GDZIEKOLWIEK PÓJDĘ TO CHCĄ MOJE DANE

Czy podawanie PESEL-u w kolejnej aplikacji to konieczność, czy już kapitulacja naszej prywatności? Sprawdzamy, kiedy prawo faktycznie wymaga naszych danych, a kiedy stajemy się jedynie darmowym paliwem dla baz marketingowych.

Jest coś niepokojącego w tym, jak bardzo przyzwyczailiśmy się do oddawania kawałków siebie przy każdej możliwej okazji. Wizyta u lekarza — PESEL. Nowy abonament telefoniczny — PESEL i adres. Rejestracja w sklepie internetowym — adres, e-mail, numer telefonu. Odbiór paczki od kuriera — podpis i numer dowodu. Wchodzisz do salonu samochodowego tylko po to, żeby obejrzeć auto — i już ktoś chce twój e-mail i numer, żeby „wysłać ofertę". Robimy to wszystko automatycznie, bez zastanowienia, bo tak właśnie wygląda codzienność. Bo wszyscy tego wymagają. Bo bez tego się nie da. Albo — i tu pojawia się pytanie, które warto sobie zadać — naprawdę myślimy, że nie da się inaczej?

PESEL — numer, który znamy na pamięć, a oddajemy zbyt łatwo
PESEL to ciąg jedenastu cyfr, w których zakodowana jest twoja data urodzenia, płeć i jedna cyfra kontrolna. Brzmi niewinnie. Problem w tym, że PESEL w połączeniu z numerem dowodu osobistego lub samym imieniem i nazwiskiem staje się kluczem, którym można otworzyć wiele drzwi — założyć kredyt, podpisać umowę, zarejestrować działalność. Dlatego właśnie wyciek PESEL-u to nie abstrakcyjne zagrożenie, lecz realne ryzyko, z którego skutkami ofiary zmagają się latami.

Gdzie podajemy PESEL najczęściej? W przychodni i szpitalu — niemal przy każdej wizycie, bez pytania o zgodę, bo „system tak wymaga". U notariusza i w urzędzie — tu faktycznie jest to konieczne, wynika wprost z przepisów. W banku przy otwieraniu konta lub wniosku kredytowym — obowiązek wynikający z prawa bankowego. U pracodawcy — konieczny do rozliczeń ZUS i urzędu skarbowego. W aptece — przy realizacji recept refundowanych. Do tej listy dochodzą jeszcze sytuacje, w których PESEL oddajemy zupełnie bezrefleksyjnie: przy zapisie na siłownię, zakupie karty miejskiej w niektórych miastach, rejestracji w programie lojalnościowym pewnej sieci drogerii albo — co brzmi absurdalnie — przy odbiorze nagrody w konkursie organizowanym przez lokalną gazetę.

Czy zawsze jest to konieczne? Absolutnie nie. Siłownia, do której chodzisz ćwiczyć, nie ma żadnej podstawy prawnej, żeby zbierać twój numer PESEL — wystarczy imię, nazwisko i adres e-mail do wysyłki faktury. Konkurs internetowy może cię zidentyfikować inaczej. Sklep, w którym robisz zakupy, nie potrzebuje PESEL-u, żeby wystawić paragon czy nawet fakturę — tu wystarczy NIP, jeśli kupujesz na firmę, albo samo imię i nazwisko, jeśli kupujesz prywatnie. PESEL jest wymagany przez prawo w ściśle określonych sytuacjach. Wszędzie indziej jest po prostu wygodą zbieracza danych — nie twoją.

Co możesz zrobić? Po pierwsze — pytaj wprost: „Jaka jest podstawa prawna zbierania mojego PESEL-u?" Firmy i instytucje są zobowiązane ci odpowiedzieć na mocy RODO. Jeśli nie ma podstawy prawnej — mają obowiązek przyjąć zgłoszenie bez tego numeru. Po drugie — jeśli firma nalega, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO). Po trzecie — od kilku lat masz prawo zastrzec swój PESEL w systemie Ministerstwa Cyfryzacji. Zastrzeżony PESEL blokuje możliwość zawarcia umów kredytowych czy pożyczkowych na twoje dane — to realna tarcza przed oszustwami.

