Czy PESEL jest daną wrażliwą – co mówi RODO i polskie prawo?

PESEL potrafi otworzyć więcej drzwi niż się wydaje:

To nie „tajemny kod”, ale numer, który w połączeniu z imieniem i nazwiskiem pozwala szybko zidentyfikować człowieka w wielu systemach.

Najczęstsze pytanie brzmi, czy PESEL jest daną wrażliwą w rozumieniu RODO i czy wolno go żądać w pracy. Odpowiedź jest bardziej praktyczna niż teoretyczna: RODO nie zalicza PESEL do danych szczególnych kategorii, ale polskie prawo i realne ryzyka sprawiają, że trzeba go traktować z podwyższoną ostrożnością. Poniżej zebrane zostały zasady, które najczęściej „wychodzą w praniu” w kadrach, HR i u pracodawców.

Czy PESEL to „dana wrażliwa” według RODO?

RODO rozróżnia zwykłe dane osobowe i szczególne kategorie danych (często potocznie nazywane „wrażliwymi”). Te drugie to m.in. dane o zdrowiu, poglądach politycznych, przekonaniach religijnych, przynależności do związków zawodowych, dane genetyczne czy biometryczne (art. 9 RODO). Numer PESEL nie znajduje się na tej liście.

To jednak nie oznacza, że PESEL jest „zwykły jak e-mail”. RODO wprost wskazuje, że numery identyfikacyjne są danymi osobowymi, a ich użycie może zwiększać ryzyko dla osoby, której dane dotyczą. W praktyce PESEL działa jak stabilny identyfikator: nie zmienia się, bywa wykorzystywany w wielu rejestrach i bywa elementem weryfikacji tożsamości.

PESEL nie jest daną szczególnej kategorii z art. 9 RODO, ale jest daną osobową o wysokiej „mocy identyfikacyjnej”. Z tego powodu często wymaga mocniejszej kontroli dostępu, ograniczenia kopii i rozsądnej retencji.

Co mówi polskie prawo o PESEL jako identyfikatorze?

W polskim systemie prawnym PESEL jest formalnie uregulowany w przepisach dotyczących ewidencji ludności i rejestrów państwowych (m.in. ustawa o ewidencji ludności). Najważniejszy wniosek dla firm: PESEL jest urzędowym identyfikatorem osoby, a jego przetwarzanie powinno mieć wyraźny cel i podstawę prawną.

RODO dopuszcza szczególne podejście do takich identyfikatorów. Art. 87 RODO mówi, że państwa członkowskie mogą wprowadzić szczególne warunki przetwarzania numerów identyfikacyjnych. Polska praktyka organów nadzorczych i orzecznictwo konsekwentnie idą w stronę tezy: PESEL wolno przetwarzać, ale tylko wtedy, gdy to uzasadnione i odpowiednio zabezpieczone.

Warto też oddzielić dwa porządki. Po pierwsze: legalność (czy wolno w ogóle zbierać PESEL). Po drugie: bezpieczeństwo i minimalizacja (czy trzeba go kopiować, wysyłać mailem, drukować na listach, trzymać w wielu miejscach). Właśnie na tym drugim poziomie najczęściej dochodzi do naruszeń.

PESEL w prawie pracy: kiedy pracodawca może go żądać?

W relacji pracownik–pracodawca nie ma pełnej dowolności. Zakres danych, jakich może żądać pracodawca, wynika z Kodeksu pracy (art. 22¹). Przepisy wprost przewidują, że pracodawca może żądać od pracownika m.in. imienia i nazwiska, daty urodzenia, danych kontaktowych, a także:

• numeru PESEL (a jeżeli nie został nadany – rodzaju i numeru dokumentu potwierdzającego tożsamość),
• innych danych, jeżeli są niezbędne do korzystania przez pracownika ze szczególnych uprawnień przewidzianych prawem pracy,
• danych wymaganych do realizacji obowiązków pracodawcy wynikających z przepisów (np. ZUS, podatki).

