Rządowy projekt ustawy o zmianie ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne oraz niektórych innych ustaw.

Warszawa, 13 maja 2025 r. SEJM RZECZYPOSPOLITEJ POLSKIEJ X kadencja Prezes Rady Ministrów RM-0610-57-25

Pan Szymon Hołownia Marszałek Sejmu Rzeczypospolitej Polskiej

Szanowny Panie Marszałku, na podstawie art. 118 ust. 1 Konstytucji Rzeczypospolitej Polskiej przedstawiam Sejmowi Rzeczypospolitej Polskiej projekt ustawy

- o zmianie ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne oraz niektórych innych ustaw. Projekt ma na celu charakter deregulacyjny. Do prezentowania stanowiska Rządu w tej sprawie w toku prac parlamentarnych został upoważniony Minister Cyfryzacji.

Z poważaniem Donald Tusk /podpisano kwalifikowanym podpisem elektronicznym/

Tłoczono z polecenia Marszałka Sejmu Rzeczypospolitej Polskiej

Projekt U S T AWA

z dnia

o zmianie ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne oraz niektórych innych ustaw1)

Art. 1. W ustawie z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2024 r. poz. 1557 i 1717) w art. 20n ust. 1 otrzymuje brzmienie: „1. W sprawach o udostępnianie danych, o których mowa w art. 20m, minister właściwy do spraw informatyzacji:

1) udostępnia dane – w drodze czynności materialno-technicznej;

2) odmawia udostępnienia danych albo cofa dostęp do danych zgromadzonych w rejestrze danych kontaktowych – w drodze decyzji administracyjnej.”.

Art. 2. W ustawie z dnia 20 czerwca 1997 r. – Prawo o ruchu drogowym (Dz. U. z 2024 r. poz. 1251) wprowadza się następujące zmiany:

1) w art. 80c:

a) w ust. 6:

– wprowadzenie do wyliczenia otrzymuje brzmienie: „Minister właściwy do spraw informatyzacji może wyrazić zgodę na udostępnienie danych zgromadzonych w ewidencji podmiotom, o których mowa w ust. 1, z uwzględnieniem ust. 6a, albo ich jednostkom organizacyjnym, za pomocą urządzeń teletransmisji danych, bez konieczności składania pisemnego wniosku, jeżeli spełniają łącznie następujące warunki:”,

– pkt 2 otrzymuje brzmienie:

„2) posiadają wdrożone zabezpieczenia techniczne i organizacyjne, zapewniające poufność, integralność, dostępność i autentyczność przetwarzanych danych;”,

1) Niniejszą ustawą zmienia się ustawy: ustawę z dnia 20 czerwca 1997 r. – Prawo o ruchu drogowym, ustawę z dnia 6 sierpnia 2010 r. o dowodach osobistych, ustawę z dnia 24 września 2010 r. o ewidencji ludności, ustawę z dnia 28 listopada 2014 r. – Prawo o aktach stanu cywilnego, ustawę z dnia 25 czerwca 2015 r. – Prawo konsularne oraz ustawę z dnia 27 stycznia 2022 r. o dokumentach paszportowych.

b) po ust. 6a dodaje się ust. 6b w brzmieniu: „6b. Wyrażenie zgody, o której mowa w ust. 6, stanowi czynność materialno-techniczną.”,

c) uchyla się ust. 7,

d) dodaje się ust. 8 w brzmieniu: „8. Minister właściwy do spraw informatyzacji cofa, w drodze decyzji, dostęp do danych udostępnianych za pomocą urządzeń teletransmisji danych, jeżeli podmioty, o których mowa w ust. 1, przestaną spełniać warunki, o których mowa w ust. 6.”;

2) w art. 100ah:

a) w ust. 5:

– wprowadzenie do wyliczenia otrzymuje brzmienie: „Minister właściwy do spraw informatyzacji może wyrazić zgodę na udostępnienie danych zgromadzonych w ewidencji podmiotom, o których mowa w ust. 1, albo ich jednostkom organizacyjnym, za pomocą urządzeń teletransmisji danych, bez konieczności składania pisemnego wniosku, jeżeli spełniają łącznie następujące warunki:”,

– pkt 2 otrzymuje brzmienie:

„2) posiadają wdrożone zabezpieczenia techniczne i organizacyjne, zapewniające poufność, integralność, dostępność i autentyczność przetwarzanych danych;”,

b) po ust. 5 dodaje się ust. 5a w brzmieniu: „5a. Wyrażenie zgody, o której mowa w ust. 5, stanowi czynność materialno-techniczną.”,

c) uchyla się ust. 6,

d) dodaje się ust. 7 w brzmieniu: „7. Minister właściwy do spraw informatyzacji cofa, w drodze decyzji, dostęp do danych udostępnianych za pomocą urządzeń teletransmisji danych, jeżeli podmioty, o których mowa w ust. 1, przestaną spełniać warunki, o których mowa w ust. 5.”.

Art. 3. W ustawie z dnia 6 sierpnia 2010 r. o dowodach osobistych (Dz. U. z 2022 r. poz. 671 oraz z 2023 r. poz. 1234 i 1941) wprowadza się następujące zmiany:

1) w art. 66 w ust. 2 wyrazy „na podstawie decyzji ministra właściwego do spraw informatyzacji wydanej” zastępuje się wyrazami „w drodze czynności materialno-technicznej”;

2) w art. 68:

a) w ust. 1 uchyla się zdanie drugie,

b) po ust. 1 dodaje się ust. 1a i 1b w brzmieniu: „1a. W przypadku pozytywnego wyniku porównania danych z dowodu osobistego z danymi z Rejestru Dowodów Osobistych, wnioskodawca otrzymuje raport o zgodności danych. Raport potwierdza istnienie albo nieistnienie ważnego dowodu osobistego zawierającego określony zestaw danych.

1b. W przypadku negatywnego wyniku porównania danych z dowodu osobistego z danymi z Rejestru Dowodów Osobistych, wnioskodawca otrzymuje raport o niezgodności wskazujący, która z porównywanych danych została zweryfikowana negatywnie, a w przypadku gdy dokument jest unieważniony – informację o jego unieważnieniu.”,

c) w ust. 3 wyrazy „na podstawie decyzji ministra właściwego do spraw informatyzacji wydanej” zastępuje się wyrazami „w drodze czynności materialno-technicznej”;

3) po art. 68 dodaje się art. 68a w brzmieniu:

„Art. 68a. 1. W celu potwierdzenia tożsamości posiadacza dowodu osobistego, po uzyskaniu pozytywnego wyniku porównania danych z dowodu osobistego z danymi z Rejestru Dowodów Osobistych w trybie ograniczonej teletransmisji, z Rejestru Dowodów Osobistych udostępnia się w trybie pełnej teletransmisji fotografię, o której mowa w art. 29, następującym podmiotom:

1) dostawcy usług komunikacji elektronicznej, o którym mowa w art. 2 pkt 6 ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej (Dz. U. poz. 1221);

2) dostawcom, o których mowa w art. 4 ust. 2 pkt 4, 6 i 11 ustawy z dnia 19 sierpnia 2011 r. o usługach płatniczych (Dz. U. z 2025 r. poz. 611);

3) podmiotom, o których mowa w art. 4 ust. 1 pkt 1, 17, 18 i 20 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe (Dz. U. z 2024 r. poz. 1646, 1685 i 1863 oraz z 2025 r. poz. 146, 222 i 525), oraz instytucji utworzonej na podstawie art. 105 ust. 4 tej ustawy;

4) spółdzielczej kasie oszczędnościowo-kredytowej lub Krajowej Spółdzielczej Kasie Oszczędnościowo-Kredytowej w rozumieniu przepisów ustawy z dnia 5 listopada 2009 r. o spółdzielczych kasach oszczędnościowo-kredytowych (Dz. U. z 2025 r. poz. 379);

5) kwalifikowanemu dostawcy usług zaufania wpisanemu do rejestru dostawców usług zaufania, o którym mowa w art. 2 pkt 1 ustawy z dnia 5 września 2016 r. o usługach zaufania oraz identyfikacji elektronicznej (Dz. U. z 2024 r. poz. 1725);

6) kredytodawcy, o którym mowa w art. 5 pkt 2 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (Dz. U. z 2024 r. poz. 1497 oraz z 2025 r. poz. 146);

7) podmiotowi wydającemu środki identyfikacji elektronicznej w systemie identyfikacji elektronicznej zgodnie z przepisami ustawy z dnia 5 września 2016 r. o usługach zaufania oraz identyfikacji elektronicznej;

8) firmie inwestycyjnej, o której mowa w art. 3 pkt 33 ustawy z dnia 29 lipca 2005 r. o obrocie instrumentami finansowymi (Dz. U. z 2024 r. poz. 722 i 1863 oraz z 2025 r. poz. 146);

9) towarzystwu funduszy inwestycyjnych, o którym mowa w art. 2 pkt 3 ustawy z dnia 27 maja 2004 r. o funduszach inwestycyjnych i zarządzaniu alternatywnymi funduszami inwestycyjnymi (Dz. U. z 2024 r. poz. 1034 i 1863 oraz z 2025 r. poz. 146).

2. W celu potwierdzenia tożsamości osoby wnioskującej o potwierdzenie profilu zaufanego podmiotom, o których mowa w art. 20c ust. 2, 3 i 8 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne, może zostać udostępniona fotografia, o której mowa w art. 29.

3. Podmiotom, o których mowa w art. 20c ust. 8 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne, może zostać udostępniona fotografia, o której mowa w art. 29, po spełnieniu warunków określonych w art. 68 ust. 3.

4. Udostępnieniu w trybie, o którym mowa w ust. 1, podlega fotografia zamieszczona w ostatnim wydanym dowodzie osobistym, który w dniu dokonywania jego weryfikacji w trybie ograniczonej teletransmisji jest dokumentem ważnym.

5. Udostępnienie fotografii, o którym mowa w ust. 1, następuje nieodpłatnie.”.

Art. 4. W ustawie z dnia 24 września 2010 r. o ewidencji ludności (Dz. U. z 2025 r. poz. 274) wprowadza się następujące zmiany:

1) art. 23o otrzymuje brzmienie:

„Art. 23o. W sprawach o udostępnianie danych za pomocą urządzeń teletransmisji danych w drodze weryfikacji, o których mowa w art. 23m, minister właściwy do spraw informatyzacji:

1) udostępniania dane w drodze weryfikacji, po spełnieniu warunków, o których mowa w art. 48 ust. 1 pkt 1 i 2, w odniesieniu do rejestru zastrzeżeń numerów PESEL – w drodze czynności materialno-technicznej;

2) odmawia udostępniania danych w drodze weryfikacji albo cofa zgodę na ich udostępnianie w drodze weryfikacji, jeżeli nie zostały spełnione warunki, o których mowa w art. 48 ust. 1 pkt 1 i 2, w odniesieniu do rejestru zastrzeżeń numerów PESEL

– w drodze decyzji administracyjnej.”;

2) w art. 48 po ust. 1 dodaje się ust. 1a i 1b w brzmieniu: „1a. Podmiotom, o których mowa w art. 4 ust. 1 pkt 1, 17, 18 i 20 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe, spółdzielczym kasom oszczędnościowo-kredytowym, Krajowej Spółdzielczej Kasie Oszczędnościowo-Kredytowej, firmom inwestycyjnym, o których mowa w art. 3 pkt 33 ustawy z dnia 29 lipca 2005 r. o obrocie instrumentami finansowymi (Dz. U. z 2024 r. poz. 722 i 1863 oraz z 2025 r. poz. 146), lub towarzystwom funduszy inwestycyjnych, o których mowa w art. 2 pkt 3 ustawy z dnia 27 maja 2004 r. o funduszach inwestycyjnych i zarządzaniu alternatywnymi funduszami inwestycyjnymi (Dz. U. z 2024 r. poz. 1034 i 1863 oraz z 2025 r. poz. 146), udostępnia się odpłatnie z rejestru PESEL dane o seriach, numerach i datach ważności ważnych dowodów osobistych ich klientów wydanych na skutek zmiany dowodu osobistego, odpowiednio na warunkach określonych w ust. 1 pkt 1 i 2, w celu weryfikacji aktualności i aktualizacji tych danych.

