Mieliśmy przyjemność ustosunkować się do zapytania pewnej zainteresowanej osoby, która zgłosiła, że na terenie organizacji, której jest pracownikiem, weryfikuje się tożsamość każdej osoby, która chce się dostać na teren tej organizacji w związku z wprowadzeniem pierwszego stopnia alarmowego, poprzez kontrolowanie przez pracownika ochrony dowodu osobistego i spisywanie z niego danych.
Sytuacja wyglądała w ten sposób, że dana osoba przed dostaniem się na teren organizacji była proszona o udostępnienie swojego dowodu osobistego, który następnie pracownik ochrony zabierał do kantorka i spisywał z niego „jakieś” dane.
Na pytanie skierowane do pracownika ochrony, czy taka forma ustalania tożsamości jest na pewno zgodna z RODO, pan odpowiedział, że „RODO nie dotyczy dowodów osobistych”.
I właśnie w tym tkwi problem.
Po pierwsze osoba, od której był pobierany dokument tożsamości, przy czym wymagano jedynie udostępnienia dowodu osobistego, powinna zostać poinformowana o celu i podstawie pobierania od niej tych danych, jak również czasie ich przetwarzania oraz możliwości skorzystania z praw określonych w art. 15-22 RODO (m. in. prawo dostępu do danych, prawo do sprostowania danych, prawo do sprzeciwu etc.)
Po drugie każda osoba fizyczna powinna, w momencie w którym musi udostępnić swoje dane, mieć możliwość zapoznania się z klauzulą informacyjną, aby w razie potrzeby mogła np. skontaktować się z administratorem jej danych osobowych.
Po trzecie, skoro pracownik ochrony nie informował jakie dane pobiera z dowodu osobistego, to trudno także stwierdzić czy nie doszło do nadmiarowego pobrania danych, np. jednocześnie imienia i nazwiska, numeru PESEL i nr dowodu, a dane te już z dużym stopniem prawdopodobieństwa, w sytuacji ich wycieku, mogą stać się idealną podstawą do zaciągnięcia jakiegoś zobowiązania. Być może w tej sytuacji wystarczające było pobranie tylko imienia i nazwiska oraz numeru dowodu osobistego.
A zatem nawet gdyby istniała ustawowa zasadność weryfikowania tożsamości osób w prawnie uzasadnionych celach, a w tej sytuacji było to wprowadzenie na teren tej organizacji pierwszego stopnia alarmowego alfa, to i tak nie zwalnia to administratora danych z należytego spełnienia obowiązków określonych art. 13 RODO i ogólnego stosowania się do reguł przetwarzania danych osób fizycznych.
Wisienką na torcie w tej całej sytuacji było ponadto stwierdzenie pracownika ochrony, że „RODO nie dotyczy dowodów osobistych”. Właśnie śledziliśmy całkiem niedawno zmiany jakie pojawiały się wskutek wejścia w życie w dniu 12.07.2019 r. ustawy z dnia 22.11.2018 r. o dokumentach publicznych, która wyraźnie wskazywała na podstawę i zasadność wykorzystywania danych uzyskanych z dowodów osobistych. Jedną z istotniejszych kwestii było wyjaśnienie problemu kopiowania dowodów osobistych i choć akurat ta czynność nie miała miejsca na gruncie prezentowanego stanu faktycznego, to warto zwrócić uwagę jak istotna z punktu widzenia zarówno RODO i bezpieczeństwa danych jest kwestia pobierana i wykorzystywania do różnych celów danych pozyskanych na podstawie udostępnionego innej osobie dowodu osobistego.
Czy zatem w przedstawionej sytuacji można mówić o jakiś nadużyciu wobec osób fizycznych, które zobligowane były do udostępnienia dowodu osobistego przed dostaniem się na teren organizacji z powodu wprowadzenie pierwszego stopnia alarmowego?
W naszej ocenie, niestety tak. Bowiem nawet jeśli istniała pełna podstawa prawna do weryfikowania tożsamości osoby fizycznej za pomocą dowodu osobistego, to w dalszej kolejności zastrzeżenia dotyczą braku spełnienia obowiązku informacyjnego oraz samej czynności pobierania danych z dowodu, co odbywało się poza udziałem osoby fizycznej (zabranie dokumentu do kantorka i spisywanie z niego informacji), która finalnie nie widziała jakie dane pozyskano z udostępnionego przez nią dokumentu, do jakich celów je spisano, jak będą przechowywane i czy dostęp do tych danych miał mieć jedynie upoważniony pracownik, czy tez może nieograniczony krąg osób, wśród których może się znaleźć osoba, która zechce uczynić użytek z tak pozyskanych danych.
Poza naszym komentarzem pozostawiamy natomiast stwierdzenie, iż „RODO nie dotyczy dowodów osobistych”.