Adresy i numery PESEL kilkudziesięciu tysięcy osób w internecie. "Idealna baza do kradzieży danych"

Na Kontakt 24 otrzymaliśmy sygnały od zaniepokojonych internautów, którzy zasugerowali, aby przyjrzeć się kwestii ochrony danych osobowych w Krajowym Rejestrze Zadłużonych, zarządzanym przez Ministerstwo Sprawiedliwości.

"To, co tam się dzieje przyprawia o zawrót głowy" - czytamy w korespondencji. 

"Zgłaszałem wierzytelność wobec upadłego Getin Noble Bank. Tam jest teraz około 25 tysięcy wierzycieli. (...) Wszyscy wierzyciele mogą nawzajem oglądać akta innych wierzycieli, w tym numery PESEL, numery dowodów, kont bankowych, dokumenty zgłoszone do postępowania" - wymienił jeden z internautów. Ocenił, że "ochrona danych tam nie istnieje". 

W tym tygodniu syndyk masy upadłości GNB Marcin Kubiczek poinformował, że od ogłoszenia upadłości Getin Noble Banku do 22 sierpnia zostało zgłoszonych 27 tysięcy wierzytelności. Wśród nich zdecydowaną większość stanowią frankowicze.

Do sprawy odniósł się kolejny internauta. "Wystarczy, że poprzez Profil Zaufany dana osoba zarejestruje się w KRZ (nie zgłaszająca wierzytelności) i ma dostęp do bazy danych" - napisał. Jak dodał, chodzi o takie dane, jak: adresy zamieszkania, numery PESEL, numery telefonów, numery kont bankowych, informacje o kredytach.

Według niego, jest to "idealna baza do kradzieży danych osobowych".

Czytelnik poinformował nas, że zgłosił również skargę do Urzędu Ochrony Danych Osobowych, licząc na podjęcie stosownych działań w tej sprawie.

Podobną sytuację przedstawiał niedawno Marek Nowicki w materiale "Faktów" TVN. Okazuje się, że ten, kto ma dostęp do strony gabinet.gov.pl, mając PESEL, może wiedzieć wszystko o lekach kiedykolwiek przepisanych danej osobie.

Czytaj więcej: Dane o receptach dla kilkuset tysięcy osób. Resort zdrowia: dostęp czasowo wstrzymany

Redakcja TVN24 Biznes skontaktowała się z resortem sprawiedliwości i zapytała o nieprawidłowości w systemie KRZ.

"Informacje gromadzone w Krajowym Rejestrze Zadłużonych są w pełni bezpieczne i przetwarzane zgodnie z obowiązującym prawem" - zaznaczono w odpowiedzi.

Wyjaśniono, że "wgląd do akt postępowania upadłościowego, zgodnie z Kodeksem postępowania cywilnego i Prawem upadłościowym, mają wszyscy jego uczestnicy". "Wynika to z zasady wewnętrznej jawności postępowania cywilnego, która gwarantuje uczestnikom postępowania równe prawa" - dodano.

W odpowiedzi ministerstwa czytamy również, że "przepisy regulujące dostęp do akt postępowań upadłościowych obowiązują bez zmian od 2003 roku". "A więc były takie same za poprzednich ministrów sprawiedliwości, jak też w poprzednim 'papierowym' systemie obsługi tych postępowań w sądach. Funkcjonujący od 2021 r. Krajowy Rejestr Zadłużonych, będący teleinformatycznym systemem obsługującym postępowania sądowe, nic w tym zakresie nie zmienił" - podkreślono.

Resort zaznaczył jednocześnie, że każda osoba, która w sposób nieuprawniony, np. poprzez fałszywe zgłoszenie wierzytelności, wejdzie w bezprawne posiadanie danych, podlega odpowiedzialności karnej. "Takie przypadki, będą zgłaszane przez syndyka do prokuratury. Analogicznie jak w postępowaniach prowadzonych w okresie sprzed KRZ, gdy zawiadamianie prokuratury o tego typu nadużyciach należało do sądów" - zastrzeżono.

Adam Sanocki, rzecznik prasowy Urzędu Ochrony Danych Osobowych, w odpowiedzi na pytania TVN24 Biznes podkreślił, że UODO analizuje sprawę automatycznego przyznawania każdemu zgłaszającemu statusu strony postępowania, co skutkuje dostępem do akt. Dodał, że jak dotąd nie zostało zgłoszone naruszenie przez administratora.

"Jednocześnie informuję, że UODO zgłaszał uwagi do projektowanych rozwiązań dotyczących informatyzacji funkcjonowania KRZ – zarówno do ustawy o Krajowym Rejestrze Zadłużonych, jak i aktów wykonawczych do jej przepisów. Za każdym razem UODO przedstawiał swoje obawy co do konstrukcji prawnej przyjętej w ustawie z dnia 6 grudnia 2018 r. o Krajowym Rejestrze Zadłużonych, zgodnie z którą zamieszczone w Krajowym Rejestrze Zadłużonych numery PESEL podlegają upublicznieniu, są zatem jawne i publicznie dostępne" - przekazał.

Zaznaczył, że "organ zwracał uwagę, że ta jawność i publiczna dostępność numerów PESEL w Krajowym Rejestrze Zadłużonych nie tylko nie daje się pogodzić z – statuowaną w art. 87 RODO – zasadą, by przetwarzanie 'krajowego numeru identyfikacyjnego' (jakim jest numer PESEL) odbywało się z zachowaniem odpowiednich zabezpieczeń praw i wolności osoby, której dane dotyczą, lecz – przede wszystkim – rodzi poważne zagrożenia dla osób, których numer PESEL zostanie za pośrednictwem Krajowego Rejestru Zadłużonych upubliczniony".

"W swoich uwagach UODO wskazał na zagrożenia, jakie mogą spowodować takie rozwiązania. Organ alarmował wówczas, że osoba, której numer PESEL zostanie upubliczniony za pośrednictwem KRZ, zostaje de facto pozbawiona prawa do usunięcia danych 'prawa do bycia zapomnianym' (art. 17 RODO), także po wygaśnięciu lub spłacie wierzytelności, która była podstawą ujawnienia informacji o niej w Krajowym Rejestru Zadłużonych" - zauważył.

Podkreślił, że "ze względu na specyfikę sieci internet raz zamieszczony w niej numer PESEL będzie w niej dostępny przez czas nieograniczony, przy jedynie iluzorycznej możliwości jego trwałego usunięcia". "Tym samym osoba, której ta dana osobowa dotyczy, przez czas nieokreślony ponosić będzie ryzyko nieuprawnionego profilowania i przetwarzania jej danych niezgodnie z pierwotnym celem ich zebrania" - zaznaczył.

Czytaj też: Wyścig z czasem frankowiczów. "Państwo na wielu płaszczyznach nie poradziło sobie z tym problemem"