Czy numer rejestracyjny samochodu może zostać uznany za dane osobowe?

Krótka odpowiedź: tak, numer rejestracyjny może zostać uznany za dane osobowe, jeżeli w konkretnym kontekście pozwala zidentyfikować osobę fizyczną przy użyciu rozsądnie dostępnych środków. Takie stanowisko wynika z definicji RODO i jest konsekwentnie potwierdzane przez UODO oraz europejską praktykę nadzorczą [1][2][3].

RODO definiuje dane osobowe jako wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, także pośrednio, przy użyciu identyfikatora lub wielu informacji rozpatrywanych łącznie [1]. Oznacza to, że identyfikator staje się daną osobową, jeśli pozwala ustalić konkretną osobę bezpośrednio lub pośrednio [1].

Kluczowa jest koncepcja pośredniej identyfikacji. Dane nadal są osobowe, gdy pozwalają na ustalenie tożsamości z rozsądnym wysiłkiem, z wykorzystaniem narzędzi i informacji, które są realnie dostępne podmiotowi przetwarzającemu albo innym uczestnikom przetwarzania [1][3].

Co do zasady numer rejestracyjny identyfikuje pojazd, lecz może stać się daną osobową, jeśli w danym kontekście umożliwia wskazanie właściciela lub użytkownika pojazdu, w tym poprzez łączenie z innymi informacjami [1][4][5]. UODO wyraźnie wskazuje, że numery rejestracyjne pojazdów mogą stanowić dane osobowe, a w materiałach urzędu akcentuje się, że tablice mogą identyfikować kierowcę [2][1].

Europejskie organy nadzorcze podkreślają tę samą zasadę. ICO uznaje, że identyfikator pojazdu może być daną osobową, jeżeli można go powiązać z osobą przy użyciu rozsądnie dostępnych środków [3]. Irlandzki organ wyjaśnił, że tablica rejestracyjna „mogłaby być” daną osobową, ale dane o stanie pojazdu sprzed nabycia nie odnoszą się do osoby fizycznej, a zatem nie są danymi osobowymi w tym zakresie [6].

W Polsce temat budzi dyskusje. Istnieją publikacje kwestionujące kwalifikowanie tablic jako danych osobowych oraz doniesienia o orzeczeniach, w których przyjęto odmienne podejście [7][8]. Jednocześnie media i portale prawnicze relacjonują stanowisko UODO, według którego numery rejestracyjne co do zasady traktuje się jako dane osobowe, jeśli są przypisane do osoby [9][10].

Nie decyduje sama treść pojedynczego identyfikatora, lecz realna możliwość identyfikacji osoby przez zestawienie numeru rejestracyjnego z innymi informacjami. Jeżeli powiązanie z osobą jest wykonalne przy użyciu środków, które są rozsądnie dostępne, wtedy numer funkcjonuje jako dane osobowe [6][3]. Istotna jest ocena praktyczna, a nie czysto teoretyczna [3].

W praktyce znaczenie mają dane towarzyszące, takie jak marka pojazdu, miejsce, czas, monitoring, historia postoju czy dostęp do rejestrów i systemów pozwalających powiązać pojazd z osobą. To właśnie one przesądzają, czy identyfikacja jest możliwa w danej sytuacji [4].

Proces identyfikacji zwykle jest etapowy. Najpierw identyfikowany jest pojazd przez tablicę rejestracyjną, a następnie, poprzez dodatkowe zasoby informacyjne, możliwe jest odniesienie do właściciela lub użytkownika, co spełnia przesłanki pośredniej identyfikacji w rozumieniu RODO [6][4][3].

Punkt wyjścia stanowi kryterium rozsądnie dostępnych środków. Chodzi o to, czy administrator lub inny uczestnik przetwarzania może w praktyce, przy użyciu posiadanych narzędzi lub dostępnych źródeł, powiązać numer rejestracyjny z osobą, a nie o hipotetyczne, niezwykle złożone scenariusze [3]. Ocena obejmuje zakres faktycznego dostępu do informacji i relacje między danymi [6][3].

