Każdy może sprawdzić PESEL zadłużonego

Dane osobowe gromadzone w rejestrach sądowych są publicznie dostępne – alarmuje rzecznik praw obywatelskich. Resort sprawiedliwości zapowiada zmiany: aby dostać się do bazy, trzeba będzie się uwierzytelnić w systemie.

Pomimo obowiązującego od 2018 r. rozporządzenia UE 2016/679 (RODO) wciąż istnieją miejsca, w których dostęp do tzw. danych wrażliwych można uzyskać od ręki. Rzecznik praw obywatelskich prof. Marcin Wiącek wskazuje, że szeroki dostęp do informacji osobistych gromadzonych w rejestrach sądowych „może powodować poważne zagrożenie dla ochrony prawa do prywatności”.

Chodzi przede wszystkim o Krajowy Rejestr Zadłużonych. Obowiązujące dziś regulacje przewidują upublicznienie imienia i nazwiska, adresu siedziby bądź zamieszkania oraz numeru PESEL zadłużonego. Jak tłumaczono w uzasadnieniu do ustawy o krajowym rejestrze zadłużonych (Dz.U. z 2019 r. poz. 55), wynika to z przepisów prawa upadłościowego i restrukturyzacyjnego. Według rzecznika rozszerzenie zestawu gromadzonych informacji o numer PESEL to wyraz nadgorliwości, zwłaszcza że unijne rozporządzenie 2015/848 w sprawie postępowania upadłościowego przewiduje węższy zakres ujawniania danych.

– Rejestry sądowe umożliwiają łatwy i niekontrolowany dostęp do danych osobowych. Ich upublicznienie narusza prawo do prywatności jednostki oraz stoi w sprzeczności z art. 51 ust. 2 konstytucji – zgadza się Małgorzata Skórska, prawnik z zespołu ochrony danych osobowych w kancelarii WKB Lawyers.

– Brak konsekwencji widać szczególnie przy numerze PESEL. Ustawodawca nie określił dotychczas szczególnych warunków przetwarzania tego identyfikatora zgodnie z art. 87 RODO, dając w pewnym sensie przyzwolenie na jego przetwarzanie – dodaje.

Podobnie uważa prezes UODO, który po wejściu w życie rozporządzenia RODO wskazywał na potrzebę pełnego przejrzenia wszystkich obowiązujących aktów prawnych i dostosowania ich do unijnych wymogów. Zwracał uwagę na to, że szczególnie istotne jest właściwe wyważenie między ochroną obrotu gospodarczego a prawem do prywatności. Choć RODO jest stosowane od ponad pięciu lat, to wciąż nie przeanalizowano wszystkich krajowych przepisów pod jego kątem.

Resort dostrzega problem

Zapytane przez DGP Ministerstwo Sprawiedliwości odpowiada, że prace analityczno-koncepcyjne nad zmianami w sposobie dostępu do rejestrów sądowych są na zaawansowanym poziomie. Dodatkowo przedstawiciele resortu wskazują, że „wzmocnienie mechanizmów, które zapewniają poszanowanie prawa do prywatności, ma zostać osiągnięte m.in. dzięki modyfikacji sposobu udostępniania treści rejestrów. Uzyskanie dostępu do informacji, uznanych za dane podlegające szczególnej ochronie, wymagało będzie uprzedniego uwierzytelnienia się w systemie teleinformatycznym”. Nie podano nam jednak planowanej daty zaprezentowania zmian legislacyjnych. Można podejrzewać, że przyjdzie nam na nie jeszcze poczekać, ponieważ, jak tłumaczy resort, „rejestry sądowe to niezwykle obszerne zagadnienie”, a prace nad sposobem ich udostępniania w internecie są czasochłonne.

– Mierzymy się z sytuacją niepewności, w której z jednej strony numer PESEL jest jawny w określonych rejestrach, a z drugiej – utrata takich danych przez administratora powoduje ryzyko wszczęcia postępowania i nałożenia kar przez prezesa UODO – ostrzega Małgorzata Skórska.

Według niej upublicznianie numeru PESEL nie jest niezbędne do osiągnięcia celu, do jakiego służy rejestr zadłużonych.

– Można rozważyć – w ślad za innymi krajami UE – udostępnianie danych (w tym numeru PESEL) wyłącznie na uzasadniony interesem prawnym wniosek zainteresowanego – proponuje prawniczka.

Trybunały na straży prywatności

Za ograniczeniami w dostępie do danych osobowych zgromadzonych w publicznych rejestrach wielokrotnie opowiadały się międzynarodowe sądy. Europejski Trybunał Praw Człowieka (ETPC) w wyroku z marca 2023 r. (skarga nr 36345/16) uznał, że opublikowanie w internecie przez węgierskie urzędy skarbowe adresów zamieszkania poważnych dłużników podatkowych stanowi „nieproporcjonalną ingerencję w ich prawo do prywatności”. ETPC uwzględnił intencję ustawodawcy, tzn. swoistą zachętę do przestrzegania prawa podatkowego, jednak stwierdził, że „nie wzięto pod uwagę potencjalnego zasięgu medium użytego do rozpowszechniania informacji”. W praktyce oznacza to bowiem, że każdy z dostępem do sieci miał możliwość zdobycia adresu zamieszkania dłużnika podatkowego.

Na podobnym stanowisku od lat stoi TSUE, który w licznych wyrokach (np. w sprawach C-92/09, C-93/095) publiczne udostępnianie danych osobowych nazwał wprost naruszeniem Karty praw podstawowych. Natomiast w orzeczeniu z listopada 2022 r. (C-37/20 i C-601/20) jasno zaznaczył, że powszechnie dostępne rejestry powinny być tak skonstruowane, aby nie zachodziła nieproporcjonalna ingerencja w prawo do prywatności zamieszczonych w nich osób. Na tej samej zasadzie TSUE za niezgodne z prawem UE uznał łotewskie przepisy, które nakładają na władze wymóg publikowania wykazu ukaranych punktami karnymi za wykroczenia drogowe, a jednocześnie nie żądają od osoby chcącej uzyskać dostęp do tych danych wykazania jej szczególnego interesu (C-439/19).

Naruszeń jest więcej

Rejestry sądowe to niejedyne przypadki nieuzasadnionego naruszania prawa do prywatności. Doktor Aleksandra Musielak, dyrektorka departamentu rynku cyfrowego z Konfederacji Lewiatan, krytykuje obowiązek przekazywania przez firmy teleinformatyczne danych do GUS.

– Zakres udostępnianych informacji jest zbyt szczegółowy, a przepisy nie precyzują celu ich pozyskiwania – mówi nasza rozmówczyni.

– Problemem sygnalizowanym przez rynek telekomunikacyjny jest też kwestia udostępniania danych odpowiednim służbom, bez określenia celu gromadzenia danych retencyjnych, z naruszeniem zasady subsydiarności oraz tajemnic prawnie chronionych. Wycofany niedawno z Sejmu projekt ustawy lex inwigilacja miał rozszerzać wspomniane wymagania na operatorów komunikatorów i poczty e-mail – dodaje Aleksandra Musielak. ©℗