W ostatnich tygodniach otrzymaliśmy informacje o problemach firm publikujących statystyki rynkowe nowych pojazdów z uzyskiwaniem danych z CEPiK. Problemy miałyby dotyczyć numerów REGON, które przez resort cyfryzacji zostały uznane za dane osobowe. Do tej pory takie dane były udostępniane, a stan prawny nie uległ w ostatnim czasie zmianie.

W oparciu o numery REGON możliwe jest określenie struktury sprzedaży oraz rozwoju poszczególnych kanałów sprzedaży, a także kierunków rozwoju rynku motoryzacyjnego. Z przetwarzanych w ten sposób danych nieodpłatnie korzysta wiele podmiotów, a odpłatnie także niektórzy producenci samochodów i importerzy. Są one też po prostu elementem marketingu i gry rynkowej – jak w każdej branży.

Odmawiając dostępu do danych w zakresie numerów REGON, Centralny Ośrodek Informatyki powołał się na kolizję art. 80ce Prawa o ruchu drogowym oraz § 20 Rozporządzenia Ministra Cyfryzacji z dnia 1 grudnia 2020 r. Czy do takiego samego wniosku można dojść po wykładni przepisów i zrekonstruowaniu treści regulacji?

Zgodnie z art. 80ce Prawa o ruchu drogowym, dane lub informacje zgromadzone w Centralnej Ewidencji Pojazdów są przekazywane do ponownego wykorzystywania, w sposób wykluczający możliwość identyfikacji osób lub pojazdów, z zachowaniem przepisów ustawy z dnia 11 sierpnia 2021 r. o otwartych danych i ponownym wykorzystywaniu informacji sektora publicznego, jeżeli przepisy ustawy nie stanowią inaczej. Przez ponowne wykorzystywanie rozumie się wykorzystywanie przez osoby fizyczne, osoby prawne i jednostki organizacyjne nieposiadające osobowości prawnej informacji sektora publicznego, w celach komercyjnych lub niekomercyjnych innych niż pierwotny publiczny cel, dla którego dana informacja została wytworzona. Dane zgromadzone w ewidencji są przekazywane do ponownego wykorzystywania na wniosek złożony w postaci papierowej albo w postaci elektronicznej opatrzonej kwalifikowanym podpisem elektronicznym, podpisem zaufanym albo podpisem osobistym. Dane zgromadzone w ewidencji mogą być udostępniane do ponownego wykorzystywania także za pośrednictwem usług sieciowych (funkcjonalność ta nie została jeszcze uruchomiona). Organem udostępniającym dane z CEP jest Minister Cyfryzacji, natomiast wnioski w jego imieniu realizuje Centralny Ośrodek Informatyki.

Zakres udostępnianych danych określa § 20 rozporządzenia Ministra Cyfryzacji z dnia 1 grudnia 2020 r. w sprawie rodzaju i zakresu danych udostępnianych z Centralnej Ewidencji Pojazdów. Zgodnie z tym przepisem do ponownego wykorzystania w celach komercyjnych i niekomercyjnych mogą być udostępnione dane, o których mowa w:

• art. 80b ust. 1 pkt 2-4 i pkt 8a PRD – w zakresie identyfikatora jednostki podziału terytorialnego i nazwy miejscowości z krajowego rejestru urzędowego podziału terytorialnego kraju TERYT oraz numeru identyfikacyjnego REGON,
• art. 80b ust. 1 pkt 6 ustawy z wyłączeniem cech identyfikujących dokument potwierdzający zawarcie umowy ubezpieczenia,
• art. 80b ust. 1 pkt 8b ustawy z wyłączeniem numeru VIN oraz numeru nadwozia, podwozia lub ramy pojazdu, oznaczenia podmiotu wprowadzającego dane oraz daty i godziny wprowadzenia danych,
• art. 80b ust. 1 pkt 10 ustawy w zakresie rodzaju badania technicznego, rodzaju dodatkowego badania technicznego oraz wartości odczytu wskazania drogomierza pojazdu w momencie badania technicznego wraz z jednostką miary,
• art. 80b ust. 1 pkt 12-14 ustawy,
• art. 80b ust. 1 pkt 17 ustawy w zakresie wyrejestrowania pojazdu,
• art. 80b ust. 1 pkt 21 ustawy w zakresie przyczyny wymiany drogomierza, wartości odczytu wskazania drogomierza pojazdu wraz z jednostką miary oraz wyniku odczytu wskazania drogomierza,
• art. 80b ust. 1 pkt 22 ustawy w zakresie wartości odczytu wskazania drogomierza w momencie kontroli wraz z jednostką miary.

W ostatnim czasie Centralny Ośrodek Informatyki (COI) odmówił jednej z firm analitycznych przekazania danych w części dotyczącej numerów identyfikacyjnych REGON podmiotów, na które pojazdy zostały zarejestrowane.

Stanowisko branży analitycznej było takie, że art. 80ce ust. 1 Prawa o ruchu drogowym dotyczyć może jedynie osób fizycznych. Jeśli sięgnąć całościowo do przepisów ustawy, to PRD rozróżnia pojęcie „osoby”, którym operuje w art. 80ce ust. 1 oraz zbiorcze pojęcie „podmioty” (art. 80cc ust. 2, art. 80 cd ust. 2), a także precyzyjne pojęcia „osoba fizyczna, osoba prawna, jednostka organizacyjna nieposiadająca osobowości prawnej” (art. 80cd ust. 1). Wskazane różnice terminologiczne wynikają z odmiennego zakresu ochrony, jaka przysługuje w polskim porządku prawnym danym dotyczącym poszczególnych podmiotów. Najbardziej rygorystycznie chronione są dane dotyczące osób fizycznych (art. 1 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych), w związku z czym treść art. 80ce ust. 1 PRD należy odczytywać w ten sposób, że ma na celu ograniczenie dostępności danych umożliwiających identyfikację osoby fizycznej. Obowiązku ochrony danych osobowych nie należy jednak rozszerzać na inne podmioty, takie jak osoby prawne, czy jednostki organizacyjne nieposiadające osobowości prawnej, ponieważ wyjątków nie należy interpretować rozszerzająco. Ustawodawca zdecydował się w drodze wyjątku ograniczyć przekazywanie pewnych danych, które – co należy podkreślić – co do zasady pozostają dostępne.

Zakładając racjonalność ustawodawcy, należy dojść do wniosku, że w omawianej sytuacji kolizja norm nie występuje, a zakaz udostępniania numeru REGON dotyczy wyłącznie osób fizycznych. Natomiast zgodnie z § 20 ww. rozporządzenia możliwe jest wnioskowanie o numery REGON osób prawnych i jednostek organizacyjnych nieposiadających osobowości prawnej. Ostatecznym argumentem jest brak w CEP numerów REGON osób fizycznych prowadzących jednoosobową działalność gospodarczą, ponieważ takie osoby są identyfikowane przy wykorzystaniu numeru PESEL, a nie REGON.