Jak informować o wygaszeniu decyzji o rejestracji pojazdu?
Ustalając zakres danych zamieszczonych w publicznym obwieszczeniu o wygaśnięciu decyzji o rejestracji pojazdu, kierować się należy ogólnymi zasadami z art. 5 RODO, w tym celowości i minimalizacji danych. Pamiętać również należy o ustaleniu właściwego okresu publikacji takiego obwieszczenia.
W związku z przepisami ustawy z dnia 7 lipca 2023 r. o zmianie niektórych ustaw w celu ograniczenia niektórych skutków kradzieży tożsamości, które dopuszczają zawiadamianie o wygaśnięciu decyzji o rejestracji pojazdu poprzez publiczne obwieszczenie, do UODO wpływają pytania, czy w takim obwieszczeniu można podać numery rejestracyjne pojazdów kwalifikujących się do wygaszenia rejestracji. Zgodnie bowiem ze stanowiskiem UODO numery rejestracyjne pojazdów stanowią dane osobowe.
Odpowiadając na te wątpliwości organ nadzorczy wskazał, że zgodnie z ogólnym rozporządzeniem
o ochronie danych (RODO) danymi osobowymi są informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
Numery tablic rejestracyjnych są zaś informacją, za pośrednictwem której możliwe jest zidentyfikowanie – w sposób pośredni – osoby fizycznej, będącej właścicielem pojazdu. Zgodnie z definicją danych osobowych zawartą w RODO każdy identyfikator urządzenia, na przykład numer VIN, bloku silnika pojazdu lub smartfonu, będzie stanowił dane osobowe, o ile będą one umożliwiały identyfikację posiadacza tak oznaczonego urządzenia.
Numery rejestracyjne, którymi właściciele dysponują przez cały czas posiadania pojazdu, mogą pozwolić na identyfikację konkretnych osób nie tylko odpowiednim organom, ale również osobom fizycznym, np. sąsiadom, znajomym, współpracownikom. Są oni w stanie powiązać numer rejestracyjny pojazdu z konkretną osobą. Ponadto inne osoby także mogą na podstawie numeru rejestracyjnego zidentyfikować właściciela pojazdu, składając odpowiednio uzasadniony wniosek do Centralnej Ewidencji Pojazdów i Kierowców.
Biorąc pod uwagę powyższe UODO stoi na stanowisku, że numery rejestracyjne pojazdów stanowią dane osobowe, o ile umożliwiają identyfikację posiadacza pojazdu. Stanowisko to znajduje także odzwierciedlenie w orzecznictwie sądów, np. w wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z 13 kwietnia 2017 r. (sygn. akt VII SA/Wa 1069/16) czy w wyroku WSA z 25 kwietnia 2014 r. (sygn. akt II SA/Wa 30/14), choć ostatnio istnieją także odrębne orzeczenia w tej kwestii (np. wyrok NSA z 28 czerwca 2019 r., sygn. akt I OSK 2063/17). Warto jednak dodać, że stanowisko polskiego organu nadzorczego jest zbieżne ze stanowiskiem wielu innych krajowych organów ochrony danych (np. z Niemiec czy Włoch). Także orzecznictwo Trybunału Sprawiedliwości Unii Europejskiej oraz sądów w innych krajach, jak choćby w Niemczech, uznaje jednoznacznie numery rejestracyjne pojazdów za dane osobowe. Warto dodać, że ostatnio Trybunał Sprawiedliwości Unii Europejskiej orzekł, że nr VIN pojazdu posiada status danej osobowej, jeśli może być użyty do identyfikacji właściciela pojazdu lub innej osoby (wyrok TSUE z 9 listopada 2023 r. w sprawie C-319/22).
Należy jednak pamiętać, że zgodnie z motywem 5 RODO prawo do ochrony danych osobowych nie jest prawem bezwzględnym; należy je postrzegać w kontekście jego funkcji społecznej i wyważyć względem innych praw podstawowych w myśl zasady proporcjonalności.
Organy administracji publicznej są zobowiązane działać w granicach i na podstawie obowiązujących przepisów prawa regulujących ich działalność. Zgodnie z art. 6 ust. 1 RODO przetwarzanie danych (w tym ich udostępnianie) jest zgodne z prawem, m.in. gdy jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (lit. c).
