Czy numer telefonu to dane osobowe? Wyjaśniamy kwestie prawne

Odpowiedź na pytanie, czy numer telefonu jest daną osobową, nie jest jednoznaczna i silnie zależy od kontekstu jego przetwarzania. Choć w wielu sytuacjach stanowi on informację umożliwiającą identyfikację, najnowsze orzecznictwo sądowe wskazuje, że sam ciąg cyfr, bez dodatkowych danych, może nie podlegać rygorom RODO. W artykule analizujemy tę rozbieżność, aby wyjaśnić wszystkie prawne zawiłości.

Czym są dane osobowe w rozumieniu przepisów?

Fundamentem każdej analizy jest definicja zawarta w artykule 4 punkt 1 ogólnego rozporządzenia o ochronie danych. Zgodnie z jego literalnym brzmieniem, za dane osobowe uznaje się wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Możliwość identyfikacji może mieć charakter bezpośredni, na przykład przez imię i nazwisko, lub pośredni.

Przepis ten wymienia katalog przykładowych identyfikatorów. Należą do nich między innymi numer identyfikacyjny, dane o lokalizacji czy identyfikator internetowy. Co jednak najważniejsze, definicja ta od początku zakłada, że ta sama informacja w różnych okolicznościach może być traktowana odmiennie. Wszystko zależy od tego, czy administrator dysponuje narzędziami, które realnie pozwalają mu przypisać ją do konkretnego człowieka.

W praktyce oznacza to, że jeśli zestawimy numer telefonu z imieniem i nazwiskiem, nie mamy wątpliwości co do charakteru takiego zbioru. Problem pojawia się, gdy podmiot przetwarza wyłącznie jeden, wyizolowany ciąg cyfr. Ocena jego statusu prawnego wymaga wówczas znacznie głębszej analizy konkretnego przypadku.

Stanowisko organu nadzorczego wobec numeru telefonu

Prezes Urzędu Ochrony Danych Osobowych przez lata prezentował w tej sprawie konsekwentne, ostrożnościowe stanowisko. W oficjalnym dokumencie zatytułowanym „Przegląd stanowisk UODO i orzecznictwa krajowego w zakresie pojęcia danych osobowych” organ wyraźnie stwierdza, że numer telefonu jest informacją umożliwiającą bezpośredni kontakt z określoną osobą. Samo ustalenie jej tożsamości nie wymaga przy tym nadmiernych kosztów, czasu ani działań. W związku z tym PUODO uznaje go za daną osobową w rozumieniu rozporządzenia 2016/679.

Takie podejście opiera się na założeniu, że sama możliwość skontaktowania się z kimś jest pierwszym krokiem do jego identyfikacji. Już wcześniej podobne zdanie wyrażał Generalny Inspektor Ochrony Danych Osobowych, wskazując, że pojedynczy numer pozwala na nawiązanie bezpośredniej relacji, a argument ten powielany jest w wielu decyzjach administracyjnych. Podejście to minimalizuje ryzyko naruszeń i buduje kulturę organizacyjną zorientowaną na ochronę prywatności.

Jak kwestię identyfikacji oceniają sądy administracyjne?

Linia orzecznicza sądów wprowadziła do tej dyskusji istotne niuanse. Przełomowe znaczenie miał wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 25 listopada 2022 roku. Sąd uznał w nim, że numer telefonu może stanowić daną osobową, ale wyłącznie w sytuacji, gdy jego dysponent posiada także inne informacje, takie jak imię i nazwisko, adres zamieszkania czy numer PESEL. Samego ciągu cyfr nie można automatycznie traktować jako danych umożliwiających identyfikację konkretnej osoby fizycznej.

Stanowisko to podtrzymał później Naczelny Sąd Administracyjny w orzeczeniu ze stycznia 2026 roku, dotyczącym spółki prowadzącej telemarketing. W tej sprawie firma korzystała z zakupionej bazy numerów telefonów, nie mając do nich żadnych dodatkowych informacji. NSA stwierdził, że w takich okolicznościach numer nie pozwala na zidentyfikowanie abonenta, a identyfikacja nie może nastąpić dopiero na skutek samoidentyfikacji osoby, która odbierze połączenie. Sąd podkreślił, że jeśli dzwoniący nie dysponuje innymi danymi, nie dochodzi do przetwarzania danych osobowych.

Nie oznacza to jednak pełnej dowolności. W zupełnie innym stanie faktycznym, Wojewódzki Sąd Administracyjny we Wrocławiu w wyroku z 27 marca 2024 roku podtrzymał decyzję nakładającą karę na przedsiębiorcę. Sprawa dotyczyła byłej menedżerki domu weselnego, której prywatny numer telefonu wciąż widniał na stronie internetowej przedsiębiorcy mimo cofnięcia zgody. Tutaj kontekst był oczywisty – administrator miał pełną wiedzę, kim jest abonent, a numer był bezpośrednio powiązany z prowadzoną działalnością.

Powyższe orzeczenia wyraźnie pokazują, że sednem sporu jest różnica między informacją, która umożliwia dopiero weryfikację tożsamości, a taką, która już ją zawiera. Trend ten, nazywany subiektywizacją danych osobowych, dostrzegają również eksperci. Profesor Grzegorz Sibiga zwraca uwagę, że uznanie określonych danych za osobowe coraz częściej wymaga ustalenia, co konkretny administrator realnie może zrobić, by zidentyfikować człowieka, a nie tylko czysto hipotetycznych możliwości.

