Ujawnienie imienia, nazwiska i numeru PESEL przez pomyłkę urzędnika uruchamia prokuraturę, komunikaty o naruszeniu ochrony danych i ostrzeżenia o ryzyku wyłudzeń. Tymczasem to samo państwo utrzymuje rejestry, w których publicznie udostępnia te same dane bez logowania, bez kontroli odwiedzin i bez realnej możliwości ustalenia, kto, kiedy i w jakim celu po nie sięgnął.
Numer PESEL można pozyskać w prosty sposób z publicznie dostępnych baz państwowych, w szczególności z CRBR, KRS oraz z elektronicznego modelu dostępu do ksiąg wieczystych. W przypadku członka zarządu spółki, także niewielkiej i rodzinnej, dojście do numeru PESEL nie wymaga żadnych szczególnych działań. Wystarczy znać nazwę firmy.
Dane te pozostają dostępne anonimowo, a więc są szczególnie atrakcyjne dla osób działających w celach przestępczych. Uczciwy kontrahent, bank czy inna uprawniona instytucja nie ma interesu w anonimowym pobieraniu takich danych. Z anonimowości i braku rozliczalności korzysta za to ten, kto chce pozyskać te dane bez pozostawiania śladu pozwalającego ustalić jego tożsamość przez organy ścigania, organy kontrolne lub inne podmioty badające przestępcze wykorzystanie tych danych.
Państwo idzie jeszcze dalej. W części przypadków zmusza obywatela do podania numeru PESEL pod groźbą sankcji finansowych, a następnie pozostawia ten numer w publicznym obiegu. Później jako rzekomy środek ochrony oferuje mechanizm zastrzeżenia PESEL, który nie usuwa źródła zagrożenia, lecz jedynie częściowo minimalizuje ryzyko po publicznym ujawnieniu danych. Mechanizm ten jest przy tym praktycznie uciążliwy, bo wyłącza obywatela z szeregu legalnych czynności finansowych, w tym także z prostych transakcji opartych na płatności odroczonej lub finansowaniu ratalnym.
W ramach projektu Ustawy pod lupą kieruję tę sprawę do Najwyższej Izby Kontroli z wnioskiem o podjęcie kontroli. Kontrola powinna objąć cały model publicznego ujawniania numeru PESEL w rejestrach państwowych, a w szczególności KRS, CRBR oraz elektroniczny model dostępu do ksiąg wieczystych.
W piśmie do NIK domagam się zbadania:
- wewnętrznej sprzeczności państwa, które z jednej strony publicznie ujawnia numer PESEL, a z drugiej traktuje go jako identyfikator wymagający szczególnej ochrony.
- legalności publicznego ujawniania numeru PESEL w rejestrach państwowych,
- adekwatności publicznego ujawniania numeru PESEL wobec deklarowanych celów tych rejestrów,
- proporcjonalności zakresu ujawnianych danych identyfikacyjnych,
- braku logowania użytkownika przy dostępie do danych,
- braku realnej rozliczalności dostępu,
- podatności systemu na masowe pobieranie i dalsze rozpowszechnianie danych,
Przedmiotem tego pisma jest skala zagrożenia, nieadekwatność ujawniania numeru PESEL, wątpliwe argumenty używane do obrony obecnego stanu oraz niekonstytucyjność rozwiązań, które przerzucają na obywatela ciężar ochrony przed ryzykiem wytworzonym przez samo państwo. Przedmiotem tego pisma jest również ocena systemu, w którym państwo samo tworzy i utrzymuje anonimowo dostępne źródła prawdziwych numerów PESEL.