Płacisz kartą w sieci? Mogą zapytać Cię o PESEL. No właśnie, mogą?

dodał 13 lutego 2018 o 07:14 w kategorii Prawo, Prywatność  z tagami: • • •
Płacisz kartą w sieci? Mogą zapytać Cię o PESEL. No właśnie, mogą?

Przeglądasz sieć w poszukiwaniu akcesoriów potrzebnych przy remoncie. Znajdujesz ofertę, wkładasz parę rzeczy do koszyka, chcesz zapłacić za nie kartą, a operator płatności nieoczekiwanie prosi Cię o PESEL. Czy aby na pewno tak ma być?

Z opisaną wyżej sytuacją zetknął się jeden z naszych Czytelników, który planował coś zamówić w sklepie Conrad.pl. Gdy chciał zapłacić za zakupy, PayU zaskoczył go komunikatem: „Przy pierwszej płatności kartą podaj numer PESEL”. Wydało mu się to dziwne, informacja ta nie jest bowiem zazwyczaj potrzebna do uwierzytelniania kartowych transakcji płatniczych. Postanowiliśmy sprawę wyjaśnić, choć okazało się to nieprostym zadaniem, bo trudno było ustalić odpowiedzialność za to zdarzenie.

Czytelnik zrobił zrzut ekranu i zapytał nas o zdanie, a my sięgnęliśmy do źródła, tzn. wysłaliśmy prośbę o komentarz bezpośrednio do operatora płatności.

Formularz płatności kartą z prośbą o PESEL

Odpowiedziała nam Justyna Grzyl, PR & Communications Manager firmy PayU: „Podawanie numeru PESEL jest związane z oceną ryzyka transakcji. Ma to na celu niedopuszczenie do sytuacji, aby kartę wykorzystała osoba trzecia, która nie jest faktycznym jej posiadaczem. W procesie oceny ryzyka brane są pod uwagę różne parametry, a podanie numeru PESEL wymagane jest bardzo rzadko – zależy to bowiem od sposobu integracji merchanta (sklepu) z systemem płatności. Sklep internetowy korzystający nadal z POS-a typu Checkout Protected może zmienić ustawienia i zamiast numeru PESEL poprosić o podanie numeru telefonu”.

Dowiedzieliśmy się także, że „analiza ryzyka wykonywana jest bez względu na wartość transakcji, zgodnie z rekomendacjami KNF (Komisji Nadzoru Finansowego) oraz Ustawą o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu”. Poziom ryzyka ocenia system monitorowania transakcji, o którym przedstawicielka PayU nie chciała za wiele mówić. „Żadne dane wykorzystywane w procesie analizy ryzyka nie są dalej przekazywane do sklepu realizującego zamówienie. Dane osobowe traktujemy na równi z kartowymi i stosujemy tutaj bardzo restrykcyjne standardy PCI” – zapewniła.

Pomieszanie z poplątaniem

Bogatsi o te informacje postanowiliśmy skontaktować się ze sklepem Conrad.pl. Jedna z najważniejszych zasad dotyczących przetwarzania danych osobowych, nazywana zasadą adekwatności, wymaga, by administrator przetwarzał tylko takie dane, które są konieczne ze względu na cel ich pozyskiwania. Zapytaliśmy więc (mailowo i przez social media), czy obsługa sklepu planuje zmienić ustawienia, o których przeczytaliśmy w komentarzu PayU.

Odpowiedź uzyskaliśmy za pośrednictwem oficjalnego fanpage’a na Facebooku: „Chcielibyśmy poinformować, że nie wymagamy podania numeru identyfikacji PESEL podczas realizacji zamówienia w naszym sklepie. Co więcej nie posiadamy w funkcjonalnościach naszego sklepu pola, by to zrobić. Jednocześnie chcielibyśmy nadmienić, że dbamy o całkowite bezpieczeństwo danych osobowych naszych Klientów, prosząc ich o podanie tylko tego rodzaju danych i tylko o takiej treści, które są wymagane do realizacji usługi”. Ciekawe, prawda?

Próbując wyjaśnić wszystko do końca, zadaliśmy kolejne pytania. Nie obyło się też bez rozmów telefonicznych z przedstawicielkami obu firm. Okazało się, że po naszym zgłoszeniu PayU, nie czekając na ewentualną reakcję sklepu, odgórnie zmodyfikował ustawienia i zablokował możliwość dalszych zmian. Gdy obsługa Conrad.pl zajrzała do ustawień, wszystko było jak trzeba, stąd taka, a nie inna odpowiedź. Dowiedzieliśmy się również, że do końca lutego rozwiązanie typu Checkout Protected zostanie wycofane z użytku i podawanie PESEL-u nie będzie potrzebne w żadnym sklepie współpracującym z PayU. Naszym zdaniem jest to bardzo dobra wiadomość.

O co tyle szumu, czyli opinia prawnika

Z punktu widzenia ustawy o usługach płatniczych wszystko jest w porządku – potwierdził to dla nas Marcin Jaworski, ekspert ds. komunikacji i edukacji w biurze Rzecznika Finansowego, który doradził kontakt z Generalnym Inspektorem Ochrony Danych Osobowych. Niestety mimo dwóch wysłanych e-maili nie doczekaliśmy się z biura GIODO żadnej odpowiedzi.

