PESEL w e-podpisie to zagrożenie? UODO apeluje o ochronę danych
Prezes Urzędu Ochrony Danych Osobowych ponownie wystąpił do Ministra Cyfryzacji z prośbą o zmiany w ustawie dotyczącej usług zaufania i identyfikacji elektronicznej. Główny postulat to usunięcie wymogu ujawniania numeru PESEL w certyfikatach kwalifikowanego podpisu elektronicznego.
W tym tekście (3)
Kolejny apel UODO
Prezes UODO zwrócił się do Ministra Cyfryzacji o zmiany w przepisach regulujących usługi zaufania oraz identyfikację elektroniczną. Urząd postuluje, aby numer PESEL nie był ujawniany w certyfikatach kwalifikowanego podpisu elektronicznego. To kolejny raz, gdy organ nadzorczy zgłasza ten problem, jednak dotychczasowe starania nie przyniosły oczekiwanych rezultatów.
Instytucje korzystające z kwalifikowanego podpisu elektronicznego sygnalizują Prezesowi UODO, że numer PESEL jest pozyskiwany przez dostawców usług zaufania i upubliczniany, mimo że ani prawo unijne, ani krajowe tego nie wymagają. To budzi obawy o nadmierne ujawnianie danych osobowych.
eIDAS a PESEL
Stosowanie certyfikatów kwalifikowanego podpisu elektronicznego jest regulowane przez europejskie rozporządzenie eIDAS oraz polską ustawę o usługach zaufania.
Zgodnie z tymi przepisami identyfikacja osoby korzystającej z kwalifikowanego podpisu powinna opierać się na numerze z rejestru publicznego, który jednoznacznie identyfikuje daną osobę. Zdaniem Prezesa UODO, nie musi to jednak być numer PESEL.
PESEL jest unikalnym identyfikatorem przypisanym obywatelowi w relacji z państwem, co czyni go wyjątkowo wrażliwą daną. Poza identyfikacją, numer ten pozwala również na uzyskanie dodatkowych informacji o osobie, takich jak jej wiek czy płeć, co rodzi ryzyko nieuprawnionego przetwarzania tych danych.
Przepisy nie przewidują ujawniania PESEL
Obecne przepisy prawne, zarówno krajowe, jak i unijne, nie wymagają ujawniania numeru PESEL w dokumentach opatrzonych podpisem elektronicznym. Zasady przetwarzania danych osobowych regulowane przez RODO wskazują, że przetwarzanie danych musi być zgodne z prawem i ograniczone do niezbędnego minimum.
O ile użycie numeru PESEL jest uzasadnione w procesie weryfikacji tożsamości wnioskującego o wydanie certyfikatu, o tyle jego dalsze ujawnianie może być niepotrzebne.
Prezes UODO postuluje więc, aby zmienić przepisy, tak by numer PESEL nie był ujawniany w certyfikatach podpisu elektronicznego, co poprawiłoby ochronę prywatności obywateli.