Numer i seria dowodu osobistego nie są danymi wrażliwymi w rozumieniu RODO — katalog danych szczególnych kategorii z art. 9 jest zamknięty i numeru dokumentu w nim nie ma. To jednak wciąż dane osobowe, i to takie, które wymagają szczególnej ostrożności: jednoznacznie identyfikują osobę, a ich wyciek otwiera drogę do kradzieży tożsamości. Mylenie tych dwóch pojęć prowadzi w firmach do dwóch przeciwnych błędów: albo dane dowodu są chronione zbyt słabo, albo — częściej — zbierane bez podstawy prawnej „na wszelki wypadek”.
Dlaczego dowód osobisty nie jest daną wrażliwą
Art. 9 ust. 1 RODO wymienia zamknięty katalog danych szczególnych kategorii: pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne, dane biometryczne przetwarzane w celu jednoznacznej identyfikacji, dane dotyczące zdrowia, seksualności lub orientacji seksualnej. Numer dokumentu tożsamości nie mieści się w żadnej z tych kategorii.
Ta sama zasada dotyczy PESEL-u, który też bywa nazywany „danymi wrażliwymi” potocznie, ale prawnie nią nie jest — piszemy o tym szerzej w artykule czy numer PESEL to dane wrażliwe. Pełną listę tego, co RODO uznaje za dane szczególnych kategorii, znajdziesz w tekście o danych osobowych wrażliwych.
Dlaczego mimo to trzeba je chronić szczególnie mocno
Brak statusu danych wrażliwych nie oznacza niższego ryzyka. RODO wymaga doboru zabezpieczeń do ryzyka (art. 32), a nie do etykiety prawnej, a ryzyko przy danych dowodu jest wysokie:
- numer i seria dowodu wystarczą do prób wyłudzenia kredytu lub zawarcia umowy na cudze dane,
- kopia dowodu zawiera komplet: imiona, nazwisko, PESEL, wizerunek, imiona rodziców, datę i miejsce urodzenia — czyli pakiet startowy do kradzieży tożsamości,
- wizerunek z dokumentu bywa wykorzystywany do obejścia zdalnej weryfikacji tożsamości.
Dlatego przy naruszeniu obejmującym dane dowodu ocena ryzyka niemal zawsze wychodzi wysoko — a to oznacza obowiązek zgłoszenia do UODO w 72 godziny i zawiadomienia osób, których dane dotyczą (art. 34 RODO), z rekomendacją zastrzeżenia dokumentu.
Kiedy wolno kopiować dowód osobisty
To pytanie wraca w audytach najczęściej. Odpowiedź: kopiowanie dowodu jest dozwolone tylko tam, gdzie wprost pozwala na to przepis. Sama zgoda klienta zwykle nie wystarczy, bo kopia zawiera więcej danych, niż jest potrzebne do celu — łamie to zasadę minimalizacji (art. 5 ust. 1 lit. c RODO).
1. Gdzie kopiowanie jest dopuszczalne. Przede wszystkim tam, gdzie wymaga tego ustawa o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu — banki, notariusze, biura rachunkowe, pośrednicy nieruchomości i inne podmioty objęte obowiązkiem stosowania środków bezpieczeństwa finansowego.
2. Gdzie jest niedopuszczalne. Recepcja biurowa „dla porządku”, siłownia przy zakładaniu karnetu, wypożyczalnia sprzętu jako „zastaw”, sklep przy reklamacji, rekrutacja przed zatrudnieniem. W tych sytuacjach wystarczy okazanie dokumentu i ewentualne spisanie wyłącznie tych danych, które są rzeczywiście potrzebne.
3. Uwaga na ustawę o dokumentach publicznych. Wykonanie repliki dowodu osobistego — czyli odwzorowania łudząco podobnego do oryginału, w rozmiarze zbliżonym do rzeczywistego — jest wykroczeniem zagrożonym karą ograniczenia wolności lub grzywny. Zwykły skan do celów dokumentacyjnych nie jest repliką, ale pokazuje to, jak poważnie ustawodawca traktuje kopiowanie dokumentów tożsamości.
Najczęstsze błędy w firmach
- Kopia dowodu w teczce pracownika — Kodeks pracy określa zamknięty katalog danych, których pracodawca może żądać. Kopii dowodu w nim nie ma.
- „Prosimy o skan dowodu” mailem — poczta e-mail to najgorszy możliwy kanał: kopia zostaje w skrzynkach nadawcy, odbiorcy, na serwerze i w kopiach zapasowych, często na lata.
- Dowód „w depozycie” przy wypożyczeniu sprzętu — zatrzymywanie cudzego dokumentu tożsamości jest bezprawne, niezależnie od zgody.
- Brak retencji — kopie zebrane legalnie (np. w ramach AML) zostają w systemie po upływie wymaganego okresu przechowywania.
Najczęstsze pytania
Czy numer dowodu osobistego to dane osobowe?
Tak. To dane osobowe w rozumieniu art. 4 pkt 1 RODO, bo pozwalają zidentyfikować konkretną osobę. Nie są natomiast danymi szczególnych kategorii z art. 9 — ten katalog jest zamknięty i numeru dokumentu nie obejmuje.
Czy firma może żądać skanu dowodu przy podpisaniu umowy?
Co do zasady nie, chyba że obowiązek wynika z przepisu — na przykład z ustawy o przeciwdziałaniu praniu pieniędzy. W pozostałych przypadkach wystarczy okazanie dokumentu i spisanie danych faktycznie niezbędnych do zawarcia umowy.
Co zrobić, gdy dane mojego dowodu wyciekły?
Zastrzec dokument — najszybciej w aplikacji mObywatel lub w dowolnym banku, bezpłatnie. Zastrzeżenie blokuje możliwość zawarcia na te dane umowy kredytu czy pożyczki. Administrator, u którego doszło do wycieku, ma obowiązek zawiadomić Cię o naruszeniu.
Nie masz pewności, czy zbieracie dane zgodnie z prawem?
Sprawdzenie, jakie dane firma naprawdę zbiera i czy ma do tego podstawę, to standardowy element naszego audytu RODO. Jeśli wiesz już, że w systemach są nadmiarowe kopie dokumentów, pomożemy je uporządkować w ramach minimalizacji nadmiarowych danych — albo porozmawiajmy o tym, od czego zacząć.
