„Przecież sam numer to tylko dziewięć cyfr, żadne dane osobowe”. To zdanie pada często, zwykle z ust firm, które właśnie zadzwoniły z ofertą. Prawda wygląda inaczej: w większości sytuacji numer telefonu podlega RODO w pełnym zakresie, ze wszystkimi konsekwencjami dla dzwoniących i przyjemnymi skutkami dla Ciebie.
Co mówi RODO
Definicja z art. 4 pkt 1 RODO obejmuje wszystkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Kluczowe jest słowo „możliwej”: numer nie musi być podpisany imieniem i nazwiskiem, wystarczy, że rozsądnymi środkami da się ustalić, do kogo należy. Operator wie, na kogo zarejestrowano kartę SIM (od 2016 roku rejestracja jest w Polsce obowiązkowa), numer bywa powiązany z kontem bankowym, profilem na Facebooku czy ogłoszeniem na OLX. Dlatego prywatny numer komórkowy jest daną osobową praktycznie zawsze.
Wyjątki dotyczą numerów, których nie da się przypisać do konkretnego człowieka: centrala spółki, ogólna infolinia, numer techniczny automatu. Informacja „infolinia banku ma numer 800 xxx xxx” nie mówi nic o żadnej osobie fizycznej. Granica bywa jednak cienka, co widać na numerach służbowych, o których niżej.
Co z tego wynika w praktyce
Skoro numer to dane osobowe, każda firma, która go zbiera i wykorzystuje, musi mieć do tego podstawę prawną: umowę, obowiązek prawny, uzasadniony interes albo Twoją zgodę. Na telefon z ofertą handlową potrzebuje dodatkowo osobnej zgody na marketing bezpośredni, czego od listopada 2024 roku wymaga art. 398 Prawa komunikacji elektronicznej (wcześniej art. 172 Prawa telekomunikacyjnego). Brak takiej zgody oznacza, że telemarketer łamie prawo już samym wybraniem Twojego numeru; jak to działa od kuchni, opisujemy w tekście skąd telemarketer ma mój numer.
Z tej samej kwalifikacji wynikają Twoje uprawnienia. Możesz zapytać firmę, skąd ma Twój numer i po co go przetwarza (art. 15 RODO), sprostować dane, ograniczyć przetwarzanie i zażądać usunięcia numeru z bazy (art. 17 RODO). Firma ma miesiąc na odpowiedź. Milczenie albo wykręty uzasadniają skargę do Prezesa UODO, którą składa się bezpłatnie przez uodo.gov.pl. Ten sam mechanizm pomaga przy telefonach od windykacji w cudzej sprawie, co pokazujemy w poradniku o windykacji dzwoniącej o nie Twój dług.
Numer prywatny, służbowy i firmowy
Numer prywatnej komórki: dane osobowe, pełna ochrona RODO. Numer jednoosobowej działalności gospodarczej: również dane osobowe, bo firma to konkretny człowiek; publikacja w CEIDG nie odbiera numerowi ochrony, choć przedsiębiorca musi liczyć się z kontaktem w sprawach firmowych. Numer służbowy pracownika (imienny telefon handlowca) także identyfikuje osobę, więc RODO stosuje się i tutaj. Poza definicją zostaje w zasadzie tylko numer, za którym nie stoi żadna konkretna osoba: ogólna infolinia czy automat IVR.
Podobne wątpliwości budzi numer PESEL, który wiele osób nazywa daną wrażliwą. RODO klasyfikuje go inaczej, a różnicę tłumaczymy w tekście o tym, co oznacza numer PESEL i czy jest daną wrażliwą.
Wyciek numeru i publikowanie cudzych numerów
Skoro numer to dane osobowe, jego wyciek podlega przepisom o naruszeniach: firma musi ocenić ryzyko, a przy poważnym naruszeniu zawiadomić Ciebie i UODO w 72 godziny. Praktyczne kroki po wycieku, od rezerw ostrożności po zastrzeżenie PESEL, zebraliśmy w poradniku czy mój numer wyciekł.
Publikowanie cudzego prywatnego numeru bez zgody, na przykład w ogłoszeniu „zadzwoń do tego pana”, narusza przepisy o ochronie danych i dobra osobiste; poszkodowany może żądać usunięcia wpisu i zadośćuczynienia. Serwisy takie jak nasz działają na innej zasadzie: komentarze dotyczą aktywności numeru (spam, windykacja, telemarketing), a moderacja usuwa z nich dane pozwalające zidentyfikować osobę prywatną.
Najczęściej zadawane pytania
Czy sam numer telefonu, bez imienia i nazwiska, to już dane osobowe?
Zwykle tak. RODO wymaga jedynie, by osoba była możliwa do zidentyfikowania, a numer prywatny prawie zawsze da się powiązać z człowiekiem: przez rejestr kart SIM u operatora, konto w banku czy media społecznościowe. Anonimowość dziewięciu cyfr jest pozorna.
Jak zmusić firmę do usunięcia mojego numeru z bazy?
Wyślij żądanie usunięcia danych na podstawie art. 17 RODO, najlepiej mailem, żeby mieć dowód. Firma ma miesiąc na realizację i odpowiedź. Jeśli dalej dzwoni albo milczy, złóż bezpłatną skargę do Prezesa UODO przez uodo.gov.pl i zbieraj dowody kolejnych połączeń.
Czy mogę podać czyjś numer, na przykład hydraulika, znajomemu?
Prywatne, okazjonalne przekazanie numeru mieści się w wyjątku domowym RODO i nie wymaga formalności. Co innego publikacja numeru w internecie albo dopisanie go do firmowej bazy marketingowej: tu przepisy działają w pełni i potrzebna jest podstawa prawna, najczęściej zgoda właściciela numeru.
Numer służbowy w stopce maila też podlega RODO?
Tak, bo wskazuje konkretnego pracownika. Pracodawca może go udostępniać w celach kontaktu służbowego na podstawie uzasadnionego interesu, ale wykorzystanie tego numeru do masowego marketingu czy sprzedaż bazy kontaktów to już przetwarzanie wymagające własnej podstawy prawnej.