1b. Podmiotom, o których mowa w ust. 1a, dane mogą być udostępnione za pośrednictwem instytucji utworzonej na podstawie art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe.”;

3) w art. 51 ust. 1 i 2 otrzymują brzmienie: „1. W sprawach o udostępnianie danych za pomocą urządzeń teletransmisji danych, o których mowa w art. 48 ust. 1, właściwy organ:

1) udostępnia dane za pomocą urządzeń teletransmisji danych, po spełnieniu warunków określonych w art. 48 ust. 1 – w drodze czynności materialno-technicznej;

2) odmawia udostępniania danych za pomocą urządzeń teletransmisji danych albo cofa zgodę na ich udostępnianie za pomocą urządzeń teletransmisji danych, jeżeli nie zostały spełnione warunki określone w art. 48 ust. 1 – w drodze decyzji administracyjnej.

2. W sprawach o udostępnianie danych za pomocą teletransmisji danych w drodze weryfikacji, o których mowa w art. 49, minister właściwy do spraw informatyzacji:

1) udostępnia dane w drodze weryfikacji, po spełnieniu warunków określonych w art. 48 ust. 1 oraz w art. 49 ust. 2 i 2a – w drodze czynności materialno-technicznej;

2) odmawia udostępniania danych w drodze weryfikacji danych albo cofa zgodę na ich udostępnianie w drodze weryfikacji, jeżeli nie zostały spełnione warunki określone w art. 48 ust. 1 lub art. 49 ust. 2 i 2a – w drodze decyzji administracyjnej.”;

4) w art. 53 pkt 2 otrzymuje brzmienie:

„2) dla podmiotów, o których mowa w art. 46 ust. 2 pkt 1–3 i art. 48 ust. 1a – odpłatnie.”;

5) w art. 56:

a) pkt 1 otrzymuje brzmienie:

„1) wysokość, sposób i terminy uiszczania opłaty za udostępnienie danych jednostkowych z rejestru mieszkańców oraz rejestru PESEL, za udostępnianie danych za pomocą urządzeń teletransmisji, w drodze weryfikacji, o której mowa w art. 49 ust. 1, a także za udostępnianie serii, numeru i daty ważności dowodu osobistego, o którym mowa w art. 48 ust. 1a, oraz sposób dokumentowania uiszczenia opłaty,”,

b) część wspólna otrzymuje brzmienie: „– mając na uwadze sposób udostępniania danych, a także uwzględniając, że wysokość opłaty powinna być zróżnicowana w zależności od sposobu i zakresu udostępniania danych, a sposób i terminy uiszczania opłat nie powinny stwarzać nadmiernych obciążeń dla podmiotów występujących o udostępnienie danych.”.

Art. 5. W ustawie z dnia 28 listopada 2014 r. – Prawo o aktach stanu cywilnego (Dz. U. z 2025 r. poz. 594) w art. 5a ust. 3 otrzymuje brzmienie: „3. W sprawach o udostępnianie danych podmiotom, o których mowa w ust. 1, minister właściwy do spraw informatyzacji:

1) udostępnia dane – w drodze czynności materialno-technicznej;

2) odmawia udostępniania danych, jeżeli nie zostały spełnione warunki określone w ust. 2, albo cofa zgodę na ich udostępnianie, jeżeli warunki te przestały być spełniane

– w drodze decyzji administracyjnej.”.

Art. 6. W ustawie z dnia 25 czerwca 2015 r. – Prawo konsularne (Dz. U. z 2023 r. poz. 1329) wprowadza się następujące zmiany:

1) uchyla się art. 37;

2) po art. 37 dodaje się art. 37a w brzmieniu:

„Art. 37a. 1. Minister właściwy do spraw zagranicznych prowadzi w systemie teleinformatycznym rejestr obywateli polskich przebywających za granicą, zwany dalej „rejestrem podróżujących”.

2. Minister właściwy do spraw zagranicznych jest administratorem danych osobowych przetwarzanych w rejestrze podróżujących.

3. Na wniosek obywatela polskiego lub jego przedstawiciela ustawowego w rejestrze podróżujących zamieszcza się, aktualizuje lub usuwa jego dane obejmujące:

1) imię (imiona);

2) nazwisko;

3) numer ewidencyjny PESEL, jeżeli został nadany;

4) adres miejsca pobytu za granicą;

5) przewidywany okres pobytu za granicą, nie dłuższy niż 5 lat;

6) adres poczty elektronicznej lub numer telefonu komórkowego.

4. Wniosek o umieszczenie, aktualizację lub usunięcie danych z rejestru podróżujących składa się przy użyciu usługi elektronicznej udostępnionej przez ministra właściwego do spraw zagranicznych w systemie teleinformatycznym, o którym mowa w ust. 1.

5. Minister właściwy do spraw zagranicznych udostępnia konsulom w systemie teleinformatycznym, o którym mowa w ust. 1, zgodnie z ich właściwością terytorialną, dane z rejestru podróżujących.

6. Konsul lub minister właściwy do spraw zagranicznych mogą udostępniać dane z rejestru podróżujących organom innych państw lub innym podmiotom w zakresie niezbędnym do prowadzenia przez konsula działań, o których mowa w art. 36.

7. Dane są usuwane z rejestru podróżujących po upływie 14 dni od zakończenia przewidywanego pobytu obywatela polskiego za granicą.”.

Art. 7. W ustawie z dnia 27 stycznia 2022 r. o dokumentach paszportowych (Dz. U. z 2024 r. poz. 1063) w art. 89:

1) ust. 1 otrzymuje brzmienie: „1. Podmiotom innym niż wskazane w art. 86, po złożeniu jednorazowego wniosku oraz wykazaniu interesu faktycznego oraz spełnieniu warunków, o których mowa w art. 87 ust. 1, minister właściwy do spraw informatyzacji udostępnia usługę umożliwiającą potwierdzenie istnienia albo nieistnienia ważnego dokumentu paszportowego, zawierającego określony zakres danych, która polega na porównaniu określonego zakresu danych wpisanych przez podmiot korzystający z usługi.”;

2) ust. 4 otrzymuje brzmienie: „4. Udostępnienie usługi, o której mowa w ust. 1, odbywa się na podstawie czynności materialno-technicznej.”.

Art. 8. 1. Do spraw, o których mowa w art. 20n ust. 1 ustawy zmienianej w art. 1 w brzmieniu dotychczasowym, wszczętych i niezakończonych przed dniem wejścia w życie niniejszej ustawy stosuje się art. 20n ust. 1 ustawy zmienianej w art. 1, w brzmieniu nadanym niniejszą ustawą.

2. Do spraw, o których mowa w art. 80c ust. 6 oraz art. 100ah ust. 5 ustawy zmienianej w art. 2 w brzmieniu dotychczasowym, wszczętych i niezakończonych przed dniem wejścia w życie niniejszej ustawy stosuje się przepisy dotychczasowe.

3. Do spraw, o których mowa w art. 66 ust. 2 oraz art. 68 ust. 3 ustawy zmienianej w art. 3 w brzmieniu dotychczasowym, wszczętych i niezakończonych przed dniem wejścia w życie niniejszej ustawy stosuje się art. 66 ust. 2 oraz art. 68 ust. 3 ustawy zmienianej w art. 3, w brzmieniu nadanym niniejszą ustawą.

4. Do spraw, o których mowa w art. 23o oraz art. 51 ust. 1 i 2 ustawy zmienianej w art. 4 w brzmieniu dotychczasowym, wszczętych i niezakończonych przed dniem wejścia w życie niniejszej ustawy stosuje się art. 23o oraz art. 51 ust. 1 i 2 ustawy zmienianej w art. 4, w brzmieniu nadanym niniejszą ustawą.

5. Do spraw, o których mowa w art. 5a ust. 1 ustawy zmienianej w art. 5 w brzmieniu dotychczasowym, wszczętych i niezakończonych przed dniem wejścia w życie niniejszej ustawy stosuje się art. 5a ust. 3 ustawy zmienianej w art. 5, w brzmieniu nadanym niniejszą ustawą.

6. Do spraw, o których mowa w art. 89 ust. 1 i 4 ustawy zmienianej w art. 7 w brzmieniu dotychczasowym, wszczętych i niezakończonych przed dniem wejścia w życie niniejszej ustawy stosuje się art. 89 ust. 1 i 4 ustawy zmienianej w art. 7, w brzmieniu nadanym niniejszą ustawą.

Art. 9. 1. Podmioty, o których mowa w art. 68a ust. 1 i 3 ustawy zmienianej w art. 3, posiadające w dniu wejścia w życie art. 3 pkt 2 lit. a i b oraz pkt 3 dostęp do danych na podstawie decyzji, o której mowa w art. 68 ust. 3 ustawy zmienianej w art. 3 w brzmieniu dotychczasowym, mogą wystąpić do ministra właściwego do spraw informatyzacji o wyrażenie zgody na udostępnianie fotografii z Rejestru Dowodów Osobistych w trybie pełnej teletransmisji.

2. Wyrażenie zgody, o której mowa w ust. 1, następuje w drodze zmiany decyzji, o której mowa w art. 68 ust. 3 ustawy zmienianej w art. 3, w brzmieniu dotychczasowym.

Art. 10. 1. W latach 2025–2034 maksymalny, całkowity limit wydatków budżetu państwa, dla części budżetowej 27 – Informatyzacja, będących skutkiem finansowym wejścia w życie ustawy, wynosi 600 000 zł, z tym że w poszczególnych latach limit wynosi:

1) 2025 r. – 300 000 zł;

2) 2026 r. – 300 000 zł;

3) 2027 r. – 0 zł;

4) 2028 r. – 0 zł;

5) 2029 r. – 0 zł;

6) 2030 r. – 0 zł;

7) 2031 r. – 0 zł;

8) 2032 r. – 0 zł;

9) 2033 r. – 0 zł;

10) 2034 r. – 0 zł.

2. Minister właściwy do spraw informatyzacji monitoruje wykorzystanie limitu wydatków, o którym mowa w ust. 1, i dokonuje oceny wykorzystania tego limitu według stanu na koniec każdego kwartału, a w przypadku czwartego kwartału ‒ według stanu na dzień 20 listopada danego roku. W przypadku zagrożenia przekroczenia lub przekroczenia przyjętego na dany rok budżetowy limitu wydatków minister właściwy do spraw informatyzacji wdraża mechanizm korygujący polegający na ograniczeniu kosztów.

Art. 11. Ustawa wchodzi w życie po upływie 14 dni od dnia ogłoszenia, z wyjątkiem:

1) art. 3 pkt 2 lit. a i b oraz pkt 3, art. 4 pkt 2, 4 i 5 oraz art. 9, które wchodzą w życie z dniem 30 czerwca 2026 r.;

2) art. 6, który wchodzi w życie z dniem 17 kwietnia 2026 r.

UZASADNIENIE

Projekt ustawy o zmianie ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne oraz niektórych innych ustaw przewiduje wprowadzenie uproszczeń w przepisach będących w zakresie właściwości ministra właściwego do spraw informatyzacji. Kolejne zmiany polegają na uproszczeniu postępowań prowadzonych przez tego ministra dotyczących udostępnienia danych przez rezygnację z obowiązku wydawania decyzji administracyjnej, w sytuacjach gdy udostępnienie danych jest uzasadnione. W tym celu wprowadza się zmiany w ustawie z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2024 r. poz. 1557 i 1717) (art. 1 projektu), ustawie z dnia 20 czerwca 1997 r. – Prawo o ruchu drogowym (Dz. U. z 2024 r. poz. 1251) (art. 2 projektu), ustawie z dnia 6 sierpnia 2010 r. o dowodach osobistych (Dz. U. z 2022 r. poz. 671 oraz z 2023 r. poz. 1234 i 1941) (art. 3 pkt 1 i pkt 2 lit. c projektu), ustawie z dnia 24 września 2010 r. o ewidencji ludności (Dz. U. z 2025 r. poz. 274) (art. 4 pkt 1 i 3 projektu), ustawie z dnia 28 listopada 2014 r. – Prawo o aktach stanu cywilnego (Dz. U. z 2025 r. poz. 594) (art. 5 projektu) oraz w ustawie z dnia 27 stycznia 2022 r. o dokumentach paszportowych (Dz. U. z 2024 r. poz. 1063) (art. 7 projektu), zaproponowano zmianę trybu udostępniania danych. Zgodnie z projektowanymi ww. przepisami, pozytywna odpowiedź na wniosek podmiotu ubiegającego się o udostępnienie skutkowałaby czynnością materialno-techniczną i nie wymagałaby przeprowadzenia procedury wydawania decyzji administracyjnej. Minister właściwy do spraw informatyzacji wydawałby decyzję jedynie w przypadku odmowy udostępnienia danych i cofnięcia zgody na udostępnianie danych – co oznacza, że strona będzie miało prawo kontroli negatywnego rozstrzygnięcia. Takie rozwiązanie przyczyni się do:

1) szybszego udostępniania danych;

2) odciążenia administracji publicznej od konieczności wydawania decyzji, jeżeli uwzględniają one w całości wniosek;

3) zmniejszenia formalności i skrócenia procedur.

