A skoro niedawno było o tym, że numer telefonu naprawdę nie może być zaliczany do danych osobowych, dziś czas na kilka słów o tym, czy operator telefonii komórkowej może przetwarzać dane niedoszłego klienta, po omyłkowym rozpoczęciu procedury przeniesienia numeru do jego sieci? Jeśli abonent takiego wniosku nie składał, ale „przejmująca” go firma zaczęła mu wysyłać esemesy reklamowe — więc całkiem możliwe, że pojawią się jakieś roszczenia? Czy jednak stanowi to przetwarzanie danych osobowych „na zapas” — czyli działanie niedopuszczalne na gruncie RODO? (wyrok Naczelnego Sądu Administracyjnego z 7 maja 2026 r., III OSK 2022/24).
opis stanu faktycznego:
- sprawa zaczęła się od otrzymanego przez abonentkę esemesa z informacją o nieudanym przeniesieniu numeru telefonu komórkowego do innej sieci;
- (dla nieczujących problemu: procedura MNP polega na tym, że użytkownik składa wniosek o przeniesienie swojego numeru do wybranego, nowego operatora, który komunikuje się i załatwia sprawę bezpośrednio z firmą „macierzystą”, acz poprzez specjalny system zarządzany przez UKE);
- kobieta nie składała takiego wniosku, więc poprosiła swojego operatora („dawcę”) o wyjaśnienie problemu; okazało się, że otrzymany wniosek został anulowany ze względu na błędne dane osobowe — zgadzał się tylko numer telefonu; natomiast „biorca” wysłał wiadomość, iż oczekuje na poprawiony wniosek do określonej daty, po czym za numer tymczasowy będzie naliczał opłaty w/g warunków oferty podstawowej;
art. 325 ust. 1 prawa komunikacji elektronicznej
Abonent będący stroną umowy z dostawcą usługi komunikacji głosowej, w której przydzielany jest abonentowi numer z planu numeracji krajowej dla publicznych sieci telekomunikacyjnych, może żądać przy zmianie dostawcy usługi komunikacji głosowej przeniesienia przydzielonego numeru do istniejącej sieci operatora na:
1) obszarze geograficznym – w przypadku numerów geograficznych;
2) terenie całego kraju – w przypadku numerów niegeograficznych.
art. 6 ust. 1 lit f RODO
Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
- zatem abonentka wniosła do PUODO skargę na oba telekomy: „dawcy” zarzuciła bezprawne udostępnienie danych osobowych w postaci numeru telefonu — „biorca” miał dopuścić się przetwarzania danych osobowych bez jej zgody i bez wykonania obowiązku informacyjnego, bezprawnie przetwarzał dane w celach marketingowych (wysyłał na jej „stary” numer esemesy z ofertami), jak też mimo wyraźnego żądania odmówił usunięcia danych;
- stanowisko „biorcy” było następujące: dane związane z zakończoną procedurą MNP zostały usunięte, numer przeniesiony nie zostanie, jakiekolwiek roszczenia majątkowe lub niemajątkowe uważa się za niebyłe — aczkolwiek dane pozyskane w związku z otrzymanymi reklamacjami będą przetwarzane przez następne 7 lat w celach dowodowych i archiwizacyjnych, ale też „ustalania, obrony i dochodzenia” roszczeń;
decyzja PUODO:
- „macierzysty” operator niewątpliwie żadnych danych „biorcy” nie udostępnił, lecz ograniczył się do zasygnalizowania, że dane przekazane w związku z rzekomym wnioskiem są nieprawidłowe, toteż w tym zakresie postępowanie podlega umorzeniu jako bezprzedmiotowe;
- natomiast „biorca” powinien dane usunąć, ponieważ hipotetyczne i teoretyczne roszczenia nie stanowią uzasadnionego interesu — zaś przetwarzanie dany z myślą, że mogą się przydać w przyszłości, to klasyczne przetwarzanie „na zapas”; niezależnie od tego termin przedawnienia roszczeń cywilnoprawnych nie może służyć jako ramy czasowe przetwarzania danych osobowych;
wyrok WSA:
- uzasadniony interes może także sprowadzać się do przetwarzania danych w związku z hipotetycznym sporem;
- uchylając decyzję PUODO sąd uznał, że skoro więc niedoszła klientka wciąż może operatora pozywać — operator musi mieć zapewnione prawo do obrony, a więc może nadal jej dane w tym zakresie przetwarzać, i to aż do upływu okresu przedawnienia (wyrok WSA w Warszawie z 26 kwietnia 2024 r., II SA/Wa 1645/23);
wyrok NSA:
- odmiennie rzecz ocenił NSA: ewentualne dochodzenie lub odparcie nieistniejących roszczeń nie może być traktowane jako usprawiedliwiony cel przetwarzania danych osobowych w rozumieniu art. 6 ust. 1 lit f RODO;
- skoro więc do pozyskania danych kobiety doszło przez pomyłkę, ma ona prawo nie tylko do żądania usunięcia jej danych personalnych związanych z procesem przenoszenia numeru do nowego operatora, ale też do usunięcia wszystkich danych…
Niedopuszczalne jest przetwarzanie danych osobowych „na zapas”, z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń.
- …a jeśli administrator uważa inaczej, to w toku postępowania powinien był wykazać jakich potencjalnych roszczeń mogłaby dochodzić osoba, której dane osobowe zostały bezpodstawnie pozyskane, a następnie skasowane;
- jednakże sama w sobie możliwość wytoczenia powództwa przez osobę, z którą nie zawarto umowy, nie czyni przetwarzania jej danych niezbędnym (por. wyrok NSA z 10 lipca 2025 r., III OSK 1594/22).
Zamiast komentarza: nie potrafię zmienić krytycznego stanowiska wobec poglądów NSA. Proszę bardzo: skoro niedoszła klientka wniosła skargę na przetwarzanie do PUODO, już w tym momencie ziściła się przesłanka w postaci konieczności obrony interesów w postępowaniu administracyjnym; skoro każdy może wytaczać powództwo w związku z wyrządzoną w ten sposób szkodą (albo i bez związku), to administrator musi mieć możność odpierania owych roszczeń.