Adres zamieszkania — dane, które zostawiamy wszędzie, bo „trzeba dostarczyć"
Adres zamieszkania to informacja, która intuicyjnie wydaje się mniej wrażliwa niż PESEL — w końcu mieszkamy tam, gdzie mieszkamy, i to żadna tajemnica. Prawda jest jednak taka, że adres w bazach danych żyje własnym życiem: trafia do brokerów danych, jest odsprzedawany firmom marketingowym, a w ekstremalnych przypadkach może zostać wykorzystany przez osoby, które życzą ci źle. Nie wspominając o tym, że zmiana miejsca zamieszkania staje się kłopotem, bo zaczyna się aktualizowanie dziesiątek rekordów w dziesiątkach miejsc.

Adres podajemy obowiązkowo przy meldunku i dokumentach tożsamości, przy zakupach online wymagających dostawy fizycznej, przy umowach z operatorami telefonicznymi, bankami i ubezpieczycielami, w urzędach skarbowych i ZUS, w urzędzie gminy przy wszelkich administracyjnych sprawach. Ale też wpisujemy go w formularzach konkursowych, przy rejestracji kont w sklepach, w których może nigdy nic nie kupić, przy zakładaniu kont w serwisach streamingowych, w ankietach, przy odbiorze zamówień w punkcie odbioru, gdzie fizyczny adres jest i tak zbędny.

Alternatywy istnieją i są całkiem praktyczne. Jeśli zamawiasz paczki i zależy ci na prywatności, możesz podawać adres paczkomatu lub punktu odbioru zamiast adresu domowego — coraz więcej sklepów to obsługuje i nikt nie może się temu sprzeciwiać. Do celów formalnych (np. umowy, korespondencja urzędowa) możesz zarejestrować adres do doręczeń w firmie świadczącej takie usługi — to legalne i używane powszechnie przez osoby prowadzące działalność gospodarczą, ale dostępne też dla osób prywatnych. Przy formularzach online, które o adres proszą bez wyraźnego powodu — warto po prostu zapytać, dlaczego go potrzebują. Często okazuje się, że pole jest opcjonalne albo że firma go zbiera „na wszelki wypadek", a nie z faktycznej potrzeby.

Warto też pamiętać, że udostępnienie adresu zamieszkania firmie, która nie ma odpowiednich zabezpieczeń, to ryzyko nie tylko marketingowego spamu, ale też phishingu, fałszywych wezwań do zapłaty albo — w skrajnych przypadkach — kradzieży tożsamości połączonej ze znajomością twoich danych adresowych.

E-mail i numer telefonu — dane, które dajemy w zamian za nic
Adres e-mail i numer telefonu to paradoksalnie dane, które oddajemy najłatwiej — bo wydają się mniej „poważne" niż PESEL czy adres. Tymczasem to właśnie przez te dwa punkty kontaktowe przebiega niemal całe nasze życie cyfrowe. Kto zna twój numer telefonu i e-mail, może próbować zresetować hasła do twoich kont, zalewać cię SMS-ami reklamowymi, przeprowadzać ataki socjotechniczne, a w najgorszym scenariuszu — przejąć konto bankowe przez atak SIM swapping (czyli wyłudzenie duplikatu karty SIM od operatora).

Podajemy je wszędzie. Przy rejestracji w każdym sklepie internetowym — bo „żebyśmy mogli poinformować cię o statusie zamówienia". Przy zapisie na newsletter, który chcemy czytać przez miesiąc, a potem zaznaczamy jako spam. Przy pobieraniu darmowych aplikacji mobilnych, które zarabiają właśnie na danych kontaktowych użytkowników. Przy rezerwacji stolika w restauracji, gdzie numer telefonu jest używany jednorazowo do potwierdzenia, a potem trafia do bazy marketingowej. Przy każdym konkursie, promocji, rejestracji produktu po zakupie, przy zapisie na szkolenie, webinar, próbny dostęp do narzędzia SaaS. Wpisujemy je machinalnie, bo pole jest obowiązkowe, a formularz nas nie przepuści.