To ważne: w zatrudnieniu podstawą przetwarzania PESEL najczęściej nie jest zgoda, tylko obowiązek prawny (art. 6 ust. 1 lit. c RODO) albo niezbędność do wykonania umowy (art. 6 ust. 1 lit. b RODO) – zależnie od procesu. Zgoda w pracy bywa problematyczna, bo relacja jest nierówna i „dobrowolność” często jest tylko na papierze.

Rekrutacja a PESEL – gdzie najczęściej pojawia się błąd

Na etapie rekrutacji pracodawca co do zasady nie powinien żądać PESEL „na wszelki wypadek”. W praktyce do oceny kandydata wystarczają dane wskazane w Kodeksie pracy dla osoby ubiegającej się o zatrudnienie (m.in. imię, nazwisko, dane kontaktowe, wykształcenie, kwalifikacje i przebieg zatrudnienia – ale tylko gdy to niezbędne do pracy danego rodzaju).

PESEL zazwyczaj staje się potrzebny dopiero przy formalnościach kadrowo-płacowych, zgłoszeniach do ZUS czy w podatkach, czyli już po decyzji o zatrudnieniu. Jeśli pojawia się w formularzu rekrutacyjnym, warto zadać proste pytanie: po co dokładnie jest potrzebny na tym etapie?

Typowe „wytłumaczenia”, które nie bronią się przy analizie RODO, to: przyspieszenie pracy działu kadr, „tak mamy w systemie”, „bo później i tak będzie potrzebny”. RODO wymaga minimalizacji: zbiera się dane adekwatne, stosowne i ograniczone do tego, co niezbędne.

Jeśli organizacja upiera się przy PESEL w rekrutacji, powinna umieć wskazać konkretny przepis lub realną konieczność procesową. W przeciwnym razie rośnie ryzyko naruszenia zasady minimalizacji oraz problemów przy skardze do UODO.

Rozsądna praktyka: PESEL przekazywany dopiero przy przygotowaniu umowy i dokumentów zgłoszeniowych, najlepiej kanałem, który nie generuje dodatkowych kopii i „rozsypania” danych po skrzynkach mailowych.

PESEL a zasada minimalizacji: nie każdy dział musi go znać

Nawet jeśli wolno PESEL przetwarzać, nie wynika z tego, że ma być widoczny wszędzie. Częsty błąd w firmach to umieszczanie PESEL na listach obecności, grafikach, identyfikatorach, wewnętrznych tabelach „dla porządku” albo w stopkach dokumentów. To klasyczne naruszenie zasady minimalizacji i ograniczenia dostępu.

W praktyce warto rozdzielić procesy: dział kadr i płac przetwarza PESEL, bo ma do tego podstawę i cel; przełożony planujący grafiki najczęściej potrzebuje nazwiska i ewentualnie numeru pracowniczego, ale nie PESEL. Tak samo dział IT przy zakładaniu kont może posługiwać się identyfikatorem wewnętrznym zamiast PESEL.

Pomaga prosta zasada: PESEL jest „dany tylko tam, gdzie jest realnie używany”. Reszta organizacji może działać na identyfikatorach technicznych, które nie mają znaczenia poza firmą.

Bezpieczeństwo PESEL: co jest wymagane, a co po prostu rozsądne

RODO nie daje listy „obowiązkowych zabezpieczeń” dla PESEL, ale wymaga zastosowania środków adekwatnych do ryzyka (art. 32 RODO). A ryzyko przy PESEL jest zwykle wyższe niż przy danych kontaktowych, bo numer bywa wykorzystywany do weryfikacji w procesach finansowych i administracyjnych.

W praktyce sensowny standard organizacyjny i techniczny obejmuje:

1. Kontrolę dostępu (role, uprawnienia, zasada „need to know”, logowanie działań w systemach kadrowych).
2. Ograniczenie kopiowania (mniej skanów dowodów, mniej plików Excel z PESEL, mniej załączników w mailach).
3. Szyfrowanie i bezpieczne kanały (zwłaszcza przy przesyłaniu danych do biura rachunkowego lub dostawców HR).
4. Retencję (trzymanie PESEL tak długo, jak wymagają przepisy, a nie „na zawsze”).