Wpływ przepisów telekomunikacyjnych na działania marketingowe

Nawet jeśli w określonych przypadkach NSA nie uznaje numeru telefonu za daną osobową na gruncie RODO, nie oznacza to, że można dzwonić do kogokolwiek bez żadnych ograniczeń. Decydujące znaczenie ma tu artykuł 172 Prawa telekomunikacyjnego, który dotyczy używania telekomunikacyjnych urządzeń końcowych dla celów marketingu bezpośredniego. Przepis ten wprost zakazuje takich działań, chyba że abonent lub użytkownik końcowy uprzednio wyraził na to zgodę.

W tym wypadku nie mówimy już o abstrakcyjnej możliwości identyfikacji, ale o każdym użytkowniku końcowym, którym zawsze jest osoba fizyczna. Aby legalnie prowadzić kampanię telemarketingową, podmiot musi zatem dysponować uprzednią, dobrowolną zgodą marketingową na kontakt telefoniczny. Co więcej, zarówno podczas pozyskiwania zgody, jak i przy pierwszym kontakcie, ciąży na nim obowiązek informacyjny, wynikający już bezpośrednio z RODO. Brak tych podstaw może skutkować interwencją nie tylko Prezesa UODO, ale również Prezesa Urzędu Komunikacji Elektronicznej.

Przykład spółki telemarketingowej i „czarnej listy”

Praktyka firm call center pokazuje, jak bardzo te światy się przenikają. W przywoływanej sprawie z bazą numerów, spółka stosowała tzw. czarną listę numerów, by blokować ponowny kontakt z osobami, które nie wyraziły zainteresowania ofertą. Konsultant dopiero po uzyskaniu wstępnej zgody rozmówcy prosił o imię i nazwisko, a następnie odczytywał skróconą klauzulę informacyjną, której pełna wersja znajdowała się pod wskazanym linkiem. Takie działanie jest próbą pogodzenia efektywności sprzedaży z wymogami prawnymi.

Adwokat Paweł Litwiński zwraca jednak uwagę, że walka z uciążliwym telemarketingiem „na oślep” nie powinna odbywać się przez naciąganie definicji danych osobowych. Jego zdaniem właściwym regulatorem w tym zakresie jest UKE, który dysponuje odpowiednimi narzędziami do egzekwowania przepisów. Problem polega na tym, że w praktyce to właśnie Prezes UODO, działając aktywnie, częściej staje się pierwszą instancją, do której zgłaszają się sfrustrowani obywatele.

Jakie znaczenie ma to dla administratora w 2026 roku?

Wobec opisanych rozbieżności, administrator danych osobowych w 2026 roku stoi przed trudnym wyborem. Z jednej strony istnieje linia orzecznicza sądów administracyjnych, która zdaje się ograniczać stosowanie RODO do gołych numerów telefonów w bazach telemarketingowych. Z drugiej strony organ nadzorczy niezmiennie wymaga stosowania ostrożnościowego podejścia, zgodnie z którym każda informacja o możliwej do zidentyfikowania osobie powinna być chroniona.

Decydując się na przetwarzanie samych numerów bez dodatkowych identyfikatorów, należy udokumentować przeprowadzoną analizę ryzyka i wnioski płynące z określonego kontekstu. Taka dokumentacja, w tym rejestr czynności przetwarzania, będzie stanowiła dowód dochowania należytej staranności podczas ewentualnej kontroli. Przemilczenie problemu i brak jakiejkolwiek analizy może zostać ocenione negatywnie.

Co grozi za utratę kontroli nad publikowanymi danymi?

Przypadek domu weselnego z Wrocławia stanowi ostrzeżenie przed bagatelizowaniem problemów czysto technicznych. Firma utraciła dostęp do panelu administracyjnego swojej strony, a numer byłej pracownicy wciąż na niej widniał. Przedsiębiorca argumentował, że nie miał technicznej możliwości usunięcia danych. Zarówno UODO, jak i sąd, uznały jednak, że administrator musi zapewnić sobie pełną kontrolę nad infrastrukturą techniczną, a ewentualne przeszkody nie mogą zwalniać go z odpowiedzialności za realizację praw osoby, której dane dotyczą.

Dlatego w każdej organizacji należy wdrożyć procedury awaryjne na wypadek utraty dostępów, przechowywać kopie zapasowe i utrzymywać stały kontakt z zaufanymi specjalistami IT. Niezależnie od tego, czy mówimy o prywatnym numerze na firmowej witrynie, czy o danych w systemach centralnych obsługujących infolinie – brak kontroli nad nośnikiem zawsze obciąża administratora.

Jak przygotować się na kontrolę i zminimalizować ryzyko?

Praktyka pokazuje, że warto przyjąć kilka sprawdzonych rozwiązań organizacyjnych. Przede wszystkim regularny audyt zgodności z RODO pomaga wykryć punkty styku z danymi kontaktowymi. Kolejnym krokiem jest właściwe zabezpieczenie zgód, w tym zgody na wykorzystanie wizerunku czy też typowej zgody marketingowej. Działania te wzmacniają pozycję przedsiębiorcy w razie sporu.

Numer telefonu, jako unikalny „punkt kontaktowy”, może prowadzić do ustalenia tożsamości osoby. Sama możliwość wywarcia wpływu na konkretną osobę fizyczną – na przykład przez nawiązanie z nią połączenia – sprawia, że w wielu przypadkach stanowi on danę osobową.

Nie bez znaczenia pozostaje również szkolenie pracowników. Konsultanci infolinii powinni znać schemat realizacji obowiązku informacyjnego oraz wiedzieć, jak postępować z nagrywaniem rozmów telefonicznych. Świadomość zespołu, że systemy centralne obsługujące połączenia często zbierają równolegle dane o lokalizacji czy zapisują pliki cookie wcześniejszych interakcji, jest fundamentem bezpiecznego przetwarzania. W razie incydentów i naruszeń ochrony danych osobowych, kluczowa staje się szybka reakcja i zgłoszenie sprawy do właściwego organu.