Czy numer telefonu to dane osobowe? Wyjaśniamy kwestie prawne

Odpowiedź na to pytanie zależy od kontekstu, jednak dominująca interpretacja prawna wskazuje, że numer telefonu w większości przypadków stanowi danę osobową. Nawet jeśli sam ciąg cyfr nie wskazuje od razu imienia i nazwiska, to umożliwia on bezpośredni kontakt z konkretną osobą, co otwiera drogę do jej identyfikacji. Zapraszamy do lektury szczegółowej analizy przepisów i orzecznictwa.

Co na ten temat mówi RODO i organ nadzorczy?

Fundamentalne znaczenie ma definicja z art. 4 pkt. 1 RODO, która za danę osobową uznaje wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Możliwa do zidentyfikowania osoba to taka, którą można rozpoznać bezpośrednio lub pośrednio, w szczególności na podstawie identyfikatora takiego jak numer identyfikacyjny, dane o lokalizacji czy też jeden lub kilka szczególnych czynników określających jej tożsamość fizyczną, ekonomiczną lub społeczną. Z literalnego brzmienia tego przepisu nie wynika wprost, czy sam numer telefonu się w tej definicji mieści.

W tym miejscu kluczowego wyjaśnienia dostarcza stanowisko Prezesa Urzędu Ochrony Danych Osobowych, zawarte w dokumencie „Przegląd stanowisk UODO i orzecznictwa krajowego w zakresie pojęcia danych osobowych”. Organ stwierdza w nim wprost, że choć numer telefonu nie określa bezpośrednio tożsamości, jest informacją umożliwiającą bezpośredni kontakt z określoną osobą. Samo ustalenie jej tożsamości nie wymaga przy tym poniesienia nadmiernych kosztów, czasu lub działań. Już więc sama potencjalna możliwość skontaktowania się prowadzi do uznania go za danę osobową w rozumieniu RODO. Jest to podejście ostrożnościowe, rekomendowane przez wielu ekspertów.

Jak zmieniło się podejście sądów administracyjnych?

Wbrew jednoznacznemu stanowisku PUODO, w orzecznictwie Naczelnego Sądu Administracyjnego i wojewódzkich sądów administracyjnych widoczny jest istotny zwrot. Linia orzecznicza ewoluuje w kierunku subiektywizacji pojęcia danych osobowych. Oznacza to, że sądy zaczynają każdorazowo badać, czy w konkretnej sytuacji i przy zasobach, jakimi dysponuje administrator, identyfikacja osoby fizycznej jest w ogóle realna. W styczniu 2026 roku NSA, rozpatrując sprawę firmy prowadzącej marketing telefoniczny na podstawie zakupionych baz numerów, uznał, że sam numer telefonu nie pozwala na identyfikację konkretnej osoby.

Kluczowe w tym sporze jest rozróżnienie na informację umożliwiającą weryfikację tożsamości a informację o osobie możliwej do zidentyfikowania. Sąd argumentował, że jeżeli firma dysponuje wyłącznie ciągiem cyfr, bez imienia, nazwiska czy adresu, to do momentu samodzielnego przedstawienia się przez rozmówcę nie przetwarza danych osobowych. Tym samym, jak orzekł NSA w sprawie o sygnaturze III OSK 274/23, dana osobowa nie może powstać w wyniku samoidentyfikacji. Do identycznego wniosku doszedł wcześniej WSA w Warszawie w wyroku z 25 listopada 2022 r. (sygn. akt II SA/Wa 710/22), wskazując, że numer stanowi danę osobową dopiero w połączeniu z innymi informacjami, będącymi w posiadaniu dysponenta.

Kiedy potrzebne są dodatkowe informacje?

Z orzecznictwa jasno wynika, że decydujący staje się kontekst posiadania przez administratora zestawu danych dodatkowych. Mogą to być imię i nazwisko, adres zamieszkania, numer PESEL lub inne czynniki, które łącznie z numerem telefonu pozwalają na odróżnienie jednej osoby od drugiej. W takich sytuacjach numer telefonu staje się częścią większego zbioru i – jako element umożliwiający identyfikację – bezsprzecznie podlega reżimowi ochrony danych osobowych. Ta koncepcja była kluczowa w wyroku WSA z 22 grudnia 2022 r. (sygn. akt II SA/Wa 981/22).

Odwrotna sytuacja zachodzi, gdy baza danych zawiera wyłącznie numery. Firma dzwoniąca „na oślep” nie wie, z kim się połączy. Dopiero gdy rozmówca sam się przedstawi, dochodzi do pozyskania danych osobowych. Do tego momentu, według aktualnej linii sądowej, samo wykonanie połączenia na numer z anonimowej bazy nie jest przetwarzaniem danych chronionych RODO. Taka wykładnia ma bezpośredni wpływ na działalność firm telemarketingowych i obrót bazami danych.

