W obliczu kolejnych doniesień o wyciekach baz danych z rejestrów medycznych, wielu rodziców próbuje zweryfikować, czy dane ich niepełnoletnich dzieci nie trafiły w ręce cyberprzestępców. Naturalnym i promowanym przez państwo narzędziem do tego celu jest oficjalny portal bezpiecznedane.gov.pl (powiązany z usługą Zastrzeż PESEL oraz bazami wycieków monitorowanymi przez CERT Polska).

Wielu rodziców spotyka jednak przykra niespodzianka: portal nie pozwala na weryfikację wycieku danych w odniesieniu do osób małoletnich.

Z pytaniami i wątpliwościami prawnymi w tej sprawie zgłasza się do mojej Kancelarii coraz więcej zaniepokojonych rodziców. Jakie stanowisko prezentuje CERT Polska w tej kwestii, z czego wynikają ograniczenia techniczno-prawne i jak w praktyce chronić tożsamość dziecka?

Dlaczego bezpiecznedane.gov.pl nie sprawdza PESEL-u dziecka?

Z informacji uzyskiwanych z CERT Polska (zespołu reagowania na incydenty bezpieczeństwa komputerowego) wynika, że brak możliwości weryfikacji danych dzieci na portalu bezpiecznedane.gov.pl wynika bezpośrednio ze struktury logowania oraz ograniczeń prawno-technicznych samego systemu:

Uczestnictwo w systemie weryfikacji wymaga uwierzytelnienia: Sprawdzenie, czy dany PESEL znajduje się w bazie wyciekowej, odbywa się po zalogowaniu Profilem Zaufanym, e-Dowodem lub aplikacją mObywatel.
Konto jest przypisane do konkretnej osoby fizycznej: Narzędzia rządowe są powiązane z tożsamością osoby dorosłej posiadającej pełną zdolność do czynności prawnych i własny profil zaufany. System w obecnej wersji nie posiada modułu „relacji rodzinnych”, który umożliwiałby automatyczne weryfikowanie baz danych w imieniu małoletniego podopiecznego przez konto rodzica.
Ochrona prywatności i unikanie nadużyć: Brak powiązania wirtualnego „rodzic-dziecko” ma również na celu zapobieganie nieuprawnionemu sprawdzaniu PESEL-i osób trzecich przez nieuprawnione do tego osoby.

Dziecko jako ofiara kradzieży tożsamości – niedostrzegane zagrożenie

Wielu rodziców pyta: „Skoro moje dziecko ma 10 lat, to po co przestępcom jego PESEL?”. Jest to groźna pułapka myślowa.

Dane osobowe dzieci (imię, nazwisko, numer PESEL, adres zamieszkania) mogą być dla przestępców wyjątkowo cennym łupem:

Długi czas do wykrycia: Dzieci nie zaciągają kredytów, nie sprawdzają historii w BIK i nie korzystają z bankowości elektronicznej. Przestępstwo kradzieży tożsamości dokonane na danych dziecka może wyjść na jaw dopiero po latach – np. gdy osiągnie ono pełnoletniość i spróbuje wziąć pierwszy kredyt lub założyć konto.
Wyłudzenia i fałszywe tożsamości: Zastępcze wykorzystanie danych małoletnich może być wykorzystywane do zakładania fikcyjnych kont bankowych, wyłudzeń podatkowych czy rejestracji kart SIM.

