zastrzeżenie numeru PESEL

Zastrzeżenie numeru PESEL to bezpłatny wpis w państwowym rejestrze zastrzeżeń numerów PESEL, który bank, notariusz czy operator telekomunikacyjny musi sprawdzić przed wybranymi czynnościami na dane tej osoby. Rejestr prowadzi minister właściwy do spraw informatyzacji, a zastrzeżenie i jego cofnięcie są nieodpłatne dla każdej osoby pełnoletniej ujętej w rejestrze PESEL ^[2]. Od 1 czerwca 2024 roku instytucje finansowe mają obowiązek sprawdzać zastrzeżenie przed zawarciem umowy kredytu lub pożyczki ^[1]. Mechanizm ma ograniczać skutki, jakie niesie kradzież tożsamości.

Jak działa

Rejestr jest prowadzony w systemie teleinformatycznym i gromadzi numer PESEL, informację o zastrzeżeniu i jego cofnięciu, chwilę każdej z tych czynności oraz oznaczenie organu, który ją zarejestrował ^[2]. Danych zgromadzonych w rejestrze nie usuwa się ^[2]. Instytucja, która ma obowiązek weryfikacji, pyta rejestr przed czynnością, a przy zastrzeżonym numerze odmawia jej wykonania albo traci prawo do dochodzenia roszczeń.

RYS. 1Zastrzeżony PESEL a wniosek o kredyt

Najważniejsze skutki wprowadziła nowelizacja Prawa bankowego. Bank przed zawarciem umowy rachunku, kredytu, pożyczki lub leasingu oraz przed zmianą umowy zwiększającą zadłużenie sprawdza, czy numer PESEL konsumenta jest zastrzeżony ^[2]. Jeżeli w chwili zawarcia umowy numer był zastrzeżony, bank nie może domagać się od konsumenta zaspokojenia roszczenia z tej umowy ani zbyć wierzytelności ^[2]. Ryzyko przerzucono więc na instytucję, która nie sprawdziła rejestru.

Ta sama ustawa obejmuje wypłaty gotówki w placówce. Gdy suma wypłat w danym dniu przekracza trzykrotność minimalnego wynagrodzenia, bank sprawdza rejestr, a przy zastrzeżonym numerze wstrzymuje wypłatę na 12 godzin, nawet jeśli w tym czasie zastrzeżenie cofnięto ^[2]. Notariusz odmawia określonych czynności, gdy numer strony jest zastrzeżony ^[2]. Operator telekomunikacyjny odmawia wydania kopii lub wtórnika karty SIM osobie, której numer PESEL jest zastrzeżony ^[2], co utrudnia wyłudzenie duplikatu karty SIM (SIM swap).

Jak zastrzec i cofnąć

Zastrzeżenie można złożyć kilkoma kanałami. UODO wymieniało aplikację mObywatel, stronę obywatel.gov.pl, dowolny urząd gminy, pocztę i placówkę bankową ^[3].

Gov.pl podaje, że usługa jest bezpłatna i realizowana natychmiast ^[1]. Cofnięcie może być bezterminowe albo czasowe: wskazuje się wtedy datę i godzinę, o której system sam zastrzeże numer ponownie ^[1]. Ustawa zastrzega, że przez 30 minut od cofnięcia nie można ponownie zgłosić zastrzeżenia ^[2].

Rejestr obejmuje wyłącznie osoby pełnoletnie ^[2]. Jeżeli choroba, niepełnosprawność lub inna przeszkoda nie pozwala złożyć wniosku osobiście, zastrzeżenia może dokonać pełnomocnik, a za osobę bez pełnej zdolności do czynności prawnych wniosek składa opiekun prawny lub kurator ^[2]. Wniosek papierowy w gminie zawiera między innymi numer PESEL, imię i nazwisko oraz adres e-mail lub numer telefonu komórkowego ^[2]. Zastrzeżenie z urzędu następuje nie tylko po zgłoszeniu utraty dowodu osobistego, ale też po zgłoszeniu podejrzenia nieuprawnionego wykorzystania danych osobowych w trybie ustawy o dowodach osobistych ^[2]. Bank lub SKOK, który chce przyjmować zastrzeżenia, potrzebuje zgody ministra, uzależnionej od wdrożenia systemu zarządzania bezpieczeństwem informacji i testów integracyjnych z rejestrem ^[2].

Czego nie chroni

Zastrzeżenie nie blokuje codziennego korzystania z numeru. Gov.pl wymienia czynności, na które nie wpływa: rejestrację u lekarza, realizację recepty, wypłatę z bankomatu, zlecanie przelewów, wyjazd za granicę i sprawy urzędowe ^[1]. Nie chroni więc przed oszustwem, w którym ofiara sama przelewa pieniądze, jak oszustwo na policjanta / na pracownika banku, ani przed phishingiem prowadzącym do przejęcia bankowości.

UODO w dniu uruchomienia usługi ocenił ją jako dopiero pierwszy krok i zwrócił uwagę, że numer PESEL wciąż jest jawny w ogólnodostępnych rejestrach publicznych, takich jak Krajowy Rejestr Sądowy ^[3]. Urząd przytoczył też badanie, w którym 92 procent pytanych wskazało PESEL jako daną osobową ^[3].

W WordPressie

Strony na WordPressie rzadko potrzebują numeru PESEL, ale zdarza się on w formularzach rekrutacyjnych, zapisach na szkolenia czy zamówieniach wymagających faktury imiennej. Każde takie pole zwiększa skutki ewentualnego wycieku danych, bo baza wtyczki formularzy lub sklepu staje się zbiorem numerów PESEL powiązanych z nazwiskami. Najprostszą ochroną jest niezbieranie tej danej, gdy nie wymaga jej przepis.

Jeśli do wycieku dojdzie, jest to naruszenie ochrony danych osobowych w rozumieniu RODO, a wobec urzędu obowiązuje zgłoszenie naruszenia ochrony danych. UODO przypomina, że obowiązek powiadomienia osób dotkniętych wyciekiem spoczywa na administratorach ^[4]. Wśród działań, jakie osoby te mogą podjąć, urząd wymienia zastrzeżenie numeru PESEL oraz zachowanie większej ostrożności podczas podawania danych przez internet ^[4]. Administrator strony, który zawiadamia klientów o wycieku, może więc wskazać im tę usługę.

Historia

Mechanizm wprowadziła ustawa z 7 lipca 2023 roku o zmianie niektórych ustaw w celu ograniczania niektórych skutków kradzieży tożsamości, ogłoszona 21 lipca 2023 roku w Dzienniku Ustaw pod pozycją 1394 ^[2]. Samo zastrzeganie ruszyło w listopadzie 2023 roku; UODO opublikowało 17 listopada 2023 roku komunikat zaczynający się od słów „Od dziś można zastrzec numer PESEL” ^[3]. Zmiany w Prawie bankowym, Prawie o notariacie i Prawie telekomunikacyjnym weszły w życie 1 czerwca 2024 roku ^[2].