UODO oraz część organów europejskich w wielu sytuacjach przyjmują, że taka możliwość istnieje, dlatego wskazują na osobowy charakter numerów rejestracyjnych w kontekstach sprzyjających identyfikacji osoby [2][6][3]. Nie ma przy tym uniwersalnego progu ani liczby informacji, które automatycznie przekształcają identyfikator pojazdu w dane osobowe. O wszystkim rozstrzyga kontekst i realna możliwość identyfikacji [1][3].

W praktycznych zastosowaniach, gdzie numer rejestracyjny służy do wiązania pojazdu z uprawnieniami, rozliczeniami lub odpowiedzialnością konkretnej osoby, identyfikacja osoby staje się typowym celem przetwarzania, co przesądza o osobowym charakterze tych danych [4]. Jeżeli oznaczenia pojazdu łączone są z obrazem, lokalizacją i czasem zdarzenia, powstaje profil informacyjny pozwalający przejść od identyfikacji pojazdu do identyfikacji osoby [3].

Znaczenie mają również możliwości uzyskania danych z systemów lub rejestrów, które w danym środowisku przetwarzania są dostępne i rutynowo wykorzystywane. Taka dostępność zwiększa prawdopodobieństwo skutecznej identyfikacji osoby na podstawie tablicy [4][3].

Identyfikacja pojazdu to wskazanie konkretnego środka transportu po jego oznaczeniu. Identyfikacja osoby oznacza możliwość powiązania tego pojazdu z właścicielem lub użytkownikiem w sposób pozwalający na ustalenie tożsamości. To dwa odrębne poziomy, choć w realnych procesach często się zazębiają [5].

W ujęciu operacyjnym identyfikacja osoby zwykle następuje pośrednio, etap po etapie. Najpierw przetwarzany jest znak pojazdu, a następnie następuje sięgnięcie do dodatkowych źródeł, co czyni przetwarzanie objętym reżimem RODO i standardami dla danych osobowych, jeśli możliwe jest przypisanie do osoby [6][4][3].

Trudność interpretacyjna wynika z oceny, czy dostęp do informacji pozwalających na identyfikację osoby jest realny dla konkretnego administratora lub innego podmiotu. To pytanie praktyczne, które w różnych sytuacjach może dawać odmienne odpowiedzi [3][6].

W debacie publicznej i prawniczej pojawiają się stanowiska, że tablica rejestracyjna nie zawsze powinna być uznana za dane osobowe, a niekiedy przywołuje się rozstrzygnięcia sądowe wskazujące na brak osobowego charakteru numeru rejestracyjnego w określonym stanie faktycznym [7][8]. Jednocześnie UODO utrzymuje podejście proochronne i wskazuje, że numery rejestracyjne co do zasady traktuje się jako dane osobowe, o ile są przypisane do osoby [2]. Media i portale omawiają te różnice, akcentując wagę kontekstu [9][10].

W tle tej dyskusji pojawia się też zagadnienie publikowania zdjęć pojazdów w internecie oraz rozważań o zasadach zamazywania oznaczeń, co dodatkowo unaocznia znaczenie oceny okoliczności przetwarzania i celu ujawnienia danych.

Numer rejestracyjny sam w sobie identyfikuje pojazd, lecz staje się danymi osobowymi, gdy w danym kontekście pozwala z rozsądną łatwością zidentyfikować osobę fizyczną. Tak wynika z definicji RODO, stanowiska UODO i europejskiej praktyki, w tym ICO i DPC [1][2][3][6]. O rozstrzygnięciu decyduje realna możliwość identyfikacji, łączenie z innymi informacjami oraz rozróżnienie między identyfikacją pojazdu a identyfikacją osoby [3][6][5].