Zagadnął mnie P.T. Czytelnik czy będzie komentarz do wczorajszego głośnego wyroku NSA, w myśl którego numery rejestracyjne pojazdów nie są danymi osobowymi, więc można je przetwarzać w związku z pobieraniem opłat za miejsca parkingowe. Miało nie być, bo — odkąd orzeczenia są publikowane w sieci — oduczyłem się komentowania w ciemno, tj. bez lektury materiału źródłowego (i wręcz mnie drażni medialny obyczaj pisania o poważnych sprawach na podstawie zasłyszanych, często przekręconych, opinii) — ale cóż, vox Populi vox Dei.
Toteż dziś na tutejszych łamach będzie kilka zdań o tym dlaczego ja też uważam, że numer rejestracyjny samochodu nie stanowi danych osobowych — łopatologicznie, w punktach:
- dla przypomnienia: dwa lata temu sąd uznał, że „numer rejestracyjny pojazdu może prowadzić do identyfikacji osoby, a zatem stanowi on dane osobowe” (w rozumieniu art. 6 d.uoodo), bo straż miejska potrafi w prosty sposób ustalić tożsamość kierowcy na podstawie danych z CEPiK, zarazem nie zachodzi żadna ustawowa przesłanka przetwarzania danych osobowych — bo płatne parkowanie nie jest umową, lecz jest daniną publiczną wynikającą z ustawy, brak też niezbędności w przetwarzaniu takiego rodzaju danych (owej niezbędności nie można łączyć z koniecznością nałożenia sankcji za brak biletu parkingowego), zatem nałożenie takiego obowiązku stanowi ograniczenie autonomii informacyjnej (wyrok WSA w Warszawie z 13 kwietnia 2017 r., VII SA/Wa 1069/16);
- zacznijmy od najłatwiejszego: numer rejestracyjny pojazdu nie służy do oznaczenia osoby fizycznej — tablicami oznacza się wyłącznie pojazdy, które mogą mieć różnych użytkowników, właścicielem auta nie musi być osoba fizyczna (a osoby prawne nie mają danych osobowych), numer rejestracyjny nie odnosi się do tożsamości kierującego (bo gdyby tak było nie byłoby hopsztosów z odpowiedzialnością za odmowę podania imienia i nazwiska osoby, której się auto udostępniło), a przecież jest jeszcze leasing i wypożyczalnie, etc. etc.;
- jeśli ktoś nie wierzy: w życiu miałem kilka aut i tak się składa, że kupując używane czasem musiałem wyrobić nowe blachy, a czasem jeździłem na numerach poprzedniego właściciela, podobnie było po sprzedaży wspaniałego Audi; ba, tablice trzeba zmienić czasem po przeprowadzce — skoro więc jeden człowiek może mieć kilka różnych tablic na jednym aucie, a jedno auto może mieć takie same numery, chociaż ma kilku różnych właścicieli, to ja bym się w nich danych osobowych nie doszukiwał;
- a może chodzi o RODO? wprawdzie zaskarżona uchwała jest z 2008 r., skargę wniesiono 8 lat później, wyrok WSA też jest sprzed RODO… Moim zdaniem chociaż nie mamy już art. 6 ust. 3 d.uoodo, trudno uznać RODO za jakąkolwiek „rewolucję”, nadal ustalenie czy określone dane mogą posłużyć do identyfikacji osoby fizycznej wymaga by „wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do jej zidentyfikowania” (ale też należy „uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny”, motyw 26);
- z mojej perspektywy to załatwia sprawę: nie mam sposobu na ustalenie tożsamości osoby fizycznej (kogo — właściciela? kierowcy?) nawet jeśli skrzętnie zapiszę sobie numery wszystkich przejeżdżających pojazdów (i nie wydaje mi się, żeby były publicznie dostępne narzędzia do takiej rozkminki — to nie księgi wieczyste);
- z perspektywy straży miejskiej lub policji sprawa też jest łatwa do ogarnięcia: blacharnia potrafi ustalić dane osobowe właściciela na podstawie blach — ale przecież chociaż są monitoringi i zdjęcia biometryczne, nie umieją sobie określić czyją fizys uchwycił fotoradar;
- a może trafne będzie takie oto porównanie: przed RODO adres IP niekoniecznie był traktowany jako dane osobowe (por. „Czy adres IP to dane osobowe?” oraz wyrok TSUE C-582/14), ale po RODO mamy już jasność, że przypisywane przez usługodawców identyfikatory internetowe (np. adresy IP, cookies, etykiety RFID) danymi osobowymi są — więc analogicznie należałoby patrzeć na tablice rejestracyjne zamontowane na pojazdach?
- otóż oczywiście, że nie, a różnica polega na tym, że adres IP czy ciastka służą do rozpoznania naszej aktywności w internecie, do profilowania nas — możliwości i zagrożenia dla prywatności wynikające z przetwarzania danych pozostawionych w sieci rosną wykładniczo, zaś numery rejestracyjne generalnie są jakie były;
- jeśli jednak przyjąć, że NSA się pomylił, że numer rejestracyjny pojazdu jest daną osobową — zwracam uwagę, że nie jest tak, że ich przetwarzanie jest zabronione, a przesłanki przetwarzania są różne;
- gmina twierdzi, że musi żądać wpisywania numerów na bilety parkingowe, bo w przeciwnym razie ludzie składaliby fałszywe reklamacje („wpadł mi pod fotel, cały czas miałem”), bez trwałego oznaczenia danych pojazdu nie byłaby możliwa ocena czy właśnie ten pojazd miał opłacony postój — jeśli nawet nie jest to umowa (art. 6 ust. 1 lit. b RODO), to ja tu widzę niezbędność przetwarzania w interesie publicznym lub w ramach sprawowania władzy publicznej (art. 6 ust. 1 lit. e RODO);
- a zresztą, ja tak łatwo zdania nie zmieniam: gdyby numer rejestracyjny był daną osobową, mógłby być problem ze stosowaniem kamerek samochodowych (pomijam dywagacje związane z tym czy kamerka w aucie jest „czysto osobistym lub domowym” przetwarzaniem danych), podobnie jak publikowanie na Fejsbóku zdjęć nieprawidłowo zaparkowanych aut (co ma stanowić przestępstwo pomówienia, LOL) — z czym się oczywiście nie zgadzam.
Q.E.D.
PS gwoli precyzji: wyrok NSA z 28 czerwca 2019 r. (I OSK 2063/17).