Wprowadzenie ww. zmian nie spowoduje dodatkowych kosztów dla budżetu państwa.

Ponadto projekt ma na celu wprowadzenie podstaw prawnych dla rozwiązań, które zwiększą bezpieczeństwo obrotu prawnego i podniosą skuteczność weryfikacji tożsamości kontrahentów przez podmioty świadczące usługi w sektorze prywatnym.

Proponowane rozwiązanie udostępniania danych w formie czynności materialno-technicznej jest rozwiązaniem wystarczającym z punktu widzenia zapewnienia odpowiedniej ochrony danych osób, których one dotyczą gdyż czynność materialno-techniczna to działanie organu administracji publicznej, które służy do realizacji konkretnych zadań i jest związana z wykonywaniem konkretnych obowiązków i uprawnień, wynikających z przepisów prawa. Wykonanie tej czynności nie oznacza jednakże automatyzmu w procesie udostępniania danych z rejestrów ministra właściwego do spraw informatyzacji, bowiem czynność ta jako czynność z zakresu prawa administracyjnego jest podejmowana w sprawie indywidualnej, skierowana do oznaczonego podmiotu, dotyczy uprawnienia lub obowiązku tego podmiotu, samo zaś uprawnienie lub obowiązek, którego czynność dotyczy, jest określone w przepisie prawa powszechnie obowiązującego.

Każdorazowe udostępnianie danych będzie poprzedzone przeprowadzeniem, zgodnie w przepisami odpowiednio ustawy: o informatyzacji działalności podmiotów realizujących zadania publiczne, Prawo o ruchu drogowym, o dowodach osobistych, o ewidencji ludności Prawo o aktach stanu cywilnego oraz o dokumentach paszportowych, stosownego postępowania oraz sprawdzenia spełnienia warunków uzyskania danych, a zmienia się jedynie podstawa ich udostępniania nie w drodze decyzji, a czynności materialno-technicznej. Nie bez znaczenia pozostaje także fakt, że czynność materialno-techniczna jako czynność władztwa administracyjnego, rozumiana także jako jednostronne działania organu wykonującego administrację publiczną, stanowi czynność z zakresu administracji publicznej i jako taka podlega kontroli działalności administracji publicznej przez sądy administracyjne.

W art. 3 pkt 2 lit. a i b oraz pkt 3 projektu ustawy wprowadza się zmiany w ustawie z dnia 6 sierpnia 2010 r. o dowodach osobistych.

W ww. projektowanych przepisach proponuje się wprowadzenie zmian prawnych, których głównym celem jest podniesienie skuteczności oraz bezpieczeństwa procesów ustalania tożsamości osób fizycznych przez zapewnienie warunków prawnych pozwalających na uzupełnienie tych procesów o weryfikację wizerunku twarzy osoby fizycznej z wizerunkiem tej osoby przechowywanym w Rejestrze Dowodów Osobistych (RDO).

Konsultacje przeprowadzane na przestrzeni lat przez Ministerstwo Cyfryzacji z dostawcami usług świadczonych w sektorze prywatnym prowadzą do konkluzji, że zapewnienie dostępu do danej biometrycznej, jaką stanowi wizerunek osoby fizycznej przechowywany w RDO, wpłynie pozytywnie na uszczelnienie procedur ustalania tożsamości osób fizycznych, co w rezultacie przełoży się na znaczne ograniczenie liczby wyłudzeń, które mają miejsce szczególnie w sektorze finansowym. Proceder tzw. „kradzieży tożsamości” realizowany jest głównie z wykorzystaniem imitacji dowodów osobistych. W takich przypadkach, sfałszowany dokument zawiera zdjęcie sprawcy oraz dane ofiary, pod którą podszywa się sprawca. Wobec powyższego sama weryfikacja danych zawartych w okazywanym dowodzie osobistym, a w niektórych przypadkach także zabezpieczeń fizycznych takiego dokumentu, może prowadzić usługodawcę do fałszywego przekonania o prawdziwości okazywanego dokumentu. Zapewnienie usługodawcom możliwości weryfikacji, oprócz danych jakie zawiera dowód osobisty, także zdjęcia, jakie zawiera autentyczny dokument, znacząco wpłynie na ukrócenie wyżej opisanego procederu, a samo rozwiązanie jest komplementarne do instytucji zastrzeżenia numeru PESEL, wpływając na ochronę osób, które z zastrzeżenia nie korzystają. Udostępnienie wizerunku nastąpi bez dodatkowej zgody osoby w procesie ustalenia tożsamości. Wprowadzenie zgody osoby powodowałoby, że w przypadku próby podszycia się, oszust w sposób naturalny nie wyrażałby zgody, co powodowałoby bezskuteczność rozwiązania. To podmiot weryfikujący tożsamość osoby, który staje się administratorem jej danych, decydować będzie o sposobach weryfikacji tożsamości. Pozyskana w projektowanym trybie fotografia nie podlega przechowywaniu i gromadzeniu przez podmiot, który ją pozyskał.

W art. 3 pkt 2 lit. a i b projektu ustawy wprowadza się zmiany w art. 68 ustawy z dnia 6 sierpnia 2010 r. o dowodach osobistych polegające na:

1) uchyleniu w ust. 1 zdania drugiego, co ma na celu dostosowanie regulacji do rozszerzenia wydawanego raportu dotyczącego niezgodności danych z RDO;

2) dodaniu ust. 1a i 1b, które będą stanowić podstawę prawną do rozszerzenia dotąd wydawanego raportu dotyczącego niezgodności danych o wskazanie, która z danych jest niezgodna. Powyższy raport ma zapewnić sprawną obsługę klienta przez podmiot komercyjny np. bank oraz ją przyspieszyć, a także ograniczyć konieczność wizyty klienta banku lub w urzędzie w celu weryfikacji zapisu danych osoby widniejących w wydanym jej dowodzie osobistym. Rozszerzenie raportu weryfikacji mieści się w realizacji celu w jakim każdorazowo podmiot wnioskuje o weryfikację, jak również znajduje się w ramach celu, któremu służy ten tryb udostępniania. Tryb weryfikacji (ograniczonej teletransmisji) polega na ustaleniu, czy dowód osobisty o wskazanym zakresie danych istnieje czy też nie. Nie ma jednak przeszkód, aby podmiot weryfikujący, który, co należy podkreślić, na mocy decyzji wydanej przez Ministra Cyfryzacji jest do tego uprawniony, uzyskał również informację, która konkretnie dana jest niezgodna. Nadal nie jest to bowiem udostępnienie tej danej, a jedynie wskazanie, która z nich jest nieprawidłowa. W dalszym ciągu podmiot taki po uzyskaniu raportu niezgodności powinien podchodzić ostrożnie co do legalności tak zweryfikowanego dowodu osobistego. Celem nowelizacji jest wsparcie podmiotów sektora prywatnego w prowadzonej przez nie działalności tak, aby mogły wywiązywać się z ustawowo nałożonych na nie obowiązków, w tym weryfikować dane swoich klientów. Uzyskanie takiego raportu daje im dodatkowo możliwość zweryfikowania po swojej stronie, czy wszystkie dane zostały wpisane poprawnie i czy nie należy ich ponownie uzupełnić i zweryfikować, bez narażania klienta na niepotrzebne nieprzyjemności. Obecnie, jak również sygnalizuje Związek Banków Polskich, proces weryfikacji pomimo posługiwania się przez klienta ważnym dokumentem sprawia trudności i odbija się negatywnie na kliencie, w szczególności w przypadku występowania w danych osoby znaków diakrytycznych. Brak informacji, że negatywna weryfikacja spowodowana jest wadliwym wskazaniem określonej kategorii danych, często powoduje odesłanie klienta do urzędu w celu wyjaśnienia sprawy i weryfikacji zapisów danych osoby widniejących w rejestrze państwowym. Niejednokrotnie są to również zwykłe omyłki i literówki podczas wpisywania danych, które również powodują odesłanie klienta do urzędu. Problem ten obserwowany jest również z poziomu Ministerstwa Cyfryzacji, które w odpowiedzi na indywidualne zapytania osób fizycznych kierowane do niej bezpośrednio sprawdza sposób wprowadzenia zapytania przez podmioty weryfikujące. Sytuacje te dotyczą często spraw ważnych z punktu widzenia np. prowadzonej działalności gospodarczej i realizowanych w jej ramach operacji, gdzie istotny jest czas obsługi zlecenia.

W art. 3 w pkt 3 projektu ustawy dodaje się do ustawy z dnia 6 sierpnia 2010 r. o dowodach osobistych przepis art. 68a, w którym to przepisie:

1) w ust. 1 określa się warunki, na jakich będzie możliwe udostępnienie fotografii z RDO w trybie pełnej teletransmisji danych. W projekcie proponuje się przyjęcie dwustopniowego modelu dostępu usługodawcy do wizerunku twarzy. Zgodnie z przyjętymi założeniami, w pierwszym kroku usługodawca będzie musiał uzyskać pozytywny wynik weryfikacji danych zawartych w weryfikowanym dowodzie osobistym. Weryfikacja ta będzie odbywała się przy użyciu usługi sieciowej, udostępnianej przez Ministra Cyfryzacji, która funkcjonuje już obecnie na podstawie aktualnych przepisów zmienianej ustawy. Usługodawca ubiegający się o dostęp do wizerunku twarzy będzie musiał uprzednio uzyskać pozytywną decyzję Ministra Cyfryzacji warunkującą uzyskanie dostępu do danych zgromadzonych w RDO, w trybie weryfikacji danych, za pośrednictwem ww. usługi sieciowej. Dopiero po potwierdzeniu istnienia dowodu osobistego w wyżej opisany sposób, usługodawca będzie miał zapewnioną możliwość weryfikacji fotografii posiadacza dowodu osobistego, przechowywanej w Rejestrze Dowodów Osobistych, przy użyciu usługi sieciowej udostępnionej przez Ministra Cyfryzacji, w trybie pełnej teletransmisji;

2) w ust. 1–3 określa się także katalog podmiotów, które będą uprawnione do ubiegania się o dostęp do fotografii z RDO, i warunki, jakie będą musiały spełnić, by skorzystać z usługi. Katalog ten określono przez pryzmat wykonywanych zadań i czynności, w których niezbędna jest skuteczna weryfikacja tożsamości klienta. Tym samym posiadanie przez usługodawcę wyłącznie dostępu do danych zgromadzonych w RDO w drodze weryfikacji nie będzie stanowiło automatycznej przepustki do dostępu do wizerunku posiadacza dowodu osobistego, lecz zostanie ograniczone do wskazanego w projekcie kręgu podmiotów. Wśród podmiotów uwzględniono także instytucję tworzoną na podstawie art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe (Dz. U. z 2024 r. poz. 1646, z późn. zm.) z uwagi na szczególną rolę tych podmiotów w sektorze finansowym. Instytucje te, takie jak Związek Banków Polskich czy Krajowa Spółdzielcza Kasa Oszczędnościowo-Kredytowa, pośredniczą dla banków lub swoich członków w dostępie do danych zgromadzonych w rejestrach publicznych. Taka sytuacja ma miejsce już obecnie w przypadku ZBP które przygotowało rozwiązanie techniczne za pośrednictwem którego banki weryfikują dane dowodu osobistego z Rejestrem Dowodów Osobistych. W przepisie art. 68a ust. 1 pkt 3 dodano tę instytucję, aby nie budziło wątpliwości interpretacyjnych, że może brać ona udział w procesie weryfikacji dowodu i uzyskiwania wizerunku osoby z Rejestru Dowodów Osobistych. Instytucje te nie dokonują weryfikacji i uzyskania wizerunku bezpośrednio na własne potrzeby lecz na potrzeby członków, których zrzeszają, np. banków. Dostęp do danych wywoływany jest przez konkretny bank a nie ZBP lecz następuje to z wykorzystaniem rozwiązania ZBP, który tym samym uczestniczy w przetwarzaniu danych osobowych. Spowodowało to konieczność umocowania tego podmiotu w ustawie;

3) w ust. 4 dookreślono, iż udostępnieniu na ww. zasadach podlega wyłącznie fotografia zamieszczona w ostatnim wydanym dowodzie osobistym, który w dniu dokonywania weryfikacji w trybie ograniczonej teletransmisji jest dokumentem ważnym. Nie będzie zatem możliwe pozyskiwanie fotografii, jeśli dowód jest z jakiejkolwiek przyczyny unieważniony, jak również do fotografii z poprzednich dowodów osobistych. Przyjęcie tego rozwiązania ma na celu umożliwienie weryfikacji tożsamości osoby wyłącznie na podstawie fotografii z aktualnego i ważnego dowodu osobistego. Dodatkowo ograniczono możliwość dostępu do fotografii wyłącznie w przypadku dokumentów wydanych, stąd też nawet w przypadku złożenia przez obywatela wniosku o nowy dokument – weryfikacji będą podlegały dane z poprzedniego – o ile jest on ważny;

4) w ust. 5 doprecyzowuje się, że udostępnienie fotografii z RDO w przypadku uprzedniej pozytywnej weryfikacji istnienia dowodu osobistego na podany przez Wnioskodawcę zestaw danych – w trybie ograniczonej teletransmisji danych – będzie nieodpłatne.