Rozwiązania są tu szczególnie dojrzałe. Dla e-maila od lat działają serwisy tymczasowych adresów — Guerrilla Mail, Temp Mail, 10 Minute Mail — które generują jednorazowy adres, na który możesz odebrać link aktywacyjny i który po kilku minutach lub godzinach przestaje istnieć. Jeśli potrzebujesz czegoś trwalszego, ale nie chcesz podawać swojego głównego adresu, możesz używać aliasów e-mailowych — tę funkcję oferują m.in. Apple (Hide My Email), DuckDuckGo Email Protection i SimpleLogin. Alias wygląda jak zwykły adres, ale przekierowuje wiadomości na twój prawdziwy e-mail, a kiedy przestajesz chcieć kontaktu z daną firmą — po prostu go kasujesz. Firma dostaje bounce, ty masz spokój.

Dla numeru telefonu sytuacja jest nieco trudniejsza, bo operatorzy wirtualni oferujący tymczasowe numery działają w szarej strefie lub są dostępni tylko w wybranych krajach. Niemniej — do wielu rejestracji wystarczy numer VoIP, który możesz założyć np. przez Google Voice (dostępny poza Polską) lub lokalnego operatora wirtualnego. W Polsce coraz popularniejsza staje się praktyka posiadania dwóch kart SIM: jednej głównej, chronionej, używanej do bankowości i bliskich kontaktów, i jednej „śmieciowej" do rejestracji w serwisach, które i tak będą dzwonić z ofertami. To nie idealne rozwiązanie, ale pragmatyczne.

„Proszę, możesz sfotografować mój dowód. Możesz nawet nagrać dwie strony dowodu z numerem PESEL. Wiem, że go nie opublikujesz — nawet gdybym powiedziała, że możesz, nawet gdybym się zgodziła na wszystko. To przecież tylko kolejny plik. Kolejny zapis w czyimś urządzeniu. Mogę też podać adres ul. [wycięte] , Legionowo. Brzmi konkretnie, prawda? A jednak to tylko ciąg danych, który krąży już w dziesiątkach systemów. Bank. Operator. Sklep internetowy. Przychodnia. Administracja budynku. Firmy kurierskie. Już sama nie wiem, ile osób wie, gdzie mieszkam. I ile z nich naprawdę musi to wiedzieć. Jesteś po prostu kolejną osobą, która ma te dane. Kolejnym punktem w łańcuchu przekazywania informacji. Oddaję je bez wahania, bo tak wygląda codzienność. Bo tak trzeba. A może tylko przyzwyczailiśmy się do tego, że prywatność stała się formalnością.”

Jest też pytanie, czy w ogóle musimy się rejestrować. Wiele sklepów internetowych w Polsce obsługuje zakupy bez zakładania konta — wystarczy wybrać opcję „zamów jako gość". Dostawa i tak dotrze, faktura i tak zostanie wystawiona, a ty nie trafiasz do bazy danych z profilem zakupowym. Opcja ta bywa schowana głęboko w interfejsie, bo firmom zależy na budowaniu baz — ale istnieje.

Oddajemy dane, bo nikt nas nie nauczył pytać „po co?". Bo formularz wymaga wypełnienia, bo kolejka za nami stoi, bo pani w okienku patrzy. Bo tak wszyscy robią. Tymczasem RODO — ta regulacja, o której wiele mówiono i z której niewielu korzysta aktywnie — daje ci realne narzędzia: prawo do pytania o podstawę przetwarzania, prawo do niepodawania danych, gdy nie ma ku temu podstawy prawnej, prawo do usunięcia tego, co już dałeś. Nie chodzi o paranoję ani o to, żeby utrudniać życie kasjerkom i urzędnikom. Chodzi o nawyk: zatrzymać się na sekundę przed wpisaniem kolejnych cyfr i zapytać siebie — czy ta firma naprawdę tego potrzebuje? I co z tym zrobi?

W świecie, w którym dane wyciekają masowo, wizja powszechnej wyszukiwarki ludzi po PESEL-u czy adresie przestaje być technologiczną ciekawostką, a staje się realnym zagrożeniem. To, co dla jednego mogłoby wydawać się wygodną „książką telefoniczną”, dla przestępcy jest gotowym skryptem do kradzieży tożsamości i wyłudzeń. Twoje dane to nie formalność. To część ciebie — i masz prawo decydować, komu ją dajesz.