Krótka odpowiedź: numer PESEL nie jest daną wrażliwą w rozumieniu art. 9 RODO — nie należy do „szczególnych kategorii danych” jak dane o zdrowiu czy biometryczne. Jest jednak daną osobową o podwyższonym ryzyku: jego wyciek niesie realne zagrożenie kradzieżą tożsamości, dlatego w praktyce PESEL traktuje się ostrożniej niż zwykłe dane, a UODO konsekwentnie karze firmy za jego niewłaściwą ochronę.
Czym są dane wrażliwe według RODO?
Katalog danych wrażliwych (formalnie: szczególnych kategorii danych) określa art. 9 RODO. Należą do niego dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, a także dane genetyczne, biometryczne, dotyczące zdrowia oraz seksualności i orientacji seksualnej. To katalog zamknięty — numeru PESEL w nim nie ma.
Więcej o tym, co dokładnie mieści się w tej kategorii, piszemy w artykule jakie dane osobowe są wrażliwe.
Skoro PESEL nie jest wrażliwy, to dlaczego wymaga szczególnej ochrony?
Bo jest unikalnym, niezmiennym identyfikatorem — zawiera datę urodzenia i płeć, towarzyszy człowiekowi całe życie i nie da się go „zresetować” jak hasła. W połączeniu z imieniem i nazwiskiem wystarcza w wielu procesach do potwierdzenia tożsamości, co czyni go łakomym kąskiem dla przestępców: wyłudzenia kredytów, zawieranie umów, fałszywe konta.
Z tego powodu Prezes UODO w swoich decyzjach traktuje wyciek numeru PESEL jako naruszenie powodujące wysokie ryzyko dla praw i wolności osób — a to oznacza dla firmy nie tylko obowiązek zgłoszenia naruszenia do UODO w 72 godziny, ale zwykle również obowiązek zawiadomienia każdej osoby, której PESEL wyciekł. Najwyższe kary nałożone w Polsce za naruszenia ochrony danych dotyczyły właśnie incydentów z numerami PESEL.
Co to oznacza w praktyce dla firmy?
Nie zbieraj PESEL, jeśli nie musisz. Zasada minimalizacji danych (art. 5 RODO) działa tu z pełną mocą: PESEL wolno przetwarzać, gdy wymaga tego przepis prawa (kadry, ZUS, podatki, ochrona zdrowia) albo gdy jest to rzeczywiście niezbędne do celu — nie „na wszelki wypadek”. Żądanie numeru PESEL przy zwykłej sprzedaży, w formularzu marketingowym czy programie lojalnościowym jest niemal zawsze nadmiarowe.
Jeśli przetwarzasz PESEL — chroń go mocniej. Ograniczony dostęp (tylko osoby, które naprawdę go potrzebują), szyfrowanie lub pseudonimizacja tam, gdzie to możliwe, krótka retencja i pewność, że numery nie krążą w mailach czy otwartych plikach Excel. Wyciek bazy z PESEL-ami to scenariusz naruszenia o najwyższych konsekwencjach.
Zastrzeżenie numeru PESEL — co daje i jak to zrobić?
Od 2024 roku każdy może zastrzec swój numer PESEL w rządowym rejestrze zastrzeżeń. Instytucje finansowe mają obowiązek sprawdzić rejestr przed udzieleniem kredytu czy pożyczki — jeśli PESEL jest zastrzeżony, umowa nie powinna dojść do skutku, a jeżeli mimo to zostanie zawarta, nie można skutecznie dochodzić od Ciebie roszczeń z takiej umowy.
Zastrzec PESEL można w kilka minut: w aplikacji mObywatel, przez stronę mObywatel.gov.pl (z profilem zaufanym) albo osobiście w dowolnym urzędzie gminy. Zastrzeżenie można w każdej chwili cofnąć — np. na czas podpisywania umowy kredytowej — i ponownie włączyć. To najskuteczniejsza dziś ochrona przed wyłudzeniem na skradziony PESEL i warto ją włączyć „na stałe”, zdejmując tylko na moment faktycznej potrzeby.
Szerzej o ochronie tożsamości piszemy w artykule gdzie można zastrzec swoje dane osobowe.
Najczęstsze pytania o PESEL i RODO
Czy firma może prosić mnie o PESEL przy zakupie?
Co do zasady nie — przy zwykłej sprzedaży PESEL jest daną nadmiarową. Wyjątki dotyczą sytuacji, gdzie wymaga tego przepis (np. usługi finansowe, telekomunikacyjne na abonament, ochrona zdrowia).
Czy wyciek PESEL trzeba zgłosić do UODO?
Niemal zawsze tak — wyciek PESEL zwykle oznacza co najmniej ryzyko dla osób, a często ryzyko wysokie, co uruchamia zarówno zgłoszenie do UODO w 72 godziny, jak i zawiadomienie osób, których dane dotyczą.
Czy PESEL można podawać w umowach?
Tak, jeśli identyfikacja strony tego wymaga (np. umowy notarialne, kredytowe, o pracę). W prostych umowach cywilnoprawnych między konsumentami zwykle wystarczą inne dane.
Czy zastrzeżenie PESEL chroni przed każdym oszustwem?
Nie przed każdym — chroni głównie przed zaciągnięciem zobowiązań finansowych. Nie zastępuje ostrożności przy udostępnianiu danych ani ochrony dokumentów.
Przetwarzasz numery PESEL w swojej organizacji?
Jeśli Twoja firma zbiera lub przechowuje numery PESEL — pracowników, klientów, pacjentów — warto upewnić się, że robi to na właściwej podstawie i z odpowiednimi zabezpieczeniami. Wyciek tych danych to jeden z najkosztowniejszych scenariuszy naruszenia. Sprawdź, jak zewnętrzny IOD porządkuje takie procesy, albo umów bezpłatną konsultację — przejrzymy, gdzie w Twojej organizacji krążą PESEL-e i czy są bezpieczne.