Numer PESEL wydaje się prosty: ciąg liczb, który każdy w Polsce ma wykuty w pamięci. RODO dokłada do tego jednak warstwę prawną, w której łatwo się potknąć. PESEL nie jest formalnie „daną wrażliwą” w rozumieniu RODO, ale w praktyce wymaga traktowania jak informacja podwyższonego ryzyka. Ten tekst porządkuje temat: co dokładnie mówi RODO, co wynika z polskich przepisów i kiedy wolno w ogóle żądać PESEL w umowach.
Dane osobowe a dane wrażliwe wg RODO
Na początek warto odróżnić dwie rzeczy: „zwykłe” dane osobowe od „szczególnych kategorii danych”, które w polskim obiegu językowym nazywa się po prostu „danymi wrażliwymi”.
RODO (art. 4) definiuje dane osobowe bardzo szeroko: to każda informacja o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. W tym katalogu mieszczą się m.in. imię, nazwisko, adres e-mail, numer telefonu, adres czy właśnie numer PESEL.
Oddzielnie RODO (art. 9) wymienia szczególne kategorie danych, czyli m.in.:
- dane ujawniające pochodzenie rasowe lub etniczne,
- poglądy polityczne,
- przekonania religijne lub światopoglądowe,
- dane genetyczne i biometryczne w celu identyfikacji,
- dane dotyczące zdrowia,
- dane dotyczące życia seksualnego lub orientacji seksualnej.
Jeśli informacja wpada do tego katalogu, wchodzi mocno zaostrzony reżim przetwarzania (co do zasady zakaz, z kilkoma wyjątkami). PESEL w tym katalogu nie występuje. To robi całą różnicę z perspektywy RODO, ale nie oznacza, że można go traktować jak dowolny adres e‑mail.
PESEL jest danymi osobowymi, ale nie jest „daną wrażliwą” w rozumieniu art. 9 RODO. Wymaga jednak wyższego poziomu ochrony ze względu na ryzyko nadużyć.
Czym właściwie jest PESEL i co z niego wynika?
PESEL to unikalny numer identyfikacyjny osoby fizycznej, nadawany raz na całe życie. Sam w sobie nie ujawnia poglądów, zdrowia ani wyznania, ale ma inne cechy, które z punktu widzenia bezpieczeństwa są problematyczne.
Z numeru PESEL można odczytać datę urodzenia i płeć. W praktyce służy też do:
- weryfikacji tożsamości w urzędach, bankach i u ubezpieczycieli,
- obsługi świadczeń (ZUS, NFZ),
- identyfikacji w systemach informatycznych administracji.
To sprawia, że PESEL staje się dla wielu procesów kluczem technicznym i prawnym. W połączeniu z innymi danymi (np. imię, nazwisko, seria i numer dowodu) tworzy zestaw wystarczający do wyłudzeń, zaciągania zobowiązań czy podszywania się pod inną osobę.
Dlatego część praktyków używa określenia „dane wrażliwe” w sensie potocznym: coś, co w razie wycieku może wyrządzić poważną szkodę. To jednak co innego niż „szczególne kategorie danych” z art. 9 RODO.
Czy PESEL jest daną wrażliwą wg RODO?
Formalnie odpowiedź jest prosta: nie, PESEL nie jest daną wrażliwą w rozumieniu RODO. To „zwykła” dana osobowa, ale o bardzo wysokiej wartości identyfikacyjnej.
Warto jednak dodać poziom lokalny: polska ustawa o ochronie danych osobowych i praktyka organu nadzorczego (UODO) traktują PESEL jako dane wymagające szczególnej staranności. Nie zmienia to jego kategorii prawnej w RODO, ale wpływa na ocenę ryzyka i wymagane zabezpieczenia.
UODO w swoich komunikatach i decyzjach konsekwentnie podkreśla, że:
- PESEL jest danymi osobowymi,
- jego przetwarzanie co do zasady wymaga podstawy prawnej (tak jak każde dane osobowe),
- ze względu na ryzyko nadużyć administrator powinien stosować silniejsze zabezpieczenia techniczne i organizacyjne niż przy mniej wrażliwych danych.