Warto pamiętać, że obowiązki w prawie pracy nie kończą się na RODO. Dochodzą obowiązki dokumentacyjne (akta osobowe, dokumentacja pracownicza) i związane z ZUS oraz podatkami. To wszystko uzasadnia przetwarzanie PESEL, ale jednocześnie podnosi poprzeczkę w zakresie porządku w dokumentach i dostępu do nich.

Udostępnianie PESEL: księgowość, ZUS, benefitodawcy i podmioty przetwarzające

Udostępnienie PESEL „na zewnątrz” jest legalne, jeśli wynika z celu i podstawy prawnej, a po stronie odbiorcy jest rola zgodna z RODO. W praktyce pojawiają się dwa scenariusze: odbiorca jest odrębnym administratorem (np. ZUS, urząd skarbowy) albo podmiotem przetwarzającym (np. dostawca systemu kadrowego, biuro rachunkowe działające na zlecenie).

W drugim przypadku niezbędna jest umowa powierzenia przetwarzania (art. 28 RODO) i sensowna weryfikacja, czy dostawca daje gwarancje bezpieczeństwa. Dla działu HR to mało „romantyczny” obowiązek, ale to właśnie na styku z dostawcami najłatwiej o wyciek przez błędną konfigurację, źle zabezpieczone konto lub niekontrolowany eksport danych.

Osobny temat to benefity pracownicze i prywatne pakiety medyczne. Część dostawców będzie prosić o PESEL, ale nie zawsze jest to obiektywnie konieczne. Jeśli da się osiągnąć cel innym identyfikatorem, warto to negocjować, bo minimalizacja działa także w relacji z kontrahentami.

Konsekwencje błędów: kiedy PESEL robi się „kłopotliwy”

Sam fakt, że PESEL nie jest danymi szczególnej kategorii, nie chroni przed konsekwencjami. Naruszenia z udziałem PESEL bywają oceniane jako bardziej ryzykowne, bo ułatwiają podszywanie się, łączenie danych z różnych źródeł i nieautoryzowaną weryfikację tożsamości.

W praktyce problemy najczęściej wynikają z prozaicznych sytuacji:

• wysłanie listy pracowników z PESEL do niewłaściwego adresata,
• pozostawienie dokumentów kadrowych w miejscu dostępnym dla osób postronnych,
• przechowywanie plików z PESEL na prywatnych dyskach lub w chmurze bez kontroli,
• nadmiarowe kopiowanie dokumentów tożsamości.

Jeśli dojdzie do naruszenia, wchodzą w grę obowiązki z art. 33 i 34 RODO (ocena ryzyka, ewentualne zgłoszenie do UODO w ciągu 72 godzin, czasem powiadomienie osób, których dane dotyczą). Przy PESEL ryzyko dla osób jest częściej oceniane jako wysokie, więc temat nie kończy się na „wewnętrznej notatce”.

Najprostsza odpowiedź na tytułowe pytanie

PESEL nie jest daną wrażliwą w rozumieniu art. 9 RODO, ale bywa daną „wrażliwą operacyjnie”: jego utrata lub nadużycie zwykle bardziej boli niż wyciek samego adresu e-mail. Polskie prawo pracy wprost pozwala pracodawcy żądać PESEL od pracownika, jednak tylko w granicach celu i przepisów, a nie jako wygodnego „uniwersalnego klucza” do wszystkich procesów.

Najbezpieczniejsza praktyka w firmie jest dość przyziemna: PESEL trafia tam, gdzie musi (kadry/płace, rozliczenia), nie krąży po organizacji, nie ląduje w plikach pomocniczych i nie pojawia się w rekrutacji bez wyraźnej potrzeby. To zwykle wystarcza, żeby RODO i prawo pracy przestały brzmieć groźnie, a zaczęły działać jak normalne zasady higieny danych.