięcia. Część orzecznictwa opowiada się za tezą, że tablice rejestracyjne identyfikują pojazd, a nie osobę, czemu sprzyja stanowisko potwierdzone w nowszych orzeczeniach, w tym w sprawie o sygnaturze III OSK 1522/21 [1][6][3].

Prezes UODO konsekwentnie akcentuje jednak, że numer może umożliwiać identyfikację pośrednią właściciela lub użytkownika pojazdu, a więc w określonych sytuacjach stanowi dane osobowe [2][7][4].

Brakuje danych statystycznych, które jednoznacznie rozstrzygałyby spór, a debata opiera się przede wszystkim na analizie norm prawnych i interpretacjach doktryny oraz orzecznictwa [1][2][4].

Na czym polega dobra praktyka zgodna z RODO?

W pierwszej kolejności należy zmapować kontekst przetwarzania i ustalić, czy posiadane środki i informacje umożliwiają powiązanie numeru rejestracyjnego z konkretną osobą. Jeżeli tak, należy traktować numer jako dane osobowe, wdrożyć odpowiednią podstawę prawną, przejrzystość, minimalizację oraz zabezpieczenia, a następnie utrzymywać rozliczalność i adekwatną dokumentację działań [5][8].

W razie wątpliwości co do możliwości identyfikacji pośredniej warto przeprowadzić ocenę ryzyka i dobrać proporcjonalne środki, w tym organizacyjne, proceduralne i techniczne, aby ograniczyć potencjał nieuprawnionej identyfikacji osób fizycznych [5].

Jaki wniosek dla administratorów i użytkowników?

Status numeru rejestracyjnego nie jest absolutny i zależy od kontekstu. Gdy istnieje realna i legalna możliwość powiązania numeru z osobą, numer będzie traktowany jako dane osobowe i zastosowanie znajdzie reżim RODO. Gdy takiej możliwości brak, mocniejszy jest pogląd, że numer identyfikuje wyłącznie pojazd. Należy monitorować rozwój orzecznictwa i stanowiska organu nadzorczego oraz dokumentować przyjętą ocenę i środki zgodności [5][1][2][4][3].