Znaczenie wyroku dotyczącego adresu IP i e-maila

Trend subiektywizacji widoczny jest także w odniesieniu do innych identyfikatorów. W drugiej połowie 2025 roku NSA, w sprawie portalu iSecure, orzekł, że adresy IP i dane z plików cookie nie zawsze są danymi osobowymi. Sąd uznał, że ich kwalifikacja musi odbywać się ad casum, z uwzględnieniem m.in. tego, czy adres jest przypisany na stałe do konkretnego użytkownika. Podobny kierunek obrał WSA w Warszawie w styczniu w sprawie adresu e-mail, uznając, że organ nadzorczy musi w decyzji wykazać, że konkretny adres e-mail rzeczywiście pozwala na identyfikację osoby.

Te rozstrzygnięcia tworzą spójną, choć nieostrą jeszcze linię interpretacyjną. Wyrok TSUE z 2025 roku (C-413/23), stwierdzający że dane spseudonimizowane, nieodwracalnie pozbawione możliwości powiązania z osobą, nie są danymi osobowymi, wpisuje się w ten sam, europejski trend. Wszystko to sprawia, że odpowiedzialność za prawidłową kwalifikację danych w znacznym stopniu przerzucana jest na administratora, który musi szczegółowo analizować każdy proces przetwarzania.

Jak Prawo telekomunikacyjne reguluje kwestię numeru telefonu?

Niezależnie od sporu definicyjnego w RODO, numer telefonu podlega odrębnej i bardzo rygorystycznej regulacji, gdy jest wykorzystywany do marketingu bezpośredniego. Zgodnie z art. 172 Prawa telekomunikacyjnego, używanie telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących dla celów marketingu bezpośredniego jest zakazane, chyba że abonent lub użytkownik końcowy uprzednio wyraził na to zgodę. Przepis ten mówi o użytkowniku końcowym, a nie tylko o zidentyfikowanej osobie fizycznej. Oznacza to, że każdy numer ma swojego użytkownika, a do kontaktu marketingowego potrzeba jego uprzedniej zgody.

Praktyka pokazuje, że to właśnie Prezes Urzędu Komunikacji Elektronicznej (UKE) jest organem właściwym do walki z niechcianymi połączeniami. Eksperci zwracają uwagę na niedostateczną skuteczność egzekucji tych przepisów, co prowadzi do prób wykorzystywania w tym celu mechanizmów RODO i kierowania skarg do bardziej aktywnego PUODO. Mimo to, Prawo telekomunikacyjne nakłada na dzwoniącego obowiązek uzyskania zgody marketingowej, a jego naruszenie stanowi odrębne podstawy do pociągnięcia do odpowiedzialności.

Jakie znaczenie ma nagrywanie rozmów?

Osobnym zagadnieniem jest sytuacja, w której organizacja nagrywa rozmowy telefoniczne, co jest częste na infoliniach banków czy recepcji hoteli. Nawet jeśli w momencie wybierania połączenia operator nie zna tożsamości rozmówcy, systemy centralne zbierają dane o lokalizacji czy czasie połączenia, a sam głos stanowi dane biometryczne. W połączeniu z numerem telefonu, nagranie rozmowy tworzy bardzo bogaty zbiór danych osobowych. Dlatego standardem jest odtwarzanie na początku połączenia klauzuli informacyjnej o administratorze danych, celach przetwarzania i prawach osoby. Proces ten wymaga posiadania odpowiedniej podstawy prawnej, co pokazuje, że w tych konkretnych okolicznościach numer telefonu jest bezsprzecznie jednym z elementów podlegających pełnej ochronie.

Jakie działania profilaktyczne powinien podjąć administrator?

Opisana rozbieżność stanowisk między PUODO a NSA stawia administratorów w niełatwej sytuacji. Osąd, czy dany numer telefonu jest daną osobową, wymaga każdorazowej analizy ryzyka. W obliczu tej niepewności, podejście ostrożnościowe i traktowanie numeru telefonu jako danej osobowej jest zwyczajnie bezpieczniejsze. Pozwala to uniknąć zarzutu braku należytej staranności i chroni przed potencjalnymi sankcjami finansowymi. Decyzja administratora i tak odbije się na konieczności opracowania solidnej dokumentacji wewnętrznej.

