Oświadczenie dot. komunikatu GIODO w sprawie bezpieczeństwa danych w rejestrze PESEL

W odpowiedziach udzielanych GIODO Ministerstwo Cyfryzacji jednoznacznie informowało, że wskazywane przez Generalnego Inspektora obawy i zastrzeżenia są nieuzasadnione. W szczegółowych pismach Ministerstwo Cyfryzacji odniosło się do wszystkich wątpliwości zgłaszanych przez organ ochrony danych osobowych.

W Ministerstwie Cyfryzacji nieustannie podejmowane są działania o charakterze analitycznym i wykonawczym, których celem jest podniesienie poziomu bezpieczeństwa w prowadzonych rejestrach publicznych. Niezależnie od przedstawionej przez GIODO opinii, Ministerstwo stale podejmuje kroki, których celem jest podnoszenie poziomu bezpieczeństwa danych osobowych, do gromadzenia których minister jest zobowiązany. 12 września br. w Ministerstwie Cyfryzacji odbyło się kolejne z cyklu spotkanie kierownictwa resortu z kierownictwem Centralnego Ośrodka Informatyki w tej właśnie sprawie. W prowadzonej z GIODO korespondencji wskazaliśmy, że w terminie do 31 sierpnia br. zostanie zaktualizowana Polityka Certyfikacji dla infrastruktury SRP v.2.1 oraz Polityka Certyfikacji dla operatorów SRP v.1.9. Działania takie zostały podjęte, a dokumenty zostały przyjęte w dniu 31 sierpnia br. i opublikowane na stronie internetowej Ministerstwa Cyfryzacji.

Należy też wskazać, że obowiązek podawania sygnatury prowadzonej sprawy (dotyczy głównie kancelarii komorniczych) w celu pozyskania danych z rejestru PESEL nie wynika wprost z przepisów prawa, nie ma zatem możliwości weryfikowania celowości pobierania danych na tej właśnie podstawie. Dodatkowo rodzi to obowiązek gromadzenia nadmiernej, w naszej ocenie, ilości danych. Nawet wprowadzenie takiego obowiązku w przepisach prawa nie daje też gwarancji prawidłowej weryfikacji celowości pobierania danych, ze względu na fakt, że Ministerstwo Cyfryzacji nie jest w stanie zweryfikować czy komornik jest uprawniony do pobierania danych w tej właśnie konkretnej sprawie. Odpowiedzialność w tym zakresie ciąży więc na odbiorcy danych. Dodatkowo, takie rozwiązanie byłoby możliwe do zastosowania wyłącznie wobec podmiotów, które dostęp do danych zgromadzonych w rejestrze PESEL i RDO uzyskują za pośrednictwem aplikacji ŹRÓDŁO (aplikacji dostępowej do SRP). Rekomendowane przez Generalnego Inspektora rozwiązanie nie znajdzie zastosowania w przypadku, w którym podmiot uzyskuje dostęp do danych za pomocą swojego systemu teleinformatycznego. A taki dostęp mają np. kancelarie komornicze.

Uwzględniając rekomendację Generalnego Inspektora, kilka tygodni temu Centralnemu Ośrodkowi Informatyki zlecono jednak analizę możliwości technicznych wdrożenia zmiany w aplikacji ŹRÓDŁO polegającej na odnotowaniu uzasadnienia dostępu do danych lub sygnatury akt sprawy. Jednak zaplanowany na rok 2017 budżet dla SRP jak i wniosek o uruchomienie rezerwy celowej nie przewidywał finansowania tej modyfikacji aplikacji ŹRÓDŁO, jej realizacja będzie możliwa z rezerwy celowej zabezpieczonej na rok 2018. Dlatego planowany, realny termin wdrożenia zmiany może nastąpić w III kwartale 2018 roku.