W art. 4 pkt 2, 4 i 5 projektu ustawy wprowadza się zmiany w ustawie z dnia 24 września 2010 r. o ewidencji ludności.

W art. 4 pkt 2 projektu ustawy wprowadza następujące zmiany w art. 48 ustawy dnia 24 września 2010 r. o ewidencji ludności:

1) dodawany ust. 1a będzie stanowił podstawę prawną do udostępnienia określonej grupie podmiotów informacji o seriach, numerach i datach ważności ważnych dowodów osobistych ich klientów wydanych na skutek zmiany dowodu osobistego. Dotąd konieczność zgłoszenia aktualizacji danych dotyczących dowodu osobistego spoczywała na kliencie instytucji. Brak zgłoszenia zmiany danych skutkował niemożnością realizacji czynności bankowej z powodu niezgodności danych (bank zweryfikował dane dotyczące dowodu osobistego i otrzymał zwrotnie informację, że dowód osobisty nie jest ważny). Przyczyni się to do zdjęcia z obywateli konieczności zgłaszania zmiany dowodu osobistego i zmniejszenia barier w dostępie do usług finansowych. Jednocześnie podmiot taki musi spełniać wskazane w ustawie przesłanki dotyczące bezpieczeństwa danych. Mechanizm oraz katalog podmiotów uprawnionych (banki oraz SKOK-i) określony został także przy uwzględnieniu celów ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu, w szczególności środków bezpieczeństwa finansowego określonych w art. 34 tej ustawy. Instytucje obowiązane na potrzeby stosowania środków bezpieczeństwa finansowego mogą przetwarzać informacje zawarte w dokumentach tożsamości klienta i osoby upoważnionej do działania w jego imieniu oraz sporządzać ich kopie. Określony w ustawie z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu katalog podmiotów jest bardzo szeroki i obejmuje podmioty jak np. pośrednicy ubezpieczeniowi czy pośrednicy w obrocie nieruchomościami. W ocenie projektodawcy tak szeroki katalog podmiotów uprawnionych do uzyskiwania danych, jest jednak zbyt szeroki i powodujący wyższe ryzyko wycieku danych. Ryzyko to oceniono na tyle wysoko, aby katalog podmiotów ograniczyć do podmiotów dających rękojmię zaufania w najwyższym stopniu. Były to jednocześnie postulaty zgłaszane przez to środowisko. Projekt przewiduje także udostępnianie informacji o dacie ważności nowego dowodu osobistego co ma na celu umożliwienie weryfikacji czy klient dysponuje ważnym dokumentem i ewentualne monitowanie go o konieczności wymiany w przypadku zbliżającego się upływu terminu ważności. W świetle art. 34 ust. 4 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu instytucje obowiązane na potrzeby stosowania środków bezpieczeństwa finansowego mogą przetwarzać informacje zawarte w dokumentach tożsamości klienta i osoby upoważnionej do działania w jego imieniu oraz sporządzać ich kopie, a zatem także informację o dacie ważności dokumentu;

2) dodawany ust. 1b doprecyzowuje, iż określone dane dotyczące dowodów osobistych klientów mogą być udostępnione również za pośrednictwem instytucji utworzonej na podstawie art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe, tak jak ma to miejsce np. w przypadku rejestru zastrzeżeń numerów PESEL.

W art. 4 pkt 4 projektu ustawy wprowadza zmianę w art. 53 pkt 2 ustawy z dnia 24 września 2010 r. o ewidencji ludności, który będzie stanowił, iż udostępnienie np. bankom informacji o seriach, numerach i datach ważności ważnych dowodów osobistych ich klientów wydanych na skutek zmiany dowodu osobistego będzie realizowane odpłatnie.

W art. 4 pkt 5 projektu ustawy wprowadza się zmianę w art. 56 pkt 1 ustawy z dnia 24 września 2010 r. o ewidencji ludności, polegającą na modyfikacji delegacji ustawowej dla Rady Ministrów do wydania rozporządzenia dotyczącego wysokości, sposobu i terminów uiszczenia opłat za udostępnienie danych z rejestru PESEL oraz sposobu ich dokumentowania poprzez objęcie zakresem rozporządzenia również opłaty za udostępnianie serii, numeru i daty ważności dowodu osobistego.

Zmiana w art. 6 polega na uchyleniu art. 37 i dodaniu przepisu art. 37a w ustawie z dnia 25 czerwca 2015 r. – Prawo konsularne (Dz. U. z 2023 r. poz. 1329) i ma na celu zastąpienie osobnych wykazów obywateli polskich przebywających w okręgu konsularnym, prowadzonych fakultatywnie przez konsulów, jednym rejestrem obywateli polskich przebywających za granicą, zwanym dalej „rejestrem podróżujących”, prowadzonym przez ministra właściwego do spraw zagranicznych, w celu wsparcia działań konsula, o których mowa w art. 36 zmienianej ustawy (wsparcie bezpiecznego i sprawnego opuszczenia zagrożonego obszaru w sytuacji zagrożenia dla życia lub bezpieczeństwa), a także działań, o których mowa w art. 18 pkt 8 zmienianej ustawy, w zakresie upowszechniania informacji o sytuacji w państwie przyjmującym, w szczególności o zdarzeniach mogących powodować zagrożenie dla życia lub bezpieczeństwa obywateli polskich. Powyższe cele, zawarte w przywołanych przepisach, stanowią tym samym uzasadnienie dla przetwarzania danych osobowych, o jakim mowa w art. 6 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.).

Dzięki ustawowemu uregulowaniu funkcjonowania ww. rejestru oraz powiązanej z nim usługi elektronicznej rejestracji podróży zagranicznej będzie możliwe jej udostępnienie w aplikacji mObywatel na zasadach określonych w art. 16 ustawy z dnia 26 maja 2023 r. o aplikacji mObywatel (Dz. U. z 2024 r. poz. 1275 i 1717). Obecnie usługa jest realizowana poprzez system Odyseusz prowadzony przez Ministerstwo Spraw Zagranicznych, funkcjonujący na zasadach określonych w regulaminie portalu internetowego (dane osobowe przetwarzane są w nim na podstawie art. 6 ust. 1 lit. a RODO, tj. za zgodą użytkownika). W nowym stanie prawnym zarówno rejestr, jak i usługa będą funkcjonować w ramach jednego systemu teleinformatycznego prowadzonego przez ministra właściwego do spraw zagranicznych, który będzie administratorem danych osobowych zgromadzonych rejestrze podróżujących. W projektowanym przepisie rozszerzono katalog danych osobowych przetwarzanych w ww. rejestrze. Będzie on obejmować imię (imiona), nazwisko, numer PESEL – jeżeli został nadany, adres miejsca pobytu za granicą, przewidywany okres pobytu za granicą – nie dłuższy niż 5 lat, oraz adres poczty elektronicznej lub numer telefonu komórkowego. Dane te będą zamieszczane, aktualizowane lub usuwane na wniosek obywatela polskiego (wypada zatem zauważyć, że ustawodawca uregulował również sytuację, w której obywatel nie będzie wyrażał dalszego życzenia co do ujęcia jego danych w systemie teleinformatycznym, gdyż np. zrezygnuje z planowanej podróży, wobec czego wystąpi o usunięcie danych). Proponowana zmiana określa okres retencji danych rejestrze podróżujących wynoszący 14 dni od zakończenia przewidywanego pobytu w za granicą. Maksymalny okres zarejestrowanego pobytu za granicą wyniesie 5 lat – po upływie tego okresu obywatel będzie mógł ewentualnie ponownie zarejestrować swój pobyt. Dotychczasowy przepis art. 37 nie odnosił się do możliwości działania z wykorzystaniem systemów teleinformatycznych, które obecnie uważa się za standard w pracy konsula. Wprowadza się też możliwość udostępnienia danych z rejestru podróżnych organom innych państw lub innym podmiotom, w zakresie niezbędnym do prowadzenia przez konsula działań, o których mowa w art. 36 zmienianej ustawy (wsparcie bezpiecznego i sprawnego opuszczenia zagrożonego obszaru w sytuacji zagrożenia dla życia lub bezpieczeństwa), co niejednokrotnie może być niezbędne dla sprawnego przeprowadzenia ww. działań, w szczególności w sytuacji kryzysowej, obejmującej np. poszukiwania ofiar zdarzeń losowych przez miejscowe służby itp.

Jednocześnie planowane jest usunięcie art. 37 ustawy z dnia 25 czerwca 2015 r. – Prawo konsularne w aktualnym brzmieniu, przyznającego konsulowi kompetencję do prowadzenia wykazu obywateli polskich przebywających w okręgu konsularnym, w celu sprawnego przeprowadzenia działań, o których mowa w art. 36 przywołanej ustawy. Mając na uwadze, iż przepis ten nie jest stosowany w praktyce, nie jest potrzebne wprowadzenie regulacji przejściowych.

W ocenie projektodawcy nie zachodzi potrzeba zawarcia w projektowanych przepisach regulacji o charakterze przejściowym i dostosowującym związanych z utrzymaniem ważności decyzji wyrażających zgodę na udostępnienie danych, które zostały już wydane bądź zostaną wydane przed dniem wejścia w życie projektowanych przepisów ustaw, gdyż wprowadzane nie zmieniają co do zasady sposobu ubiegania się o udostępnianie danych.

Przewiduje się, że projektowane przepisy wejdą w życie po upływie 14 dni od dnia ogłoszenia, z wyjątkiem:

1) art. 3 pkt 2 lit. a i b oraz pkt 3, art. 4 pkt 2, 4 i 5 oraz art. 9, które wejdą w życie z dniem 30 czerwca 2026 r.;

2) art. 6, który wchodzi w życie z dniem 17 kwietnia 2026 r.

Wejście w życie z dniem 30 czerwca 2026 r. regulacji dotyczących udostępniania wizerunku oraz aktualizacji danych o seriach i numerach oraz datach ważności dowodów osobistych wynika z konieczności przygotowania stosownych rozwiązań technicznych umożliwiających korzystania z takich usług przez podmioty uprawnione, w tym przygotowania mechanizmów rozliczalności przetwarzania danych osobowych.

Wejście w życie z dniem 17 kwietnia 2026 r. regulacji dotyczących rejestru podróżujących wynika z planowanego terminu uruchomienia projektowanej usługi wynikającego z harmonogramu projektu Rozbudowa systemu Odyseusz.

Projekt ustawy nie zawiera przepisów technicznych i w związku z tym nie podlega procedurze notyfikacji w rozumieniu przepisów rozporządzenia Rady Ministrów z dnia 23 grudnia 2002 r. w sprawie sposobu funkcjonowania krajowego systemu notyfikacji norm i aktów prawnych (Dz. U. poz. 2039 oraz z 2004 r. poz. 597).