W niniejszej sprawie istnieje ustawowy obowiązek właściwego organu administracyjnego (starosty) zawiadomienia właściciela pojazdu o wygaśnięciu decyzji o rejestracji pojazdu. Zgodnie z art. 17 ust. 1 ustawy z dnia 7 lipca 2023 r. o zmianie niektórych ustaw w celu ograniczenia niektórych skutków kradzieży tożsamości decyzje o rejestracji pojazdu wydane przed dniem 14 marca 2005 r. dotyczące pojazdów nieposiadających ważnego okresowego badania technicznego, w stosunku do których ich posiadacze nie dopełnili obowiązku zawarcia umowy obowiązkowego ubezpieczenia odpowiedzialności cywilnej posiadaczy pojazdów mechanicznych, jeżeli pojazd im podlega, przez okres dłuższy niż 10 lat, przypadający bezpośrednio przed dniem wejścia w życie niniejszej ustawy, wygasają z dniem 10 czerwca 2024 r. Takie zawiadomienie o wygaśnięciu decyzji może odbywać się przez publiczne obwieszczenie (art. 17 ust. 3). Przepisy te nie wskazują jednak, jaka miałaby być treść takiego publicznego obwieszczenia, podobnie jak przepisy ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego. Te ostatnie określają, że jeżeli przepis szczególny tak stanowi, zawiadomienie stron o decyzjach i innych czynnościach organu administracji publicznej może nastąpić w formie publicznego obwieszczenia, w innej formie publicznego ogłoszenia zwyczajowo przyjętej w danej miejscowości lub przez udostępnienie pisma w Biuletynie Informacji Publicznej na stronie podmiotowej właściwego organu administracji publicznej (art. 49 ust. 1). Dzień, w którym nastąpiło publiczne obwieszczenie, inne publiczne ogłoszenie lub udostępnienie pisma w Biuletynie Informacji Publicznej wskazuje się w treści tego obwieszczenia, ogłoszenia lub w Biuletynie Informacji Publicznej. Zawiadomienie uważa się za dokonane po upływie czternastu dni od dnia, w którym nastąpiło publiczne obwieszczenie, inne publiczne ogłoszenie lub udostępnienie pisma w Biuletynie Informacji Publicznej (art. 49 ust. 2).
Podkreślić jednak należy, że celem publicznego obwieszczenia, które jest fakultatywne, jest zapewnienie szybkiego skutku doręczenia decyzji adresatowi (tak też wyrok Naczelnego Sądu Administracyjnego z 1 lutego 2023 r., sygn. akt III OSK 1825/21).
W sytuacji braku przepisów regulujących dane zagadnienie (tu zakres danych w obwieszczeniu publicznym) zastosowanie znajdują ogólne zasady z art. 5 RODO. Zgodnie z zasadą minimalizacji danych dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane („minimalizacja danych”). Niezbędne jest również, w świetle zasady celowości (art. 5 ust. lit. b RODO) i ograniczenia czasowego (art. 5 ust. lit. e RODO) określenie, jak długo te obwieszczenia publiczne muszą być publikowane w BIP. W przypadkach, w których prawo nie reguluje okresu retencji danych, administrator, po przeprowadzeniu odpowiednich analiz, powinien określić ten okres tak, aby przetwarzanie danych było zgodne z celami, w których je pozyskano. Zasadność tego stanowiska została potwierdzona w orzecznictwie sądów administracyjnych – jako przykład należy przywołać fragment uzasadnienia do wyroku Wojewódzkiego Sądu Administracyjnego w Lublinie z 1 marca 2016 r. (sygn. akt II SA/Lu 876/15): „[z] art. 26 ust. 1 pkt 4 ustawy o ochronie danych osobowych wynika zasada ograniczenia czasowego udostępnienia danych osobowych w Biuletynie Informacji Publicznej. Zasada ta oznacza, że nawet jeśli określone dane odpowiadają celowi, dla którego są zbierane, to nie powinny być przetwarzane, w tym udostępniane innym podmiotom ad finitum. Czasowym wyznacznikiem powinno być natomiast osiągnięcie celu przetwarzania.” Podkreślić należy, iż wyrok ten zachowuje aktualność także przy obecnie obowiązujących przepisach o ochronie danych osobowych.
W związku z powyższym, to administrator (starosta) powinien dokonać oceny, czy w myśl zasady proporcjonalności, minimalizacji i ograniczenia czasowego publikacja numeru rejestracyjnego pojazdu w publicznym ogłoszeniu jest niezbędna do wykonania obowiązku wynikającego z art. 17 ust. 3 ustawy o zmianie niektórych ustaw w celu ograniczenia niektórych skutków kradzieży tożsamości. Warto też zauważyć, że dokonując takiej oceny należy wziąć pod uwagę, że o ile numer rejestracyjny pojazdu może identyfikować osobę fizyczną, to już imię i nazwisko oraz adres zamieszkania dokonuje wprost takiej identyfikacji. Okoliczność ta powinna także być wzięta pod rozwagę przy ostatecznym kształtowaniu zakresu danych osobowych podlegających udostępnieniu i upublicznieniu w określonym terminie.