Co w tej sytuacji może zrobić rodzic? Ścieżka prawna i praktyczna

Skoro rządowa wyszukiwarka nie daje prostej odpowiedzi w przypadku dzieci, odpowiedzialność za weryfikację i ochronę danych przesuwa się na ich przedstawicieli ustawowych oraz opiekunów prawnych. Oto kroki, które warto podjąć:

Zastrzeżenie numeru PESEL dziecka

Jeśli dziecko ukończyło 18 lat, może zastrzec swój PESEL samodzielnie. Zastrzeżenie numeru PESEL blokuje możliwość zaciągnięcia zobowiązań finansowych na dane dziecka w bankach oraz innych instytucjach finansowych. W przypadku dzieci młodszych – przepisy art. 23 a ust. 2 ustawy o ewidencji ludności nie pozwalają rodzicowi/opiekunowi prawnemu na złożenie wniosku o zastrzeżenie numeru PESEL w imieniu małoletniego (np. tradycyjnie w urzędzie gminy). W rejestrze zastrzeżeń numerów PESEL gromadzone są bowiem dane dotyczące wyłącznie osób pełnoletnich. Zastrzeżenie PESEL osoby niepełnoletniej nie będzie zatem możliwe, niezależnie od sposobu, w jakim chcielibyśmy dokonać zastrzeżenia bądź go cofnąć.
Żądanie informacji od Administratora Danych (Art. 15 RODO)
Jeśli wiecie Państwo, że dochodzi do wycieku z placówki przetwarzającej dane dziecka (szkoła, przedszkole, przychodnia medyczna i inne), rodzic (jako przedstawiciel ustawowy) ma prawo potwierdzenia, czy przetwarzane są dane osobowe dotyczące jego dziecka, a jeżeli ma to miejsce, jest uprawniony do uzyskania dostępu do nich oraz szeregu informacji jak m.in.:
- cele przetwarzania;
- kategorie danych osobowych;
- informacje o odbiorcach, którym dane osobowe zostały lub zostaną ujawnione,
- planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu;
- informacje o prawie do żądania od Administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczącego osoby, której dane dotyczą, oraz do wniesienia sprzeciwu wobec takiego przetwarzania;
- jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą – wszelkie dostępne informacje o ich źródle (art. 15 RODO).
Administrator ma prawny obowiązek udzielić odpowiedzi na takie wnioski. Niezależnie od tego w razie naruszenia ochrony danych osobowych dziecka, jeżeli może ono powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, Administrator obowiązany jest bez zbędnej zwłoki zawiadomić jej przedstawiciela ustawowego bądź opiekuna prawnego o takim naruszeniu, czy dane konkretnego dziecka (Państwa podopiecznego) zostały objęte incydentem i jakie środki naprawcze podjęto.
Zgłoszenie do UODO i organów ścigania

W przypadku potwierdzenia, że doszło do wycieku danych dziecka, a placówka/administrator zaniedbał obowiązki informacyjne, rodzice mogą złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO) oraz zgłosić zawiadomienie o możliwości popełnienia przestępstwa na Policję.

Podsumowanie

Obecne przepisy zawierają poważną lukę w rejestrze zastrzeżeń numerów PESEL. W rezultacie, ochrona danych dzieci jest bardzo trudna, a w wielu obszarach wręcz niemożliwa.

Chociaż CERT Polska stale rozwija bazy danych i systemy reagowania na incydenty, rodzice muszą brać sprawy w swoje ręce, korzystając z przysługujących im praw podmiotowych na gruncie RODO i prawa cywilnego.

Potrzebujesz pomocy w ochronie danych osobowych swojej rodziny lub firmy?

W Kancelarii Radcy Prawnego Ewa Wiśniewska wspieram zarówno osoby prywatne w dochodzeniu praw po wyciekach danych, jak i podmioty gospodarcze w audycie i wdrażaniu bezpiecznych procedur RODO.

Pomagam w sporządzaniu wniosków i pism do Administratorów Danych.
Reprezentuję poszkodowanych przed Prezesem UODO i sądami.
Wdrażam kompleksowe zabezpieczenia prawne dla placówek i przedsiębiorstw.

Skontaktuj się ze mną poprzez Kontakt | Kancelaria Radcy Prawnego Ewa Wiśniewska i zyskaj pewność prawną.

Ochrona danych osobowych (RODO)

Wyciek danych dziecka a serwis bezpiecznedane.gov.pl. Co zrobić, gdy rządowa strona nie wyświetla informacji? [Stanowisko CERT Polska]