Stosownie do postanowień art. 5 ustawy z dnia 7 lipca 2005 r. o działalności lobbingowej w procesie stanowienia prawa (Dz. U. z 2017 r. poz. 248 oraz z 2024 r. poz. 1535), projekt został udostępniony w Biuletynie Informacji Publicznej na stronie podmiotowej Ministra Cyfryzacji. Ponadto zgodnie z § 52 ust. 1 uchwały nr 190 Rady Ministrów z dnia 29 października 2013 r. – Regulamin pracy Rady Ministrów (M.P. z 2024 r. poz. 806 oraz z 2025 r. poz. 408), został udostępniony w Biuletynie Informacji Publicznej na stronie podmiotowej Rządowego Centrum Legislacji w zakładce Rządowy Proces Legislacyjny.

Projektowane regulacje nie stoją w sprzeczności z prawem Unii Europejskiej.

Projekt nie wymaga zasięgnięcia opinii, dokonania konsultacji oraz uzgodnienia z właściwymi organami i instytucjami Unii Europejskiej. Nazwa projektu Data sporządzenia Ustawa o zmianie ustawy o informatyzacji działalności 12 maja 2025 r. podmiotów realizujących zadania publiczne oraz niektórych innych ustaw Źródło: Inicjatywa własna, deregulacja Ministerstwo wiodące i ministerstwa współpracujące Ministerstwo Cyfryzacji Nr w wykazie prac legislacyjnych Rady Ministrów Osoba odpowiedzialna za projekt w randze Ministra, UDER8 Sekretarza Stanu lub Podsekretarza Stanu Dariusz Standerski – Sekretarz Stanu w Ministerstwie Cyfryzacji Henryka Mościcka-Dendys – Podsekretarz Stanu w Ministerstwie Spraw Zagranicznych

Kontakt do opiekuna merytorycznego projektu: Monika Małowiecka – zastępca dyrektora Departamentu Transformacji Cyfrowej w Ministerstwie Cyfryzacji, adres e-mail: monika.malowiecka3@cyfra.gov.pl Justyna Chrzanowska – dyrektor Departamentu Konsularnego, e-mail: justyna.chrzanowska@msz.gov.pl OCENA SKUTKÓW REGULACJI

1. Jaki problem jest rozwiązywany? W obecnym stanie prawnym udostępnianie danych z rejestrów i ewidencji prowadzonych przez ministra właściwego do spraw informatyzacji wymaga wydania decyzji administracyjnej. Celowe jest dokonanie zmiany w tym zakresie tak, aby minister właściwy do spraw informatyzacji wydawał decyzję jedynie w przypadku odmowy udostępniania danych i cofnięcia zgody na udostępnianie danych. Z powyższych względów w projekcie ustawy przewidziano wprowadzenie zmian mających na celu uproszczenie realizacji spraw z zakresu udostępniania danych, w których właściwy jest minister do spraw informatyzacji (tj. danych z rejestru danych kontaktowych osób fizycznych, centralnej ewidencji pojazdów, centralnej ewidencji kierowców, Rejestru Dowodów Osobistych, rejestru zastrzeżeń numerów PESEL, rejestru PESEL, rejestru stanu cywilnego, Rejestru Dokumentów Paszportowych) i ich przyspieszenie. Zmiany polegają na uproszczeniu prowadzonych przez ministra właściwego do spraw informatyzacji postępowań dotyczących wniosków o udostępnienie danych przez rezygnację z obowiązku wydawania decyzji administracyjnej, w sytuacjach gdy udostępnienia danych jest uzasadnione. Pozytywna odpowiedź na wniosek podmiotu ubiegającego się o udostępnienie danych będzie skutkować czynnością materialno-techniczną i nie będzie wymagać wydania decyzji administracyjnej, co wpłynie na skrócenie czasu uzyskiwania dostępu do danych z 4–6 miesięcy do maksymalnie 2 miesięcy. Ponadto niezbędne jest wzmocnienie procesów weryfikacji tożsamości przez umożliwienie uzyskiwania wizerunku osoby z Rejestru Dowodów Osobistych przez podmioty świadczące usługi w sektorze prywatnym oraz wprowadzenie możliwości automatycznej aktualizacji baz danych banków i spółdzielczych kas oszczędnościowo-kredytowych (SKOK) o dane dotyczące nowo wydanych dowodów osobistych, znosząc tym samym obowiązek zgłaszania aktualizacji tych danych bezpośrednio przez obywateli.

2. Rekomendowane rozwiązanie, w tym planowane narzędzia interwencji i oczekiwany efekt Projekt zakłada zmiany w ustawie z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2024 r. poz. 1557 i 1717), ustawie z dnia 20 czerwca 1997 r. – Prawo o ruchu drogowym (Dz. U. z 2024 r. poz. 1251), ustawie z dnia 6 sierpnia 2010 r. o dowodach osobistych (Dz. U. z 2022 r. poz. 671 oraz z 2023 r. poz. 1234 i 1941), ustawie z dnia 24 września 2010 r. o ewidencji ludności (Dz. U. z 2025 r. poz. 274), ustawie z dnia 28 listopada 2014 r. – Prawo o aktach stanu cywilnego (Dz. U. z 2025 r. poz. 594) oraz ustawie z dnia 27 stycznia 2022 r. o dokumentach paszportowych (Dz. U. z 2024 r. poz.

1063), które pozwolą m.in. na: − uproszczenie prowadzonych przez ministra właściwego do spraw informatyzacji postępowań dotyczących wniosków o udostępnienie danych przez rezygnację z obowiązku wydawania decyzji administracyjnej, w sytuacjach gdy wniosek o udostępnienie danych jest uzasadniony; minister właściwy do spraw informatyzacji będzie wydawać decyzję jedynie w przypadku odmowy udostępniania danych i cofnięcia zgody na udostępnianie danych, − wprowadzenie podstawy prawnej dla rozwiązań, które zwiększą bezpieczeństwo obrotu prawnego i podniosą skuteczność weryfikacji tożsamości kontrahentów przez podmioty świadczące usługi w sektorze prywatnym, czyli udostępnienie im fotografii w celu umożliwienia weryfikacji zgodności fotografii zawartej w dowodzie osobistym okazywanym przez usługobiorcę z fotografią przechowywaną w Rejestrze Dowodów Osobistych przez podmioty świadczące usługi w sektorze prywatnym oraz możliwość automatycznego aktualizowania baz danych banków i spółdzielczych kas oszczędnościowo-kredytowych o nowo wydane dowody osobiste ich klientów. W ustawie z dnia 25 czerwca 2015 r. – Prawo konsularne (Dz. U. z 2023 r. poz. 1329) proponuje się zastąpienie osobnych wykazów obywateli polskich przebywających w okręgu konsularnym, prowadzonych fakultatywnie przez konsulów, jednym rejestrem obywateli polskich przebywających za granicą prowadzonym przez ministra właściwego do spraw zagranicznych w dedykowanym systemie teleinformatycznym, w celu:

- wsparcia działań konsula, o których mowa w art. 36 zmienianej ustawy (wsparcie bezpiecznego i sprawnego opuszczenia zagrożonego obszaru w sytuacji zagrożenia dla życia lub bezpieczeństwa), a także działań, o których mowa w art. 18 pkt 8 zmienianej ustawy, w zakresie upowszechniania informacji o sytuacji w państwie przyjmującym, w szczególności o zdarzeniach mogących powodować zagrożenie dla życia lub bezpieczeństwa obywateli polskich,

- ustawowego uregulowania funkcjonowania usługi rejestracji podróży zagranicznej (obecnie realizowanej bez ram ustawowych poprzez system Odyseusz prowadzony przez Ministerstwo Spraw Zagranicznych, funkcjonujący na zasadach określonych w regulaminie portalu internetowego; dane osobowe przetwarzane są w nim na podstawie art. 6 ust. 1 lit. a RODO, tj. za zgodą użytkownika),

- określenia zakresu oraz zasad przetwarzania danych osobowych w ramach tej usługi,

- wprowadzenia możliwości udostępnienia danych z rejestru podróżnych innym podmiotom, w zakresie niezbędnym do prowadzenia przez konsula działań, o których mowa w art. 36 zmienianej ustawy (wsparcie bezpiecznego i sprawnego opuszczenia zagrożonego obszaru w sytuacji zagrożenia dla życia lub bezpieczeństwa).

3. Jak problem został rozwiązany w innych krajach, w szczególności krajach członkowskich OECD/UE? Nie zidentyfikowano odpowiedników wprowadzanych procedur w innych krajach członkowskich OECD/UE.

4. Podmioty, na które oddziałuje projekt Grupa Wielkość Źródło danych Oddziaływanie Przedsiębiorcy – 5 dostawców Rejestr kwalifikowanych Prywatni dostawcy usług będą mieli (wybrane kwalifikowany dostawców usług zaufania zapewnioną możliwość weryfikacji kategorie) ch usług zgodności fotografii w okazywanym zaufania, Rejestr przedsiębiorców przez klienta dowodzie osobistym

– 3710 telekomunikacyjnych z fotografią przechowywaną w Rejestrze dostawców (UKE) Dowodów Osobistych, co w rezultacie publicznie podniesie skuteczność oraz bezpieczeństwo dostępnych Rejestr Pośredników procesów ustalania tożsamości osób usług Kredytowych i Instytucji fizycznych. telekomunikac Pożyczkowych (KNF) yjnych,

– dostawcy Rejestr dostawców usług usług płatniczych (KNF) płatniczych,

– ok. 100 instytucji pożyczkowych

Dostawcy usług płatniczych niebędący bankiem lub spółdzielczą kasą oszczędnościo wo-kredytową

- ok. 250 Banki ok. 600 Analiza własna Udostępnienie z rejestru PESEL odpłatnie (komercyjne, danych o seriach, numerach i datach ważności spółdzielcze, ważnych dowodów osobistych ich klientów państwowe) i wydanych na skutek zmiany dowodu SKOK osobistego. (spółdzielcze kasy oszczędnościo wo-kredytowe) Dostawcy Około 250 Analiza własna Zapewnienie możliwości weryfikacji usług Informacja z rejestru zgodności fotografii w okazywanym płatniczych dostawców usług przez klienta dowodzie osobistym z niebędący płatniczych prowadzonego fotografią przechowywaną w Rejestrze bankiem lub przez KNF Dowodów Osobistych w celu spółdzielczą weryfikacji tożsamości osób fizycznych. https://e-rup.knf.gov.pl/ kasą oszczędności owo-kredytową Obywatele ok. 38 mln. Rocznik Statystyczny Wprowadzane rozwiązania będą polegały na GUS przetwarzaniu danych osobowych obywateli. Minister 1 Informacja Minister Cyfryzacji będzie utrzymywał i Cyfryzacji ogólnodostępna rozwijał oprogramowanie służące do realizacji zadań objętych projektem. Minister będzie również załatwiał sprawy w formie czynności materialno-technicznej dotyczące udostępnienia danych na podstawie ustaw wskazanych w projekcie – jeżeli będzie mógł uwzględnić wniosek udostępniając dane. Tylko w przypadku odmowy albo cofnięcia zgody będzie wydawał decyzję. Osoby ok. 10 Dane własne Wygodniejsza rejestracja podróży wyjeżdżające milionów zagranicznej, w tym w aplikacji mObywatel. za granicę rocznie Minister 1 Informacja Utworzenie systemu teleinformatycznego właściwy do ogólnodostępna Obejmującego rejestr obywateli polskich spraw przebywających w poszczególnych zagranicznych okręgach konsularnych oraz usługę rejestracji podróży zagranicznej. Konsulowie 129 Informacja Udostępnienie nowego systemu RP ogólnodostępna teleinformatycznego ułatwiającego udzielanie pomocy konsularnej.

5. Informacje na temat zakresu, czasu trwania i podsumowanie wyników konsultacji Projekt ustawy został udostępniony w Biuletynie Informacji Publicznej na stronie Rządowego Centrum Legislacji w zakładce „Rządowy Proces Legislacyjny” zgodnie z § 52 ust. 1 uchwały nr 190 Rady Ministrów z dnia 29 października 2013 r. – Regulamin pracy Rady Ministrów (M.P. z 2024 r. poz. 806 oraz z 2025 r. poz. 408) oraz stosownie do wymogów art. 5 ustawy z dnia 7 lipca 2005 r. o działalności lobbingowej w procesie stanowienia prawa (Dz. U. z 2017 r. poz. 248 oraz z 2024 r. poz. 1535).

