Numer PESEL czy seria i numer dowodu osobistego? - zakres przetwarzanych danych osobowych

Jak określić zakres danych osobowych?

Określając zakres danych osobowych, które mają być przetwarzane, należy przede wszystkim mieć na uwadze zasadę minimalizacji wynikającą z  RODO. W myśl tej zasady, zgodnie z art. 5 ust. 1 lit. c) RODO, dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Postępowanie zgodnie z tą zasadą musi oznaczać, że administrator dostosuje m.in. zakres danych osobowych do celu ich przetwarzania. Sprzeczne z zasadą minimalizacji będzie zatem przetwarzanie możliwie szerokiego zakresu danych osobowych w danym procesie, np. imienia, nazwiska, adresu e-mail oraz adresu zamieszkania w przypadku korzystania z newslettera, ponieważ w tym procesie za wystarczające należy uznać pozyskiwanie adresu e-mail.

Polecamy: Pakiet Kadrowy: Wynagrodzenia 2020 + Czas pracy 2020 + Zatrudnianie i zwalnianie pracowników + Uprawnienia rodziców w pracy

Niestety, także i dzisiaj cześć administratorów stosuje zakres danych osobowych niedostosowany do specyfiki konkretnego procesu, opierając się raczej na swoich przyzwyczajeniach, wcześniejszych doświadczeniach i praktykach, często jeszcze sprzed zmiany przepisów, niż na analizie przepisów lub zakresu danych potrzebnych w konkretnym procesie. Przykładem może być nadal występujące przetwarzanie serii i numeru dowodu osobistego w stosunku pracy poprzez gromadzenie tych danych osobowych (a często także i innych z dowodu osobistego w przypadku wykonywania kserokopii tego dokumentu) w teczce akt osobowych pracownika.

Dlaczego jednoczesne przetwarzanie danych osobowych z dowodu osobistego jest kwestionowane?

Numer PESEL oraz seria i numer dowodu osobistego to przykłady identyfikatorów, których przetwarzanie jest dopuszczalne, z reguły w przypadkach określonych przepisami prawa. Podstawowym celem przetwarzania tych danych osobowych jest umożliwienie identyfikacji osoby fizycznej, w tym celu administratorzy często pozyskują numer PESEL (do celu identyfikacji czy ewentualnego dochodzenia roszczeń). Nie oznacza to jednak, że administrator może przetwarzać dowolną liczbą identyfikatorów osoby fizycznej. Przede wszystkim, w zdecydowanej liczbie przypadków pozyskiwanie więcej niż jednego identyfikatora (a więc jednocześnie numeru PESEL oraz serii i numeru dowodu osobistego) będzie sprzeczne z zasadą minimalizacji. Prawidłowe stosowanie tej zasady oznacza, że administrator nie zbiera niepotrzebnych mu w danym procesie przetwarzania danych osobowych, a tym samym  nie naraża się na zarzut pozyskiwania danych nadmiarowych. Po drugie, pozyskiwanie wszystkich danych osobowych zawartych w dowodzie osobistym nie ma z reguły oparcia w przepisie prawa. Zatem pozyskanie przez administratora numeru PESEL (np. do celu identyfikacji strony umowy) powinno wykluczyć pozyskiwanie serii i numeru dowodu osobistego, które miałoby służyć osiągnięciu tego samego celu. Ponadto, przetwarzanie serii i numeru dowodu osobistego jest dopuszczalne w przypadkach wyraźnie wskazanych w przepisach prawa, np. w przypadku ich zbierania  przez kuratorów, banki czy, w przypadku niektórych podmiotów, pozyskiwania serii i numeru dowodu osobistego, jeżeli podmiot danych nie posiada numeru PESEL.

Kiedy przetwarzanie serii i numeru dowodu nie jest dopuszczalne?

Pozyskiwanie serii i numeru dokumentu tożsamości, np. dowodu osobistego nie jest prawidłowe:

• w przypadku wypożyczania sprzętu wodnego, rowerów, nart etc. (dodatkowym ryzykiem w tym przypadku jest pozostawienie dowodu osobistego w swoisty „zastaw”, do momentu zwrotu sprzętu; w takim przypadku Urząd Ochrony Danych Osobowych rekomenduje spisywanie danych z dowodu osobistego, tj. imienia, nazwiska i numeru PESEL oraz zniszczenie notatki z tymi danymi po oddaniu sprzętu[1]),
• w przypadku gromadzenia dokumentacji pracowniczej, np. na kwestionariuszach osobowych dla pracowników (seria i numer dowodu osobistego nie mieści się w zakresie danych określonych przez ustawodawcę w kodeksie pracy),
• w przypadku zawierania umów cywilnoprawnych, obok innych danych identyfikujących osobę fizyczną (np. adres zamieszkania, numer PESEL),
• w przypadku zawierania umów cywilnoprawnych, jako identyfikator pozyskiwany dla celów ewentualnego dochodzenia roszczeń (wystarczający do tego celu jest numer PESEL),
• do weryfikacji tożsamości osoby fizycznej, w przypadku żądania np. dostępu do jej danych osobowych przetwarzanych przez administratora (weryfikując tożsamość tej osoby, administrator nie może pozyskiwać nowych danych osobowych).

Należy też mieć na uwadze, że w wielu przepisach prawa, przewidujących ewentualne pozyskiwanie danych osobowych w postaci serii i numeru dowodu osobistego, ustawodawca nakazuje w pierwszej kolejności pozyskać numer PESEL, a dopiero w jego braku – właśnie serię i numer dowodu osobistego. Poza tym, administrator musi liczyć się także i z tym, że osoba fizyczna, której dane przetwarza, postanowi skorzystać z jednego z przysługujących jej na gruncie RODO praw, i np. zażąda usunięcia serii i dowodu numeru osobistego. W takim przypadku administratorowi będzie trudno wykazać, że te dane osobowe są niezbędne w konkretnym procesie przetwarzania, jeżeli nie będzie mógł uzasadnić ich pozyskania poprzez wskazanie  właściwej podstawy prawnej jego przetwarzania.