Czy numer telefonu to dane osobowe? Wyjaśniamy przepisy RODO

Numer telefonu – w zależności od kontekstu – może być uznany za dane osobowe, jednak nie każda sytuacja daje taką podstawę. O tym, czy ciąg cyfr podlega pod RODO, decyduje realna możliwość zidentyfikowania konkretnej osoby fizycznej. W dalszej części szczegółowo omawiamy przepisy, orzecznictwo i praktyczne podejście do tego zagadnienia.

Co mówi definicja RODO o danych osobowych?

Art. 4 pkt 1 RODO określa dane osobowe jako wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Kluczowe jest tu sformułowanie „możliwej do zidentyfikowania”, które wskazuje, że nie musimy od razu znać imienia i nazwiska – wystarczy, że na podstawie posiadanych informacji identyfikacja jest możliwa bezpośrednio lub pośrednio, choćby przy użyciu dodatkowych danych, czasu czy nakładów.

Sam zapis nie daje więc jednoznacznej odpowiedzi na pytanie o numer telefonu. Wszystko zależy od zestawu pozostałych informacji, jakimi dysponuje administrator. Gdy numer występuje samodzielnie, bez imienia czy adresu, ocena bywa rozbieżna – do tego właśnie odnoszą się spory między organem nadzorczym a sądami.

Stanowisko Prezesa UODO – numer telefonu jako dana osobowa

Prezes Urzędu Ochrony Danych Osobowych przyjmuje, że numer telefonu niemal zawsze stanowi dane osobowe. W dokumencie „Przegląd stanowisk UODO i orzecznictwa krajowego…” z marca 2025 roku czytamy, że możliwość bezpośredniego kontaktu z konkretną osobą, bez nadmiernych kosztów, czyni z numeru identyfikator pozwalający na identyfikację. Organ podkreśla, że sam fakt skontaktowania się z rozmówcą może doprowadzić do poznania jego tożsamości.

„Sama zatem możliwość skontaktowania się z tą osobą może prowadzić do ustalenia jej tożsamości, a więc numer telefonu stanowi dane osobowe w rozumieniu przepisów rozporządzenia 2016/679.” – Prezes UODO, marzec 2025

Taka interpretacja nakłada na przedsiębiorców obowiązek traktowania każdego numeru z pełnym reżimem RODO, włącznie z realizacją obowiązku informacyjnego, podstawą prawną przetwarzania i zabezpieczeniami technicznymi.

Orzecznictwo sądów administracyjnych – czy zawsze?

Stanowisko organu nadzorczego nie jest podzielane przez wszystkie sądy. W ostatnich latach zapadło kilka wyroków, które inaczej ważą charakter numeru telefonu – szczególnie gdy administrator nie dysponuje żadnymi dodatkowymi danymi, a sam numer nie odsyła wprost do konkretnej osoby.

Wyrok WSA w Warszawie z 25 listopada 2022 r.

Wojewódzki Sąd Administracyjny w Warszawie w sprawie II SA/Wa 710/22 uznał, że numer telefonu może być daną osobową jedynie wówczas, gdy jego dysponent posiada także inne informacje umożliwiające identyfikację, na przykład imię i nazwisko lub adres zamieszkania. Sam ciąg cyfr bez tego kontekstu nie wystarcza do uznania, że przetwarzamy dane osobowe.

W tym samym nurcie wypowiedział się później WSA w wyroku z 22 grudnia 2022 r. (II SA/Wa 981/22), powołując się na przepisy Prawa telekomunikacyjnego i dyrektywy 2002/58/WE. Zwrócił uwagę, że numer abonenta stanowi daną osobową tylko wtedy, gdy w spisie występuje obok nazwiska i adresu – samodzielnie nie daje takiej podstawy.

Stanowisko NSA z 2026 roku – sam numer to za mało

W styczniu 2026 roku Naczelny Sąd Administracyjny (III OSK 274/23) oddalił skargę kasacyjną prezesa UODO, podtrzymując tezę, że sam numer telefonu, bez dodatkowych informacji, nie jest daną osobową. Sprawa dotyczyła firmy telemarketingowej, która wykonywała połączenia na losowo pozyskane numery. Konsultanci nie znali imion ani nazwisk abonentów i dopiero w trakcie rozmowy, po uzyskaniu zgody, mogli pozyskać dane identyfikujące.