Projekt ustawy został skierowany do konsultacji publicznych na 7 dni do następujących podmiotów:

1) Asseco Data Systems S.A.;

2) EuroCert Sp. z o.o.;

3) Centrum Cyfrowego Projekt: Polska;

4) Fundacji Bezpieczeństwa Informacji Polska;

5) Fundacji Bezpieczna Cyberprzestrzeń;

6) Fundacji Dobra Sieć;

7) Fundacji ePaństwo;

8) Fundacji na rzecz innowacji finansowych FinTech Polska;

9) Fundacji Nowoczesna Polska;

10) Federacji Związków Zawodowych Pracowników Telekomunikacji;

11) Fundacji Panoptykon;

12) Krajowej Izby Gospodarczej;

13) Krajowej Izby Gospodarczej Elektroniki i Telekomunikacji;

14) Krajowej Izby Gospodarki Cyfrowej;

15) Krajowej Izby Komunikacji Ethernetowej;

16) Ogólnopolskiej Federacji Przedsiębiorców i Pracodawców Przedsiębiorcy.pl;

17) Ogólnopolskiego Porozumienia Organizacji Samorządowych;

18) Polskiej Izby Gospodarczej Zaawansowanych Technologii;

19) Polskiej Izby Komunikacji Elektronicznej;

20) Polskiej Rady Biznesu;

21) Polskiego Towarzystwa Informatycznego;

22) Poczty Polskiej S.A.;

23) Polskiej Izby Informatyki i Telekomunikacji;

24) Polskiego Związku Instytucji Pożyczkowych;

25) Rady do spraw Cyfryzacji;

26) Stowarzyszenia Inspektorów Ochrony Danych Osobowych;

27) Stowarzyszenia Sieć Obywatelska – Watchdog Polska;

28) Śląskiej Federacji Przedsiębiorców Polskich;

29) Krajowego Porozumienia Stowarzyszeń Rzeczoznawców Samochodowych;

30) Związku Banków Polskich;

31) Związku Przedsiębiorstw Finansowych w Polsce;

32) Federacji Związków Zawodowych Pracowników Telekomunikacji;

33) Konfederacji „Lewiatan”;

34) Związku Rzemiosła Polskiego;

35) Pracodawców Rzeczypospolitej Polskiej;

36) Business Centre Club;

37) Związku Przedsiębiorców i Pracodawców;

38) Federacji Przedsiębiorców Polskich;

39) Polskiego Towarzystwa Gospodarczego. Projekt ustawy został skierowany do opiniowania na 7 dni do następujących podmiotów:

1) Urzędu Ochrony Danych Osobowych;

2) Urzędu Ochrony Konkurencji i Konsumentów;

3) Prokuratorii Generalnej RP;

4) Głównego Urzędu Statystycznego.

6. Wpływ na sektor finansów publicznych (ceny stałe z Skutki w okresie 10 lat od wejścia w życie zmian [mln zł] 2021 r.) 0 1 2 3 4 5 6 7 8 9 10 Łącznie (0–10) Dochody 0 0,3 0,5 0,7 0,8 0,9 1,1 1,2 1,3 1,4 1,4 9,6 ogółem budżet 0 0,3 0,5 0,7 0,8 0,9 1,1 1,2 1,3 1,4 1,4 9,6 państwa JST 0 0 0 0 0 0 0 0 0 0 0 0 pozostałe 0 0 0 0 0 0 0 0 0 0 0 0 jednostki (oddzielnie) Wydatki 0,3 0,3 0 0 0 0 0 0 0 0 0 0,6 ogółem budżet 0,3 0,3 0 0 0 0 0 0 0 0 0 0,6 państwa JST 0 0 0 0 0 0 0 0 0 0 0 0 pozostałe jednostki 0 0 0 0 0 0 0 0 0 0 0 0 (oddzielnie)

Saldo ogółem -0,3 0,0 0,5 0,7 0,8 0,9 1,1 1,2 1,3 1,4 1,4 9 budżet 0,5 0,7 0,8 0,9 1,1 1,2 1,3 1,4 1,4 9 państwa -0,3 0,0 JST 0 0 0 0 0 0 0 0 0 0 0 0 pozostałe 0 0 0 0 0 0 0 0 0 0 0 0 jednostki (oddzielnie) Źródła Zadania sfinansowanie zostaną z budżetu państwa z części 27 – Informatyzacja w ramach finansowania limitu środków. Dodatkowe Planowane wydatki w 2025 r. (planowany rok wejścia w życie przepisów oraz rozpoczęcie informacje, w prac inwestycyjnych) i 2026 r. (kontynuacja i zakończenie prac inwestycyjnych). tym wskazanie źródeł danych Obliczenie dochodów z tytułu opłat za udostępnienie serii i numeru dowodu osobistego: i przyjętych do Banki oraz spółdzielcze kasy oszczędnościowo-kredytowe pełnią o obrocie gospodarczym obliczeń szczególną rolę. Są to instytucje, które w szczególny sposób wpisują się w ogólne trendy związane założeń z informatyzacją różnych obszarów działalności gospodarczej. Obserwacje rynku bankowego pozwalają przyjąć, że skorzystanie przez banki/SKOKi z oferowanej usługi umożliwiającej pozyskiwanie z rejestru PESEL danych dotyczących serii, numerów i dat ważności dowodów osobistych ich klientów może przełożyć się na zwiększenie bezpieczeństwa środków znajdujących się w obrocie bankowym oraz zmniejszenie kosztów obsługi klientów. Usługa taka wyeliminuje bowiem konieczność obsługi klientów w oddziałach tych instytucji. Nie bez znaczenia pozostaje przy tym kontynuowana przez Związek Banków Polskich od 2008 r. kampania Dokumenty zastrzeżone. Wprawdzie celem kampanii jest uwrażliwienie obywateli (nie tylko klientów banków) na konieczność zgłaszania do właściwego systemu bankowego informacji o utraconych dokumentach tożsamości. To pozyskane w ten sposób dane są udostępniane instytucjom bankowym, co w realny sposób przekłada się na wzmocnienie ochrony obywateli przed działalnością oszustów. Jak wynika z Raportu o dokumentach zastrzeżonych z III kwartału 2022 r. (https://www.zbp.pl/getmedia/731d1b29-3b2d-4dcf-9310-20aec2923725/infodok-2022-07-09-wydanie-51-sklad-221025-gk06) w okresie objętym raportem, statystycznie trafiało do bazy 491 dokumentów dziennie. Na koniec września 2022 r. w bazie zostały zgromadzone informacje o 2.258.175 szt. zastrzeżonych dokumentów tożsamości. Z informacji zawartych we wskazanym raporcie wynika, że tylko w III kwartale 2022 r. odnotowano średnio 22 próby wyłudzeń kredytów dziennie (łącznie z weekendami). Powyższe pozwala zatem przyjąć, że w najbliższych latach będzie rosnące zainteresowanie instytucji będących adresatami projektowanego rozwiązania możliwością pozyskiwania z rejestru PESEL danych dotyczących serii, numerów i dat ważności dowodów osobistych ich klientów. Z informacji statystycznych pozyskanych z Rejestru Dowodów Osobistych wynika, że w latach 2023–2033 średnio 3 148 962 dowodów osobistych w roku utraciło lub utraci ważność w związku z upływem terminu ważności dokumentu. Z danych historycznych z kolei wynika, że w latach 2012–2022 średnio 1 691 162 dowodów osobistych w roku zostało wydanych z przyczyny innej niż utrata terminu ważności. Z powyższego wynika, że przy założeniu, że w latach 2023–2033 średnia liczba dowodów osobistych wydanych z przyczyny innej niż upływ terminu ważności jest i będzie zbliżona do liczby z lat ubiegłych, to należy się spodziewać, że w przyszłym okresie dziesięcioletnim średnio w ciągu każdego roku do obrotu prawnego trafi około 4 840 124 nowych dowodów osobistych. Zasadne wydaje się przyjęcie, że zdecydowana większość posiadaczy tych dokumentów, o ile nie prawie wszyscy, to klienci instytucji bankowych. Wskazane w tabeli sekcji 6 wyliczenia oszacowano, biorąc pod uwagę informacje obejmujące 10 największych banków prowadzących działalność na polskim rynku (w oparciu o raport Polska bankowość w liczbach za II kwartał 2020 r.). Banki te mają łącznie ponad 95 % udział w obsłudze klientów indywidualnych. Ostrożnie przyjęto przy tym, że co roku chęć skorzystania z oferowanej usługi zgłosi tylko jeden bank, począwszy od tego, który posiada największe udziały w obsłudze klientów indywidualnych, a skończywszy na tym z udziałem najmniejszym. Uwzględniając średnią liczbę wydawanych w ciągu roku dowodów osobistych, według opisanych wyżej kryteriów, w pierwszym roku funkcjonowania usługi można się więc spodziewać, że w przypadku 23 % wydanych dowodów osobistych informacja o nich zostanie w ramach projektowanej usługi przekazana do banków. Przy uwzględnieniu opłaty za pozyskanie jednego rekordu (0,30 zł), która wynika z rozporządzenia Rady Ministrów z dnia 21 listopada 2011 r. w sprawie opłat za udostępnienie danych z Rejestru Dowodów Osobistych i dokumentacji związanej z dowodami osobistymi (Dz. U. z 2016 r. poz. 319) dochód budżetu państwa wyniesie z tego tytułu 333 969 zł. Przyrost przystąpienia banków / SKOK w kolejnych latach, zgodnie z wyżej opisanymi założeniami będzie wyglądał następująco: W drugim roku przekazanych zostanie 35% aktualizacji dotyczących nowych dowodów osobistych, co pozwoli określić spodziewane dochody na poziomie 508 213 zł.

1) w trzecim roku – 45,5%; spodziewany dochód – 660 677 zł;

2) w czwartym roku – 54,7%; spodziewany dochód – 794 264 zł;

3) w piątym roku – 63,8%; spodziewany dochód – 926 400 zł;

4) w szóstym roku – 72,6%; spodziewany dochód – 1 054 179 zł;

5) w siódmym roku – 80,8%; spodziewany dochód – 1 173 246 zł;

6) w ósmym roku – 88,8%.;Spodziewany dochód – 1 289 409 zł;

7) w dziewiątym roku – 92,8%; spodziewany dochód – 1 347 491 zł;

8) w dziesiątym roku – 96,3%; spodziewany dochód – 1 398 312 zł. Tytułem wydatków poniesionych w ramach realizowanego projektu z budżetu państwa należy wskazać na kwotę 600 000 zł. Jest to kwota stanowiąca równowartość oferty na przygotowanie infrastruktury informatycznej służącej realizacji projektowanej usługi przygotowanej przez Centralny Ośrodek Informatyki w roku 2023, powiększona o wskaźnik inflacji zgodnie z wytycznymi dotyczącymi wskaźników makroekonomicznych za rok 2025 i 2026, czyli lata, w których będą toczyć się prace inwestycyjne. Wydatki te zawierają w sobie także koszt dostosowania Rejestru Dowodów Osobistych w 2025 r. i 2026 r. do świadczenia tzw. usługi kaskadowej, umożliwiającej przekazywanie z rejestru wizerunku osoby po pozytywnej weryfikacji danych zawartych w prezentowanym dowodzie osobistym. Wydatki na dostosowanie systemów teleinformatycznych po stronie Ministra Cyfryzacji obejmują prace analityczne i wytwórcze po stronie Systemu Rejestrów Państwowych oraz uruchomienie usług umożliwiających dostęp do danych wskazanych w projektowanych przepisach. Natomiast nie wpłyną na budżet państwa zmiany polegające na uproszczeniu postępowań prowadzonych przez tego ministra dotyczących wniosków o udostępnienie danych przez rezygnację z obowiązku wydawania decyzji administracyjnej, w sytuacjach gdy wniosek o udostępnienie danych jest uzasadniony. Jednym z przedsięwzięć realizowanych w ramach inwestycji C2.1.1 jest przedsięwzięcie MSZ pn. Rozbudowa systemu Odyseusz, które przewiduje zastąpienie obecnie funkcjonującego systemu Odyseusz nowym systemem teleinformatycznym obejmującym m.in. zmodernizowaną usługę rejestracji podróży zagranicznej, udostępnianą także w aplikacji mObywatel. Nowelizacja ustawy z dnia 25 czerwca 2015 r. – Prawo konsularne (Dz. U. z 2023 r. poz. 1329) nie będzie się wiązała z dodatkowymi kosztami dla budżetu państwa.