Zaniedbanie tego obszaru i brak jakichkolwiek dowodów na analizę ryzyka może być negatywnie ocenione podczas ewentualnej kontroli. Odpowiednie udokumentowanie procesu decyzyjnego, nawet jeśli finalnie uznano numer za niebędący daną osobową w konkretnym przypadku, stanowi dowód rozliczalności. W praktyce oznacza to, że rekomendowanym standardem jest wdrożenie pełnego zakresu ochrony dla wszystkich numerów, którymi dana organizacja dysponuje.

Kontrola nad infrastrukturą techniczną

Istotnym praktycznym wnioskiem z orzecznictwa jest kwestia kontroli nad infrastrukturą, w której przechowywane są dane kontaktowe. Wyrok WSA we Wrocławiu z 27 marca 2024 r. (sygn. akt II SA/Wa 1378/23) w sprawie numeru telefonu byłej pracownicy unaocznił, że żadne problemy techniczne z dostępem do strony internetowej nie zwalniają administratora z odpowiedzialności za przetwarzanie danych. Przedsiębiorcy muszą zachować pełną kontrolę nad swoimi witrynami, zapewniając techniczną możliwość natychmiastowej realizacji praw osób, których dane dotyczą.

Brak dostępu do panelu administracyjnego z powodu konfliktu z byłym wykonawcą, utrata haseł czy niejasne umowy z podmiotami zewnętrznymi nie stanowią żadnego usprawiedliwienia. Administrator, decydując się na publikację jakichkolwiek danych kontaktowych, z góry bierze na siebie obowiązek dysponowania sprawnymi procedurami awaryjnymi. Zaleca się zatem wdrożenie następujących działań prewencyjnych:

• przeprowadzenie inwentaryzacji wszystkich stron internetowych i mediów społecznościowych pod kątem opublikowanych tam danych kontaktowych,
• dokładne udokumentowanie dostępów administracyjnych do każdego z systemów i przechowywanie ich w bezpiecznym miejscu,
• opracowanie ścieżki szybkiego reagowania na żądania usunięcia danych, w tym utrzymywanie kontaktu z zaufanym specjalistą IT,
• regularna weryfikacja ważności i zakresu wszystkich pozyskanych w przeszłości zgód na publikację danych kontaktowych.

Jak bronić się przed niechcianymi połączeniami?

Świadomość prawna społeczeństwa rośnie, co widać po zmniejszeniu się po 2018 roku skali nachalnego telemarketingu. Osoby odbierające niechciane telefony mają prawo pytać o źródło pochodzenia ich numeru i żądać realizacji obowiązku informacyjnego. W praktyce jednak, jak potwierdził NSA w sprawie III OSK 274/23, skarga do PUODO na samo przetwarzanie nagiego numeru telefonu może okazać się nieskuteczna. Jeżeli telemarketer dysponuje wyłącznie numerem z anonimowej bazy, to według tej linii orzeczniczej nie dochodzi do przetwarzania danych osobowych.

Skuteczniejszą drogą dochodzenia swoich praw w takich przypadkach może być zgłoszenie sprawy do Prezesa UKE, bazujące na naruszeniu art. 172 Prawa telekomunikacyjnego, który wymaga uprzedniej zgody na marketing telefoniczny. Problem polega jednak na tym, że egzekucja tych przepisów przez UKE jest w praktyce mało efektywna. To prowadzi do swoistej luki, w której uciążliwy telemarketing znajduje się na styku kompetencji dwóch organów, a osoba nękana telefonami może czuć się bezradna. Najlepszą profilaktyką pozostaje świadome ograniczanie liczby miejsc, w których zostawiamy swój numer telefonu.

Sama możliwość skontaktowania się z osobą fizyczną może prowadzić do ustalenia jej tożsamości, stąd Prezes UODO traktuje numer telefonu jako danę osobową. NSA wskazuje jednak, że do pełnej identyfikacji niezbędne są dodatkowe informacje, którymi administrator musi już dysponować.

Spór o status numeru telefonu jest odzwierciedleniem szerszego trendu, w którym raz na zawsze dana kategoria informacji nie jest automatycznie uznawana za daną osobową. Zgodnie z wyrokiem TSUE z 2025 roku w sprawie C-413/23, nawet dane spseudonimizowane mogą utracić ten status, jeśli odbiorca nie ma żadnych możliwości odwrócenia procesu pseudonimizacji. Podobne stanowisko NSA prezentuje wobec adresów IP i numerów telefonów – decyzja o ich kwalifikacji wymaga analizy konkretnego przypadku i możliwości technicznych administratora. To podejście z jednej strony jest bardziej racjonalne i dostosowane do realiów, z drugiej jednak generuje znaczną niepewność prawną i zapowiada dalsze spory interpretacyjne. Administratorzy muszą więc zachować szczególną czujność, dokumentować każdy proces i mieć świadomość, że w razie wątpliwości ciężar dowodu spocznie właśnie na nich.