Czy tablica rejestracyjna podlega ochronie na mocy RODO?
Krótko i wprost: tak, tablica rejestracyjna podlega ochronie na mocy RODO, jeśli numer pozwala zidentyfikować osobę fizyczną bezpośrednio lub pośrednio. Jednocześnie istnieje utrwalony spór interpretacyjny, bo część orzecznictwa uznaje, że standardowy numer identyfikuje przede wszystkim pojazd, nie człowieka [1][2][3][4][5][6].
Czy tablica rejestracyjna podlega ochronie na mocy RODO?
RODO chroni dane osobowe, czyli informacje o osobie zidentyfikowanej lub możliwej do zidentyfikowania, także wtedy gdy identyfikacja następuje pośrednio przez identyfikator, w tym numer rejestracyjny. Jeśli zatem numer prowadzi do człowieka, mamy do czynienia z danymi osobowymi i zastosowanie znajdują zasady RODO [1][2].
W praktyce ocena zależy od tego, czy w konkretnych realiach numer można połączyć z właścicielem lub użytkownikiem auta przy użyciu dostępnych środków. Organy oraz część doktryny uznają, że taka identyfikacja bywa realna, zwłaszcza gdy administrator dysponuje dodatkowymi danymi lub systemami powiązanymi z numerem. Inne podejście akcentuje, że sama tablica opisuje pojazd, więc bez dostępu do rejestrów osobowych nie identyfikuje człowieka [3][4][5][6].
Na czym polega definicja danych osobowych w RODO?
Definicja ma charakter funkcjonalny. Dane osobowe to informacje o osobie, którą można zidentyfikować bezpośrednio lub pośrednio, przy użyciu rozsądnie dostępnych środków. Nie wymaga się natychmiastowej identyfikacji, wystarczy że jest ona realna w danych okolicznościach, na przykład dzięki powiązaniu z innymi zasobami danych [1][2].
Ochrona obejmuje informacje o człowieku, nie o rzeczy. Dlatego kluczowe jest rozstrzygnięcie, czy konkretny numer rejestracyjny prowadzi do osoby fizycznej, czy pozostaje identyfikatorem pojazdu bez praktycznej możliwości powiązania z tożsamością właściciela lub użytkownika [5][6].
Dlaczego status numeru rejestracyjnego budzi spór?
Spór ma dwa filary. Pierwszy to akcent na identyfikowalność. Skoro przypisanie numeru do konkretnej osoby jest możliwe, choćby pośrednio, to według tej linii interpretacyjnej numer staje się daną osobową. Drugi filar podkreśla, że standardowa tablica opisuje pojazd, a ustalenie człowieka wymaga sięgnięcia do zewnętrznych rejestrów, do których podmiot przetwarzający zwykle nie ma dostępu, co ma wyłączać zastosowanie RODO [4][7][6].
W efekcie mamy dwie przeciwstawne linie: organ nadzorczy opowiadający się za szerszą ochroną oraz część orzecznictwa administracyjnego podkreślająca przedmiotowy charakter numeru i konieczność odniesienia do dodatkowych zasobów danych [3][4][5][6].
Jakie jest stanowisko UODO?
Prezes Urzędu Ochrony Danych Osobowych konsekwentnie uznaje, że numery rejestracyjne są danymi osobowymi, ponieważ umożliwiają pośrednią identyfikację właściciela lub użytkownika pojazdu. Pogląd ten dotyczy w szczególności systemów i procesów, w których numer służy do rozpoznawania pojazdów i wiązania ich z użytkownikiem [3][8][9].
W ocenie organu wykorzystanie numeru w infrastrukturze cyfrowej i fizycznej, na przykład w rozwiązaniach automatyzujących obsługę ruchu, prowadzi do realnej identyfikacji i tym samym do zastosowania obowiązków RODO po stronie administratorów i podmiotów przetwarzających [3][8][9][10].
Co mówią sądy administracyjne?