7. Wpływ na konkurencyjność gospodarki i przedsiębiorczość, w tym funkcjonowanie przedsiębiorców oraz na rodzinę, obywateli i gospodarstwa domowe Skutki Czas w latach od wejścia 0 1 2 3 4 10 Łącznie (0–10) w życie zmian W ujęciu duże 0 -0,3 -0,5 -0,7 -0,8 -1,4 -9,6 pieniężnym przedsi (w mln zł, ębiorst wa ceny stałe z …… r.) rodzina, 0 0 0 0 0 0 0 obywat ele, gospoda rstwa domowe , osoby niepełn ospraw ne oraz osoby starsze W ujęciu duże Banki i SKOK-i będą miały możliwość odpłatnego pozyskiwania informacji o niepieniężnym przedsi seriach, numerach i datach ważności dowodów osobistych swoich klientów w ębiorst przypadku uzyskania przez nich nowych dokumentów. Usługa ta będzie odpłatna, wa jednak należy przyjąć, że będzie miała ona wpływ na organizację obsługi klientów wskazanych podmiotów. Obecnie klienci banków i SKOK-ów zobowiązani są do dokonywania aktualizacji danych o dowodzie osobistym po jego wymianie, co wymaga zorganizowania obsługi klientów. W przypadku natomiast zaniechania przez klienta czynności związanej z aktualizacją danych dotyczących dowodu osobistego, realizacja niektórych czynności bankowych może zostać zakłócona i wydłużona. Skorzystanie z oferowanej usługi pozwoli bankom i SKOK-om na usprawnienie obsługi klientów w omawianym zakresie a także zapewni im bieżący dostęp do informacji o dowodach osobistych klientów, co docelowo przełoży się na zwiększenie sprawności obsługi. rodzina, Klienci banków/SKOK-ów, które będą w drodze oferowanej usługi pozyskiwały obywat dane dotyczące serii i numerów dowodów osobistych oraz dat ważności dowodów, ele oraz będą zwolnieni z obowiązku informowania banku o wymianie dowodu osobistego. gospo- Wprawdzie w typowym przypadku obowiązek ten występuje raz na 10 lat, to darstwa niedopełnienie go może w określonych sytuacjach uniemożliwić załatwienie domow niektórych spraw. e, Wygodniejsza rejestracja podróży zagranicznej, w tym w aplikacji mObywatel. osoby niepełn o-sprawn e oraz osoby starsze Banki / Poprawa wizerunku instytucji oraz zwiększenie zaufania klientów do danego SKOK- banku/SKOK-u. i Obywat Brak konieczności informowania banku/SKOK-u o wymianie dowodu ele osobistego. Dodatkowe informacje, w tym wskazanie źródeł danych i przyjętych do obliczeń założeń

8. Zmiana obciążeń regulacyjnych (w tym obowiązków informacyjnych) wynikających z projektu nie dotyczy Wprowadzane są tak obciążenia poza nie bezwzględnie nie dotyczy wymaganymi przez UE (szczegóły w odwróconej tabeli zgodności). zmniejszenie zwiększenie liczby dokumentów liczby dokumentów zwiększenie liczby procedur zmniejszenie wydłużenie czasu na załatwienie sprawy liczby procedur inne: skrócenie czasu na załatwienie sprawy inne: Wprowadzane tak obciążenia są nie nie dotyczy przystosowane do ich elektronizacji.

Komentarz: Wprowadzenie uproszczeń w załatwianiu spraw dot. udostępnienia danych (w formie czynności materialno-technicznej) przyspieszy i uprości prowadzone postepowania. Ponadto automatyczne przekazywanie bankom/SKOK-om informacji o serii, numerze i dacie ważności dowodów osobistych ich klientów spowoduje brak konieczności obsługi klientów w związku z aktualizowaniem przez nich danych dowodów osobistych w przypadku wymiany. Powyższe rozwiązanie przełoży się na uproszczenie procedur bankowych i przyspieszenie załatwiania spraw.

9. Wpływ na rynek pracy Projekt nie ma wpływu na rynek pracy.

10. Wpływ na pozostałe obszary środowisko demografia informatyzacja naturalne mienie państwowe zdrowie sytuacja i rozwój regionalny sądy powszechne, administracyjn e lub wojskowe inne: Projekt wpływa na podniesienie interoperacyjności rejestrów i wymianę danych między systemami publicznymi i komercyjnymi. Omówienie wpływu Integracja usługi rejestracji podróży zagranicznej z aplikacją mObywatel jako kolejny etap rozwoju zarówno systemu Odyseusz, jak i aplikacji mObywatel.

11. Planowane wykonanie przepisów aktu prawnego Ustawa wchodzi w życie po upływie 14 dni od dnia ogłoszenia, z wyjątkiem:

1) art. 3 pkt 2 lit. a i b oraz pkt 3, art. 4 pkt 2, 4 i 5 oraz art. 9, które wejdą w życie z dniem 30 czerwca 2026 r.;

2) art. 6, który wchodzi w życie z dniem 17 kwietnia 2026 r.

12. W jaki sposób i kiedy nastąpi ewaluacja efektów projektu oraz jakie mierniki zostaną zastosowane? Prowadzony będzie bieżący monitoring skali korzystania z usług.

13. Załączniki (istotne dokumenty źródłowe, badania, analizy itp.) RAPORT Z OPINIOWANIA I KONSULTACJI PUBLICZNYCH projektu o zmianie ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne oraz niektórych innych ustaw (UDER8)

Projekt ustawy o zmianie ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne oraz niektórych innych ustaw (UDER8) został poddany konsultacjom publicznym oraz opiniowaniu, a także został udostępniony w serwisie Rządowy Proces Legislacyjny w Biuletynie Informacji Publicznej na stronie podmiotowej Rządowego Centrum Legislacji. I. Cel i obszar konsultacji Celem opiniowania i konsultacji publicznych było zapewnienie zainteresowanym podmiotom i organizacjom możliwości wyrażenia opinii na temat rozwiązań zawartych w projekcie ww. ustawy oraz możliwości zgłoszenia uwag i wniosków dotyczących tego projektu. II. Przebieg konsultacji Konsultacje publiczne projektu ustawy (wraz z uzgodnieniami oraz opiniowaniem) były prowadzone od 29 kwietnia 2025 r. do 6 maja 2025 r. przez przekazanie projektu do opiniowania i konsultacji publicznych podmiotom wskazanym w OSR oraz udostępnienie projektu w serwisie Rządowy Proces Legislacyjny w Biuletynie Informacji Publicznej na stronie podmiotowej Rządowego Centrum Legislacji. Szczegółowe informacje o zgłoszonych uwagach oraz stanowisku Ministra Cyfryzacji wobec zgłoszonych uwag na etapie konsultacji publicznych zawarte zostały w tabelarycznym zestawieniu, stanowiącym załącznik do niniejszego raportu. Projekt ustawy nie wymagał przedłożenia instytucjom i organom Unii Europejskiej, w tym Europejskiemu Bankowi Centralnemu, w celu uzyskania opinii, dokonania powiadomienia, konsultacji albo uzgodnienia. Do projektu ustawy nie zostały dokonane zgłoszenia lobbingowe, w trybie przepisów ustawy z dnia 7 lipca 2005 r. o działalności lobbingowej w procesie stanowienia prawa.

Tabela uwag zgłoszonych do projektu ustawy o zmianie ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne oraz niektórych innych ustaw (UDER8) w ramach konsultacji

Jednostka Podmiot wnoszący lp. redakcyjna, do której Zgłoszone uwagi Stanowisko uwagi wnoszone są uwagi

1. Krajowa art. 4 pkt 2 projektu Propozycja nadania art. 4 pkt 2 projektowanej ustawy Uwaga uwzględniona. Spółdzielcza Kasa - następującego brzmienia: Oszczędnościowo- art. 48 ust. 1a i 1b „2) w art. 48 po ust.1 dodaje się ust.1a i lb w brzmieniu: Zmodyfikowano przepis zgodnie z uwagą. Kredytowa ustawy z dnia 25 1a. Podmiotom, o których mowa w art. 4 ust. 1 pkt 1, 17, września 2010 r. o 18 i 20 ustawy z dnia -Prawo bankowe, spółdzielczym ewidencji ludności kasom oszczędnościowo-kredytowym oraz Krajowej Spółdzielczej Kasie Oszczędnościowo-Kredytowej udostępnia się odpłatnie z rejestru PESEL dane o seriach, numerach i datach ważności ważnych dowodów osobistych ich klientów wydanych na skutek zmiany dowodu osobistego, odpowiednio na zasadach określonych w ust. 1 pkt 1 i 2, w celu weryfikacji aktualności i aktualizacji tych danych.

1b. Podmiotom, o których mowa w ust. 1a, dane mogą być udostępnione za pośrednictwem instytucji utworzonej na podstawie art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r.

- Prawo bankowe.".

2. Fundacja FinTech art. 4 pkt 2 projektu Postulujemy modyfikację art. 4 pkt 2) projektu poprzez Uwaga częściowo uwzględniona. Poland - art. 48 ust. 1a i 1b nadanie mu następującego brzmienia: ustawy z dnia 25 „1a. Podmiotom obowiązanym w rozumieniu ustawy z dnia Rozszerzono katalog podmiotów uprawnionych do ubiegania września 2010 r. o 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz się o dostęp do fotografii z Rejestru Dowodów Osobistych o: ewidencji ludności finansowaniu terroryzmu, a jednocześnie poddanych 1)firmę inwestycyjną, o której mowa w art. 3 pkt 33 ustawy z nadzorowi na podstawie ustawy z dnia 21 lipca 2006 r. o dnia 29 lipca 2005 r. o obrocie instrumentami finansowymi nadzorze nad rynkiem finansowym udostępnia się (Dz. U. z 2024 r. poz. 722, z późn. zm.); odpłatnie z rejestru PESEL dane o seriach, numerach i 2) towarzystwa funduszy inwestycyjnych, o których mowa w datach ważności ważnych dowodów osobistych ich art. 2 pkt 3 ustawy z dnia 27 maja 2004 r. o funduszach klientów wydanych na skutek zmiany dowodu osobistego, inwestycyjnych i zarządzaniu alternatywnymi funduszami odpowiednio na zasadach określonych w ust. 1 pkt 1 i 2, w inwestycyjnymi (Dz. U. z 2024 r. poz. 1034, z późn. zm.) celu weryfikacji aktualności i aktualizacji tych danych. Powyższe zmiany zostały wprowadzone wskutek

1b. Podmiotom, o których mowa w ust. 1a, dane mogą być uwzględnienia propozycji Ministra Finansów. udostępnione za pośrednictwem instytucji utworzonej na Zaproponowane brzmienie przepisu jest w ocenie podstawie art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. projektodawcy zbyt szerokie, aby możliwe było zapewnienie

– Prawo bankowe.”; bezpieczeństwa udostępnianych wizerunków.