W praktyce oznacza to, że choć formalnie nie ma tu art. 9 RODO, to przy wycieku PESEL z reguły występuje wysokie ryzyko naruszenia praw i wolności osób. A to przekłada się na obowiązek zgłoszenia naruszenia do UODO, a często także zawiadomienia samych osób, których dane dotyczą.
PESEL w umowach – kiedy wolno go żądać?
Wiele firm standardowo wrzuca PESEL do każdego wzoru umowy „na wszelki wypadek”. To wygodne, ale nie zawsze zgodne z RODO. Zasada jest prosta: należy zbierać tylko takie dane, które są niezbędne do celu przetwarzania (zasada minimalizacji).
Podstawa prawna zbierania PESEL
Najczęściej PESEL pojawia się w umowach w oparciu o:
- niezbędność do wykonania umowy (art. 6 ust. 1 lit. b RODO) – np. umowa kredytu, umowa ubezpieczenia, sprzedaż na raty, gdzie przepisy lub standardy branżowe wymagają mocnej identyfikacji strony,
- obowiązek prawny (art. 6 ust. 1 lit. c RODO) – np. przepisy prawa bankowego, podatkowego, ubezpieczeniowego, które wymagają podania PESEL,
- uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO) – gdy firma potrafi wykazać, że PESEL jest realnie potrzebny np. do dochodzenia roszczeń, a mniej inwazyjne dane nie wystarczą.
Nie ma potrzeby podpierać się zgodą, jeśli PESEL jest faktycznie niezbędny do zawarcia lub realizacji umowy. Zgoda jest narzędziem zapasowym, a nie domyślnym rozwiązaniem.
Jeśli jednak PESEL jest zbierany „na zapas” – bo tak ma wzór umowy, bo „może się przyda” – trudno obronić to przed RODO. Taka praktyka narusza zasadę minimalizacji danych.
Kiedy PESEL w umowie jest zbędny (albo wręcz ryzykowny)?
W wielu prostych relacjach cywilnoprawnych PESEL nie jest konieczny. Umowy typu:
- sprzedaż rzeczy między osobami fizycznymi,
- umowa zlecenia o niewielkiej wartości poza działalnością regulowaną,
- proste umowy B2B, gdzie kluczowe są dane firmy (NIP, KRS, adres),
mogą spokojnie obyć się bez numeru PESEL, jeśli nie ma ku temu wyraźnego powodu prawnego lub biznesowego.
W takich przypadkach wystarczające są zwykle:
- imię i nazwisko,
- adres zamieszkania lub korespondencyjny,
- ewentualnie seria i numer dowodu tożsamości (chociaż i tu warto się zastanowić nad realną koniecznością).
Dodanie PESEL „dla pewności” zwiększa tylko powierzchnię ryzyka – w razie wycieku dane stają się dużo bardziej użyteczne dla oszustów. Z punktu widzenia RODO to klasyczny przykład nadmiernego przetwarzania.
Ryzyka praktyczne związane z wyciekiem PESEL
Największy problem z PESEL polega na tym, że jest trudnozmienny. Adres można zmienić, numer telefonu też. Zmiana PESEL to już zupełnie inna liga – w praktyce możliwa tylko w wyjątkowych sytuacjach.
Wyciek PESEL w połączeniu z innymi danymi identyfikującymi (zwłaszcza imię, nazwisko, adres) umożliwia m.in.:
- próby wyłudzenia kredytu lub pożyczki,
- podszywanie się pod daną osobę przy zawieraniu umów na odległość,
- tworzenie bardzo wiarygodnych prób phishingu (np. fałszywe „wezwania” z banków, urzędów),
- długotrwałe nękanie lub szantaż, jeśli wyciek dotyczy większych pakietów danych.
Z perspektywy administratora danych oznacza to, że naruszenie dotyczące PESEL niemal automatycznie rodzi wysokie ryzyko. To z kolei przekłada się na obowiązek:
- zgłoszenia naruszenia do UODO w ciągu 72 godzin,
- w wielu przypadkach – zawiadomienia każdej osoby, której PESEL wyciekł, w sposób zrozumiały i konkretny.
W praktyce oznacza to nie tylko koszty i kłopot organizacyjny, ale też realne ryzyko reputacyjne.
