WyślijBezpiecznieCzy można wysłać PESEL zwykłym mailem?
Krótka odpowiedź: żaden przepis wprost nie zakazuje wpisania numeru PESEL w mailu. RODO nie mówi „nie wolno”, tylko wymaga, żeby zabezpieczenie danych było dopasowane do ryzyka (art. 32 RODO). A ryzyko przy numerze PESEL jest duże.
Dlaczego PESEL to dane szczególnie wrażliwe w praktyce
PESEL nie należy do „szczególnych kategorii danych” z art. 9 RODO (jak zdrowie czy poglądy), ale w połączeniu z imieniem, nazwiskiem i adresem wystarcza, żeby próbować zaciągnąć kredyt, zawrzeć umowę albo podszyć się pod kogoś w urzędzie. Dlatego od listopada 2023 r. każdy może zastrzec swój PESEL, np. w aplikacji mObywatel, a od czerwca 2024 r. banki i inne instytucje muszą sprawdzać zastrzeżenie przed zawarciem umowy.
Wyciek PESEL-u to więc dla osoby, której dotyczy, realny kłopot, a dla firmy, która go wysłała, możliwe naruszenie ochrony danych do zgłoszenia w Urzędzie Ochrony Danych Osobowych.
Kiedy zwykły mail to za mało
- Wysyłasz dokumenty z PESEL-em i danymi finansowymi: umowy, aneksy, zaświadczenia o zarobkach, dokumenty kadrowe, skany dokumentów tożsamości.
- Wysyłasz do wielu osób albo regularnie: rośnie szansa pomyłki w adresie.
- Odbiorca to osoba prywatna, której skrzynka może być słabo zabezpieczona albo współdzielona z rodziną.
- Nie masz pewności, że adres należy do właściwej osoby (np. pierwszy kontakt z klientem).
Co zrobić zamiast tego
- Nie wysyłaj PESEL-u, jeśli nie musisz. W korespondencji często wystarczy imię, nazwisko i numer sprawy. Zasada minimalizacji danych (art. 5 RODO) to najtańsze zabezpieczenie.
- Nie wpisuj PESEL-u w temacie ani treści maila. Te pola nie są szyfrowane nawet wtedy, gdy załącznik jest.
- Dokumenty z PESEL-em wysyłaj zaszyfrowane, z kodem innym kanałem. Hasło w tym samym mailu nie chroni przed niczym.
- Nie używaj PESEL-u jako hasła. To pierwsza rzecz, którą sprawdzi ktoś, kto przechwyci plik.
- Ustal termin ważności. Plik dostępny przez tydzień, a nie latami w skrzynkach.
- Gdy coś pójdzie nie tak, działaj szybko. Masz 72 godziny na zgłoszenie naruszenia do UODO (art. 33 RODO), liczone od chwili, gdy się o nim dowiesz.
Jak to wygląda w WyślijBezpiecznie
Dokument jest szyfrowany w przeglądarce nadawcy. Mail zawiera tylko link, a kod dostępu idzie SMS-em, więc sam dostęp do skrzynki nie wystarczy. Odbiorca widzi nazwę Twojej firmy sprawdzoną w rejestrze, a po terminie pliki znikają z serwera. Gdy to Ty potrzebujesz dokumentów od klienta, wysyłasz mu prośbę o pliki: przesyła je zaszyfrowane, bez zakładania konta.