Część orzeczeń sądów administracyjnych przyjmuje, że zwykła tablica rejestracyjna identyfikuje pojazd, a nie osobę, ponieważ powiązanie numeru z właścicielem wymaga sięgnięcia do rejestrów państwowych, do których dostęp jest ograniczony. W takim ujęciu sam numer, w rękach przeciętnego podmiotu, nie będzie jeszcze danymi osobowymi [4][5][6].
Ten kierunek orzeczniczy akcentuje rozdział między informacją o rzeczy a informacją o człowieku oraz konieczność wykazania, że administrator rzeczywiście posiada lub może bez nadmiernego wysiłku uzyskać dodatkowe dane pozwalające na identyfikację osoby fizycznej [5][6].
Jak kontekst wpływa na ocenę?
To samo oznaczenie może, ale nie musi być danymi osobowymi, ponieważ decyduje kontekst oraz dostępność dodatkowych informacji. Jeżeli realne jest połączenie numeru z konkretną osobą przy użyciu środków pozostających w zasięgu administratora, ochrona RODO znajduje zastosowanie. Gdy taka możliwość jest czysto hipotetyczna, ocena może być odmienna [1][2].
Kontekst obejmuje zarówno rolę podmiotu przetwarzającego, jak i zasoby organizacyjne oraz techniczne, którymi dysponuje. W praktyce oznacza to, że ten sam numer może być daną osobową u jednego administratora, a u innego nie, zależnie od możliwości identyfikacji i celów przetwarzania [3][1][2].
Jak przebiega proces identyfikacji w praktyce?
Zwykle numer na tablicy rejestracyjnej wskazuje na pojazd. Jednak już samo zestawienie tego numeru z rejestrami państwowymi, bazami wewnętrznymi albo innymi zbiorami informacji może prowadzić do ustalenia właściciela lub użytkownika, co przesuwa kwalifikację w stronę danych osobowych [3][5].
RODO nie wymaga, aby identyfikacja zachodziła natychmiast. Wystarczy, że jest realna i możliwa przy użyciu rozsądnie dostępnych środków, co odzwierciedla mechanizm ochrony oparty na kryterium identyfikowalności osoby, a nie na naturze nośnika informacji [1][2].
Jakie czynniki decydują o ocenie administratora?
Analiza powinna obejmować charakter danych, praktyczną możliwość identyfikacji, rolę administratora i dostęp do rejestrów, a także cel i skalę przetwarzania. Te elementy współdecydują o tym, czy numer rejestracyjny podlega jako dane osobowe rygorom RODO w danym środowisku przetwarzania [3][1][5][2].
Najważniejszy jest wymóg dostępności dodatkowych danych. Jeżeli wyłącznie określone organy albo szczególni administratorzy mogą połączyć numer z tożsamością przez rejestry, część orzecznictwa skłania się do tezy, że sam numer, poza tym kontekstem, nie stanowi jeszcze danych osobowych [5][6].
Gdzie problem numerów rejestracyjnych jest najbardziej aktualny?
Największe znaczenie praktyczne spór o status numerów ma tam, gdzie infrastruktura systemowo wiąże identyfikator z użytkownikiem. Dotyczy to monitoringu i zarządzania ruchem na parkingach, automatycznej kontroli wjazdów oraz usług i aplikacji obsługujących mobilność i rozpoznawanie numerów [3][10].
W tych obszarach organy i praktyka podkreślają, że przetwarzanie numerów rejestracyjnych często przybiera postać operacji na danych osobowych, ponieważ systemy służą przypisaniu pojazdu do osoby, co uruchamia obowiązki zgodności z RODO po stronie administratora [3][10].
Jak łączyć RODO z innymi podstawami ochrony prywatności?
