29.06.2020

Czy dane na tablicy rejestracyjnej to dane osobowe?

W mediach pojawiają się sprzeczne informacje dot. danych zawartych na tablicy rejestracyjnej pojazdu. Niektóre źródła wykazują, że są to dane osobowe, inne wprost przeciwnie.

Dla zdecydowanej większości Administratorów Danych numery tablic rejestracyjnych pojazdów nie zawierają informacji, które pozwalają bezpośrednią lub pośrednią identyfikację osób fizycznych, tym samym nie spełniają one wymogów definicji danych osobowych zawartej w art. 4 pkt. 1 RODO. Przeznaczeniem tablic rejestracyjnych pojazdów jest generalnie identyfikacja tych pojazdów, a nie osób, które je posiadają lub użytkują. 

Dla przypomnienia – w kwietniu i maju 2020 r w kilkunastu portalach prawnych pojawiły się publikacje sugerujące istotną zmianę stanowiska Urzędu Ochrony Danych Osobowych w tej kwestii.  Ich autorzy przywoływali wybrane fragmenty opinii Prezesa Urzędu Ochrony Danych Osobowych z dnia 11 lutego 2020 r. przesłanej do Rządowego Centrum Legislacji w ramach procesu legislacyjnego – nowelizacji ustawy prawo o ruchu drogowym. W szczególności posługiwano się przy tym następującym cytatem: 

„Projektowana regulacja dotyczy tablic rejestracyjnych stanowiących daną osobową właściciela pojazdu. Jest to bowiem informacja, za pośrednictwem której możliwe jest zidentyfikowanie - w sposób pośredni - osoby fizycznej, będącej właścicielem pojazdu.” 

Na tej podstawie autorzy publikacji wywodzili zmianę stanowiska UODO w przedmiocie uznania tablic rejestracyjnych za dane osobowe. Przy ocenie znaczenia tego zdania, istotny jest jednak kontekst, w jakim zostało ono sformułowane. Przede wszystkim Prezes UODO w swojej korespondencji do RCL podkreślił, że: 

• projekt nowelizacji ustawy prawo o ruchu drogowym z 21 maja 2019 pomimo obowiązku jego przedłożenia przez projektodawcę (Ministerstwo Infrastruktury oraz Ministerstwo Cyfryzacji), nie został przedstawiony do zaopiniowania organowi nadzorczemu (UODO) na wcześniejszych etapach prac, tym samym na końcowym etapie – Komisji Prawniczej, na którą UODO zostało w lutym 2020 zaproszone, nie była już możliwa dyskusja co do meritum projektu.
• uzasadniając konieczność uzyskania wcześniejszej opinii organu nadzorczego, Prezes UODO wskazał, że projektowana ustawa o zmianie ustawy – Prawo o ruchu drogowym oraz niektórych innych ustaw zawiera szereg rozwiązań dotyczących przetwarzania danych osobowych, gdyż:

„Projektowana regulacja dotyczy tablic rejestracyjnych stanowiących danę osobową właściciela pojazdu. Jest to bowiem informacja, za pośrednictwem której możliwe jest zidentyfikowanie – w sposób pośredni – osoby fizycznej, będącej właścicielem pojazdu. Centralna Ewidencja Pojazdów (CEP), której funkcjonowania również dotyczy projekt – jako wielkoskalowy rejestr publiczny – jest przedmiotem szczególnego zainteresowania organu nadzorczego.”

• projektodawcy nie przeprowadzili uprzednio wymaganej dla tego typu projektów aktów prawnych analizy oceny skutków dla ochrony danych. Konieczność sporządzenia takiej oceny wynika wprost z art. 35 ust. 1 RODO – jeżeli dany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator przed rozpoczęciem przetwarzania dokonuje oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych. W przypadku baz wielkoskalowych oraz łączenia danych z różnych rejestrów na konieczność przeprowadzenia w/w oceny wskazują także pkt 7 i 8 załącznika do komunikatu Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony (M. P. z 2019 r., poz. 666) oraz w przypadku operacji przetwarzania o dużej skali również motyw 91 RODO.

Reasumując – Prezes Urzędu Ochrony Danych Osobowych nie wypowiadał się w swojej korespondencji z 11 lutego 2020 r. na temat tego, czy tablice rejestracyjne są samodzielnie danymi osobowymi, a jedynie m.in. na ich przykładzie wykazywał, że oceniana regulacja odnosi się w swej treści do przetwarzania danych osobowych.  

Tablice rejestracyjne mogą wprawdzie w określonych szczególnych okolicznościach być podstawą do identyfikacji osób fizycznych, dzieje się to jednak tylko wówczas, gdy podmiot je przetwarzający  (np. uprawnione służby i organy administracji publicznej) ma dostęp do bazy danych zawierającej zarówno dane pojazdów, jak i ich właścicieli (np. system CEPiK).  W oparciu o zapisane w bazie „imienne” dane można bez problemu taką identyfikację przeprowadzać. Należy przy tym dodatkowo pamiętać, że oprócz osób fizycznych właścicielami pojazdów są także osoby prawne, których dane nie podlegają regulacjom RODO. 

W przypadku pozostałych Administratorów Danych nieposiadających tego typu uprawnień – tablica rejestracyjna – zgodnie z dotychczasowym orzecznictwem sądów administracyjnych, nie powinna być traktowana jako dana osobowa, gdyż umożliwia ona jedynie identyfikację pojazdu, nie osoby fizycznej.  Identycznie sytuacja wyglądać będzie w przypadku zbiorów zawierających wyłącznie numer telefonu, czy też adres pocztowy, nie połączone z innymi bazami danych umożliwiającymi identyfikację osoby fizycznej. 

Pełny tekst opinii Prezesa UODO dostępny jest pod linkiem:

https://legislacja.rcl.gov.pl/docs//2/12321771/12592146/dokument438360.pdf