Jak bezpiecznie przetwarzać PESEL w firmie
Skoro PESEL jest „zwykłą” daną osobową, ale o podwyższonym ryzyku, warto wdrożyć dla niego wymogi z wyższej półki, nawet jeśli przepisy nie narzucają wprost szczególnego statusu.
Praktyczne zasady pracy z PESEL
Po pierwsze – minimalizacja i selekcja. PESEL powinien pojawiać się tylko tam, gdzie rzeczywiście jest potrzebny: w procesach wymagających silnej identyfikacji lub gdzie wymaga tego prawo. Warto przejrzeć wzory umów i formularzy oraz wyciąć PESEL tam, gdzie nic realnie nie wnosi.
Po drugie – ograniczenie dostępu. Dostęp do PESEL nie powinien być powszechny „dla całej firmy”. Wystarczy, jeśli mają go osoby, które faktycznie potrzebują tych danych do wykonywania swoich zadań. Technicznie: role w systemach, uprawnienia, logowanie dostępu.
Po trzecie – bezpieczne przechowywanie. PESEL w systemach informatycznych powinien być przechowywany w bazach z ograniczonym dostępem, z szyfrowaniem nośników i kopii zapasowych. W dokumentach papierowych – w zamykanych szafach, bez luźno fruwających kopii na biurku.
Po czwarte – bezpieczne udostępnianie. Wysyłanie PESEL w treści niezaszyfrowanego maila czy w załączniku bez zabezpieczeń to proszenie się o kłopoty. Tam, gdzie trzeba przekazać takie dane, warto stosować:
- szyfrowanie plików hasłem przekazywanym innym kanałem,
- bezpieczne systemy do wymiany dokumentów,
- maskowanie PESEL tam, gdzie pełen numer nie jest konieczny (np. wyświetlanie tylko części cyfr w panelach pracowniczych).
Po piąte – jasne procedury. Personel musi wiedzieć, że PESEL to nie „zwykłe dane imię+nazwisko” i że obowiązują go konkretne zasady. Krótka, konkretna procedura obiegu PESEL w firmie robi tu sporą różnicę.
Najczęstsze błędy w umowach dotyczące PESEL
W praktyce powtarza się kilka schematów, które warto wychwycić i poprawić:
- Automatyczne wklejanie PESEL do każdego wzoru umowy, niezależnie od rodzaju relacji i celu przetwarzania.
- Brak uzasadnienia biznesowego lub prawnego – w polityce prywatności czy rejestrze czynności przetwarzania nie ma słowa, po co firmie PESEL w danym procesie.
- Przechowywanie PESEL bez ograniczeń czasowych – dane wiszą w systemach „wiecznie”, mimo że okres przedawnienia roszczeń czy wymogi podatkowe dawno minęły.
- Przesyłanie PESEL kanałami nieadekwatnymi do ryzyka – np. mailem bez szyfrowania, w otwartych plikach Excel bez hasła.
- Udostępnianie PESEL podmiotom trzecim bez jasnej podstawy prawnej i bez odpowiedniej umowy powierzenia przetwarzania danych.
Duża część tych błędów wynika z przyzwyczajenia – kiedyś PESEL wpisywało się w formularze „bo tak”, dziś RODO wymusza twarde pytanie: czy naprawdę jest niezbędny?
Podsumowanie – jak zdroworozsądkowo traktować PESEL?
Z prawnego punktu widzenia sprawa jest jasna: PESEL to dane osobowe, ale nie dana wrażliwa w rozumieniu art. 9 RODO. Mimo to powinien być traktowany jako informacja o podwyższonym ryzyku, właśnie ze względu na skutki ewentualnego wycieku.
W praktyce oznacza to trzy proste zasady:
- zbierać PESEL tylko tam, gdzie jest to rzeczywiście konieczne lub wymagane prawem,
- ograniczać dostęp i zadbać o wyższy poziom zabezpieczeń,
- regularnie weryfikować wzory umów i procesy pod kątem minimalizacji danych.
Takie podejście jest zgodne z literą RODO, ale przede wszystkim – z rozsądnym podejściem do bezpieczeństwa klientów, pracowników i kontrahentów.