Nawet jeżeli w danym, wąskim ujęciu numer rejestracyjny nie zostanie zakwalifikowany jako dane osobowe, nie wyłącza to zastosowania innych reżimów ochrony, w tym zasad dotyczących prywatności i dóbr osobistych. Ocenie podlega wtedy między innymi zakres ujawnienia informacji oraz możliwość wywołania identyfikacji pośredniej w szerszym kontekście społecznym [5][6].
W praktyce prowadzi to do zalecenia ostrożności przy publicznym ujawnianiu oznaczeń pojazdów w treściach upowszechnianych w sieci i mediach, ponieważ sposób prezentacji i zestawienia informacji może zwiększać ryzyko identyfikacji osoby oraz odpowiedzialności prawnej podmiotu publikującego [7][9].
Jakie wnioski praktyczne dla stron przetwarzających?
Administratorzy i podmioty przetwarzające powinni przyjąć, że numery rejestracyjne mogą stanowić dane osobowe, zwłaszcza gdy system operuje nimi w celu powiązania z użytkownikiem albo właścicielem. W takiej sytuacji wymagane są podstawy prawne, minimalizacja zakresu, ograniczenie celu, adekwatne okresy przechowywania oraz zapewnienie praw osób, których dane dotyczą [3][8][1][2].
Tam, gdzie numer pełni wyłącznie funkcję identyfikatora rzeczy i nie istnieje realny dostęp do dodatkowych informacji o osobie, część orzecznictwa dopuszcza węższą kwalifikację. Ocena ryzyka powinna jednak pozostać ostrożna i uwzględniać to, że różne role administratorów i różne środowiska technologiczne mogą łatwo przesunąć kwalifikację w stronę danych osobowych [4][5][6].
Podsumowanie
Tablica rejestracyjna podpada pod RODO wtedy, gdy numer pozwala zidentyfikować osobę bezpośrednio lub pośrednio, co wynika z ogólnej definicji danych osobowych opartej na kryterium identyfikowalności. UODO przyjmuje ujęcie szerokie, obejmujące w szczególności rozwiązania, w których numer łączy się z użytkownikiem. Część sądów administracyjnych uznaje natomiast, że standardowy numer opisuje pojazd, a nie człowieka, chyba że administrator ma realny dostęp do dodatkowych danych. Ostateczna kwalifikacja zależy od kontekstu, celu, roli administratora oraz dostępności rejestrów i innych zasobów, które umożliwiają przypisanie numeru do osoby [1][2][3][4][8][9][5][6][10][7].
Wykorzystane materiały
- https://www.cnil.fr/en/sheet-ndeg1-identify-personal-data
- https://gdpr.eu/eu-gdpr-personal-data/
- https://uodo.gov.pl/file/4248
- https://journals.umcs.pl/g/article/view/16368
- https://czasopismo.legeartis.org/2022/11/tresc-tablicy-rejestracyjnej-samochodu-identyfikacja-tozsamosci-osoby-fizycznej-wyrok-nsa/
- https://panoptykon.org/wiadomosc/niebezpieczny-wyrok-nsa-w-sprawie-tablic-rejestracyjnych
- https://www.gazetaprawna.pl/prawnik/orzecznictwo/artykuly/10966680,numer-rejestracyjny-tablica-pojazd-dane-osobowe-nsa-prywatnosc.html
- https://uodo.gov.pl/pl/file/4249
- https://moto.pl/MotoPL/7,88389,27134682,czy-tablice-rejestracyjne-to-dane-osobowe.html
- https://www.wemolo.com/en-de/post/license-plate-recognition-and-data-protection
CyberThreat.pl to zespół pasjonatów i ekspertów cyberbezpieczeństwa, którzy przekładają skomplikowane zagadnienia na praktyczne porady i rzetelne analizy. Wierzymy, że wiedza i świadomość to najlepsza ochrona przed zagrożeniami cyfrowego świata. Nasze treści tworzymy z myślą o wszystkich użytkownikach internetu, dbając o wiarygodność, przejrzystość oraz edukację. CyberThreat.pl – szyfrujemy Twoją ciekawość!