Sąd podkreślił, że w rozumieniu RODO chodzi o możliwość zidentyfikowania konkretnej osoby na podstawie już posiadanych informacji, a nie o potencjalne działania zmierzające do uzyskania takich danych. Jeżeli administrator nie ma żadnych dodatkowych danych, to nie dochodzi do przetwarzania danych osobowych, nawet jeśli dzwoni pod konkretny numer.

„Numer telefonu nie może stać się daną osobową na skutek samoidentyfikacji.” – wyrok NSA z 2026 r.

Jak Prawo telekomunikacyjne wpływa na ocenę?

Oprócz RODO istotne znaczenie ma art. 172 ustawy Prawo telekomunikacyjne. Wprowadza on zakaz używania telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących dla celów marketingu bezpośredniego, chyba że abonent lub użytkownik końcowy wcześniej wyraził na to zgodę. Tutaj ochroną objęty jest każdy użytkownik – a więc każda osoba fizyczna posługująca się danym numerem.

W praktyce oznacza to, że do kontaktu telefonicznego w celach promocyjnych sama zgoda z RODO może nie wystarczyć – konieczna jest również zgoda telekomunikacyjna. Administrator, który przetwarza numer w kampanii marketingowej, musi więc rozdzielić podstawy prawne: jedną dla przetwarzania danych, drugą dla samego połączenia.

Eksperci zwracają uwagę, że rolę regulatora w obszarze niechcianych połączeń pełni przede wszystkim Prezes Urzędu Komunikacji Elektronicznej, a nie UODO. Jak zauważa adwokat Paweł Litwiński, to właśnie UKE powinien skuteczniej egzekwować przepisy dotyczące uciążliwego telemarketingu, a nie próbować rozciągać interpretacji RODO.

Praktyczne podejście i dokumentowanie ryzyka

Rozbieżność między stanowiskami organu a sądami stawia administratorów w trudnej sytuacji. Trudno o jednoznaczną receptę, ale większość specjalistów – w tym radca prawny Łukasz Kulicki – zaleca przyjęcie ostrożnościowego podejścia. To znaczy: jeśli tylko numer telefonu występuje w zestawie z jakimikolwiek innymi informacjami (np. w systemie CRM, w historii rozmów, przy zamówieniu), należy traktować go jako daną osobową i stosować do niego wszystkie wymogi RODO.

Dla firm, które prowadzą działania marketingowe na same numery, kluczowe jest udokumentowanie analizy ryzyka. Decyzja o tym, czy określony zbiór cyfr uznać za dane osobowe, powinna wynikać z konkretnego kontekstu i być poparta wewnętrzną oceną – na wypadek ewentualnej kontroli. Warto wziąć pod uwagę następujące elementy:

• czy numer pochodzi z ogólnodostępnego źródła i nie towarzyszą mu inne identyfikatory,
• czy system odnotowuje jakiekolwiek dodatkowe dane (np. nagranie rozmowy, data, lokalizacja),
• czy w trakcie połączenia może dojść do samoidentyfikacji rozmówcy,
• czy numer jest wykorzystywany do celów innych niż marketing, np. do realizacji umowy.

W przypadku nagrywania rozmów – nawet gdy dysponujemy wyłącznie numerem – lepiej od razu spełnić obowiązek informacyjny, ponieważ nagranie zawierające głos w połączeniu z numerem może stworzyć możliwość identyfikacji.

Porównanie kluczowych orzeczeń

Poniższa tabela zestawia najważniejsze wyroki i ich istotę w kontekście kwalifikacji numeru telefonu jako danej osobowej:

Orzeczenia te pokazują rosnącą tendencję do subiektywizacji definicji danych osobowych, o której mówi prof. Grzegorz Sibiga. Każdorazowo bada się bowiem, czy konkretny administrator rzeczywiście ma możliwość identyfikacji osoby – bez odwoływania się do hipotetycznych działań w przyszłości.

W efekcie ocena prawna tego samego numeru może wypaść inaczej w firmie call center, która dysponuje wyłącznie listą cyfr, a inaczej w dziale obsługi klienta, gdzie numer jest powiązany z kontem użytkownika. To właśnie ta różnica kontekstu decyduje o stosowaniu przepisów RODO.