Opinią na temat zaistniałej sytuacji podzielił się z nami jednak radca prawny Rafał Cisek, ekspert w zakresie prawa nowych technologii współpracujący z Kancelarią Prawa Gospodarczego i E-commerce SynergyPRO.pl oraz twórca serwisu NoweMEDIA.org.pl.

Komentarz eksperta

Wydaje się, że żądanie numeru PESEL przez podmiot przetwarzający transakcję z kart może naruszać zasadę adekwatności i proporcjonalności przetwarzania danych osobowych. Pozyskanie numeru PESEL nie jest konieczne do weryfikacji transakcji kartą kredytową. Wystarczą dane z karty i kod CVV, zwłaszcza że polskie banki powszechnie zabezpieczają transakcje internetowe kodem 3D Secure. Co ważne, nic mi nie wiadomo, czy da się połączyć PESEL z danymi karty i sprawdzić, czy PESEL do danej karty „pasuje”. Jest to tym bardziej bez sensu, że przecież posiadacz może legalnie płacić np. kartą firmową wystawioną na jego spółkę prawa handlowego, która ma osobowość prawną, a identyfikuje taki podmiot nie PESEL, a numer KRS (ewentualnie NIP, REGON). Nie wiem też, na jakiej zasadzie PayU może ewentualnie porównać PESEL z danymi z ewidencji ludności i zweryfikować np. podane imię i nazwisko osoby fizycznej. Nie wydaje mi się, ażeby podmiot ten miał bezpośredni dostęp do danych z ewidencji ludności. A zatem ciekaw jestem, czy transakcja zostałaby odrzucona, gdyby wszystkie dane karty były prawidłowe, natomiast PESEL był autentyczny, ale jakiejś innej osoby. Myślę, że transakcja by przeszła, więc tym bardziej zastanawia, czy PESEL jest niezbędny do weryfikacji transakcji i czy rzeczywiście dodatkowo ją zabezpiecza. Zgodnie ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych w aktualnie obowiązującym brzmieniu (Dz.U.2016.922 t.j. z późn. zmianami):

Art. 26. [Główne obowiązki administratora danych]

1. Administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były:
1) przetwarzane zgodnie z prawem;
2) zbierane dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu niezgodnemu z tymi celami, z zastrzeżeniem ust. 2;
3) merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane;
4) przechowywane w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania.
(…)

Zasada adekwatności oznacza, że administrator powinien przetwarzać tylko takiego rodzaju dane i tylko o takiej treści, które są niezbędne ze względu na cel zbierania danych. Ta adekwatność (określana też jako relewantność) danych powinna być oceniania najpóźniej w momencie ich zbierania. Zatem administrator ma obowiązek dokonania w tym względzie oceny.

Zgodnie z orzecznictwem dotyczącym omawianego zagadnienia, zakres danych osobowych adekwatnych do celu przetwarzania oceniać trzeba każdorazowo z uwzględnieniem określonego stosunku prawnego, w związku z którym administrator przetwarza dane osobowe (wyrok NSA z dnia 27 listopada 2003 r., II SA 209/2003). W odniesieniu do umów uwzględnić należy ich charakter i znaczenie (wyrok NSA z dnia 19 grudnia 2001 r., II SA 2869/2000, ONSA 2003, nr 1, poz. 29).

Zdarza się, że przepisy określają wprost zakres danych adekwatnych do celu przetwarzania. Przepisy takie mają charakter lex specialis i wyłączają stosowanie ogólnej zasady adekwatności (którą w innych przypadkach należy każdorazowo rekonstruować zależnie od konkretnego stanu faktycznego). Przykładem takiej sytuacji jest art. 112b ustawy Prawo bankowe, zgodnie z którym banki mogą przetwarzać – w celach prowadzonej działalności bankowe – informacje zawarte w dokumentach tożsamości osób fizycznych (co obejmuje PESEL). Tu chodzi jednak o konkretny rodzaj działalności i podmioty (konkretnie banki), co do których istnieje szczególny status wynikający z wymogów, jakie musi spełnić podmiot, ażeby prowadzić działalność bankową. PayU nie ma takiego szczególnego przyzwolenia i w przypadku tego podmiotu należy odnosić się do zasad ogólnych ustawy o ochronie danych osobowych i wynikających z niej oraz orzecznictwa zasad adekwatności i proporcjonalności, które należy odnosić do konkretnych stanów faktycznych / stosunków prawnych. Osobiście nie wydaje mi się, ażeby PESEL był niezbędny do bezpiecznego przeprowadzenia transakcji w ramach ogólnie akceptowalnych ryzyk dla tego typu operacji na rynku.

W takim kontekście rezygnacja przez PayU z opisanych praktyk wygląda na dobrą decyzję. Jeśli zatem natrafiliście (lub kiedyś natraficie) na dziwne prośby lub inne niecodzienne zdarzenia w trakcie płacenia za zakupy, dajcie znać – zapytamy, wyjaśnimy, opiszemy, naprawimy.

Podobne wpisy