3. Polska Wytwórnia art. 3 pkt 3 projektu Intencją zaproponowanego przepisu jest umożliwienie Uwaga nieuwzględniona. Papierów ustawy - art. 68a udostępnienia (w trybie pełnej teletransmisji danych) Wartościowych ustawy z dnia 6 fotografii, o której mowa w art. 29 ustawy o dowodach W ocenie projektodawcy zagadnienie to nie będzie budzić sierpnia 2010 r. o osobistych podmiotowi, który należy do grupy podmiotów wątpliwości. dowodach uprawnionych do korzystania z danych udostępnianych w Jednocześnie wyjaśniam, że art 68a ust. 1 otrzyma osobistych. trybie ograniczonej teletransmisji danych (art. 68 ust. 4). brzmienie: Wśród podmiotów wymienianych w ww. przepisie, oprócz „Art. 68a. 1. Po pozytywnym wyniku porównania danych z podmiotów, które jednocześnie są uprawnione do dowodu osobistego w trybie ograniczonej teletransmisji, z korzystania z danych udostępnianych w trybie pełnej Rejestru Dowodów Osobistych udostępnia się, w celu teletransmisji danych (art. 66 ust. 3) wymienia się także potwierdzenia tożsamości posiadacza dowodu osobistego, w drugą grupę podmiotów wskazaną jako „inne podmioty” trybie pełnej teletransmisji fotografię, o której mowa w art. nie należącą do grupy podmiotów, o której mowa w art. 66 29, podmiotom, będącym:…” ust. 3. Te ostatnie podmioty uprawnione są jedynie do Z przepisu wynika zatem wprost, że samo udostępnienie korzystania z danych udostępnianych w trybie ograniczonej fotografii następować będzie w trybie pełnej teletransmisji w teletransmisji danych. Odnosząc się do proponowanego w związku z czym nie budzi wątpliwości czy dostęp podmiotom art. 68a ust. 1 rozwiązania, to z technicznego punktu wskazanym w tym przepisie przysługuje. widzenia jest ono zrozumiałe - przekazanie zdjęcia następuje w trybie pełnej teletransmisji, bo ten tryb pozwala pozyskać dane z Rejestru Dowodów Osobistych (RDO), a tryb ograniczonej teletransmisji tylko przekazywać dane do RDO i otrzymywać raport statusu dowodu osobistego. Jednakże z formalno-prawnego punktu widzenia tylko podmioty wymieniane w art. 66 ust. 3 są uprawnione do korzystania z danych udostępnianych w trybie pełnej teletransmisji danych. W związku z powyższym pojawia się pytanie, czy nie zachodzi tu niespójność w tym sensie, że z jednej strony na podstawie art. 68a prawo do pobrania fotografii, o której mowa w art. 29 ustawy formalnie będzie przysługiwało podmiotowi, który nie posiada prawa korzystania z danych udostępnianych w trybie z pełnej teletransmisji danych (czyli podmiot wymieniany w art. 68 ust. 4 pkt 2), ale z drugiej strony podmiot taki jednak nie będzie mógł skorzystać z tego prawa z uwagi, że nie należy do grupy podmiotów uprawnionych do korzystania z danych udostępnianych w trybie pełnej teletransmisji danych wymienionych w art. 66 ust. 3. Wobec powyższego proponujemy doprecyzowanie wprowadzenia do wyliczenia zawartego w dodawanym art. 68a ust 2 poprzez nadanie mu następującego brzmienia:

„Do korzystania z dostępu do fotografii, o której mowa w art. 56 ust. 1 pkt 2, w trybie o którym mowa w ust. 1, są uprawnieni:” bądź doprecyzowanie uzasadnienia do projektu ustawy o wskazanie, że podmioty, o których mowa w dodawanym art. 68a ust. 2 pkt 1 – 7 będą mogły korzystać z dostępu do fotografii w trybie pełnej teletransmisji danych. Wnosimy, aby w uzasadnieniu do projektu ustawy było to określone w sposób jednoznaczny, ponieważ ma to znaczenie z punktu widzenia praktyki tj. stosowania przepisów.

4. Polska Wytwórnia art. 4 pkt 1 i 3 Uwagi dotyczą zastosowania interpunkcji w Uwaga wyjaśniona. Papierów projektu - art. 23o zaproponowanych przepisach. W trzech pierwszych Wartościowych pkt 2, art. 51 ust. 1 przypadkach, w wyrazach „w drodze decyzji Przepisy zostały skorygowane zgodnie z sugestią RCL pkt 2 oraz ust. 2 pkt administracyjnej odmawia, wyrażenia zgody na (...)” 2 ustawy z dnia 24 przecinek umieszczono po wyrazie „odmawia”. Z kolei, w września 2010 r. o czwartym przypadku, brakuje przecinka po wyrazie ewidencji ludności „odmawia”. W naszej ocenie, przepisy w tak zaproponowanym przez projektodawcę brzmieniu mogą w przyszłości potencjalnie budzić wątpliwości interpretacyjne podczas ich stosowania. W związku z powyższym, proponujemy rozważyć przyjęcie następującego, jednolitego brzmienia przepisów we wszystkich czterech wskazanych przypadkach tj. umieszczenie przecinka bezpośrednio po wyrazach „decyzji administracyjnej” a przed wyrazem „odmawia”. Podobnie uczyniono w przypadku art. 2 pkt 1 lit. c projektu ustawy (w dodawanym przepisie ust. 8 do art. 80c ustawy z dnia 20 czerwca 1997 r. – Prawo o ruchu drogowym), gdzie przecinek umieszczono przed wyrazem „odmawia” a po wyrazie „decyzji”, co z naszego punktu widzenia, z perspektywy przyszłego stosowania tego przepisu jest korzystniejsze. Dodatkowo, w przypadku art. 4 pkt 3 projektu ustawy (art. 51 ust. 2 pkt 2 ustawy dnia 24 września 2010 r. o ewidencji ludności) proponujemy po wyrazach „albo cofa zgodę na ich udostępnianie w drodze weryfikacji” wykreślenie następujących po nich wyrazów „w drodze decyzji administracyjnej,”, które w naszej ocenie, w tym miejscu, wydają się nadmiarowe. Zwracamy uwagę, że już na wstępie przedmiotowego punktu wskazuje się na decyzję administracyjną jako podstawę nie tylko odmowy

wyrażenia zgody na udostępnianie danych w drodze weryfikacji danych, ale właśnie także cofnięcia takiej zgody. Dlatego ponowne użycie w tym samym przepisie wyrazów „w drodze decyzji administracyjnej” wydaje się zbędne i budzące ewentualne wątpliwości interpretacyjne.

5. Związek art. 4 w pkt 2 W związku z procedowaniem projektu ustawy o zmianie Uwaga częściowo uwzględniona. Przedsiębiorstw - art. 48 ust. 1a i 1b ustawy o informatyzacji działalności podmiotów Finansowych ustawy z dnia 25 realizujących zadania publiczne oraz niektórych innych Rozszerzono katalog podmiotów uprawnionych do ubiegania września 2010 r. o ustaw, numer z wykazu: UDER8 (dalej jako: „Projekt”), się o dostęp do fotografii z Rejestru Dowodów Osobistych o: ewidencji ludności chcielibyśmy przedstawić wypracowane w gronie firm 1)firmę inwestycyjną, o której mowa w art. 3 pkt 33 ustawy z członkowskich ZPF uwagi do komentowanego aktu dnia 29 lipca 2005 r. o obrocie instrumentami finansowymi prawnego, licząc na uwzględnienie za-prezentowanych (Dz. U. z 2024 r. poz. 722, z późn. zm.); poniżej wniosków i postulatów oraz deklarujemy pełne 2) towarzystwa funduszy inwestycyjnych, o których mowa w merytoryczne wsparcie w dalszych dyskusjach nad art. 2 pkt 3 ustawy z dnia 27 maja 2004 r. o funduszach kształtem Projektu. inwestycyjnych i zarządzaniu alternatywnymi funduszami W art. 4 w pkt 2 Projektu wprowadza się zmiany w ustawie inwestycyjnymi (Dz. U. z 2024 r. poz. 1034, z późn. zm.) o ewidencji ludności: Powyższe zmiany zostały wprowadzone wskutek W art. 4 Projektu proponuje się dodanie do ustawy z dnia uwzględnienia propozycji Ministra Finansów. 24 września 2010 r. o ewidencji ludności (Dz. U. z 2025 r. Zaproponowane brzmienie przepisu jest w ocenie poz. 274) m.in. art. 48 ust. 1a, który przewiduje odpłatne projektodawcy zbyt szerokie, aby możliwe było zapewnienie udostępnianie z rejestru PESEL danych o seriach, numerach bezpieczeństwa udostępnianych wizerunków. i datach ważności ważnych dowodów osobistych klientów, wydanych na skutek zmiany dowodu osobistego, określonym podmiotom sektora finansowego, tj. bankom, spółdzielczym kasom oszczędnościowo-kredytowym oraz instytucjom kredytowym. Wnosimy o rozszerzenie katalogu podmiotów uprawnionych do uzyskiwania tych danych o instytucje pożyczkowe oraz instytucje płatnicze tj. o:

1) dostawców, o których mowa w art. 4 ust. 2 pkt 4, 6 i 11 ustawy z dnia 19 sierpnia 2011 r. o usługach płatniczych,

2) kredytodawców w rozumieniu art. 5 pkt 2 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim. Instytucje pożyczkowe oraz instytucje płatnicze, jako instytucje obowiązane w rozumieniu ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz. U. z 2024 r. poz. 825, z późn. zm.), są zobowiązane do stosowania środków należytej staranności wobec klienta, w tym do identyfikacji i weryfikacji tożsamości klienta. Dostęp do danych o

seriach, numerach i datach ważności ważnych dowodów osobistych, w szczególności tych wydanych na skutek zmiany dokumentu, znacząco usprawniłby proces weryfikacji klientów przez instytucje pożyczkowe i płatnicze. Pozwoliłoby to na skuteczniejsze przeciwdziałanie oszustwom i wyłudzeniom tożsamości, zwiększając bezpieczeństwo obrotu finansowego oraz chroniąc interesy zarówno instytucji, jak i ich klientów. Brak możliwości weryfikacji tych danych w analogiczny sposób, jak w przypadku banków, SKOK-ów i instytucji kredytowych, może stawiać instytucje pożyczkowe i płatnicze w gorszej pozycji w zakresie możliwości skutecznego przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu oraz w zakresie minimalizowania ryzyka operacyjnego związanego z oszustwami. Mając na uwadze powyższe, zasadne jest rozszerzenie projektowanego art. 48 ust. 1a o instytucje pożyczkowe oraz instytucje płatnicze, zapewniając im tym samym niezbędne narzędzia do skutecznej weryfikacji tożsamości klientów i realizacji obowiązków wynikających z przepisów AML.

SZCZEGÓŁOWY OPIS OPERACJI PRZETWARZANIA ORAZ ZASTOSOWANYCH ŚRODKÓW OCHRONY

NAZWA PROCESU LUB PROJEKTU PODLEGAJĄCEGO OCENIE Udostępnianie uprawnionym podmiotom wizerunku z rejestru dowodów osobistych (RDO)

SZCZEGÓŁOWY OPIS PROJEKTU

# TREŚĆ PYTANIA ODPOWIEDŹ

Udostępnienie wizerunku osoby z Rejestru Dowodów Osobistych zakłada udostępnienie dla podmiotów komercyjnych, które wykażą interes faktyczny w dostępie do wizerunku oraz podmiotom potwierdzającym Profil Zaufany. Udostępnienie podmiotom komercyjnym nastąpi w trybie teletansmisji. Zgoda na dostęp w tym trybie musi zostać wydana przez ministra właściwego do spraw informatyzacji po zweryfikowaniu przesłanek ustawowych jak rozliczalność wszystkich operacji po stronie podmiotu, któremu udostepniono dane jak i posiadania odpowiednich zabezpieczeń technicznych i organizacyjnych uniemożliwiających dostęp do danych osobom nieuprawnionym. Sama czynność udostępnienia wizerunku podmiotom komercyjnym nastąpi dwustopniowo - w pierwszym etapie podmiot ten musi dokonać pozytywnej weryfikacji określonych danych dowodu osobistego i danych osoby, w drugim etapie po pozytywnej weryfikacji danych dokumentu i osoby nastąpi udostępnienie wizerunku. Taki tryb uniemożliwi pozyskiwanie wizerunku dowolnej osoby bez znajomości szczegółowych informacji dotyczących dokumentu, które pozyskiwane są w toku zawierania np. umowy rachunku bankowego i zamieszczone są na dowodzie osobistym. Podmioty pełniące funkcję punktu potwierdzającego Profil Zaufany dostęp do wizerunku otrzymają za pośrednictwem systemu Profilu Zaufanego, w którym następuje potwierdzenie PZ (podobnie jak następuje to przy potwierdzaniu PZ w trybie videoweryfikacji). Bank krajowy lub inny przedsiębiorca wykorzystujący środki identyfikacji elektronicznej stosowane do uwierzytelniania w jego systemie teleinformatycznym do potwierdzania profilu zaufanego lub własnego systemu będzie mógł korzystać z usługi udostępnienia wizerunku po spełnieniu wymogów określonych w ustawie o dowodach osobistych i uzyskaniu zgody ministra. W praktyce podmiot komercyjny, który uzyska zgodę ministra na dostęp do usługi udostępniania wizerunku spełni też wymogi dla wykorzystywania usługi do potwierdzania Profilu Zaufanego. Potwierdzenie PZ może bowiem odbywać się z użyciem środka identyfikacji stosowanym do uwierzytelniania w systemie teleinformatycznym podmiotu, który z kolei wydawany jest po weryfikacji tożsamości osoby i jej dokumentu w procesach związanych z działalnością tych podmiotów (np. przy zakładaniu rachunku bankowego).

Opis operacji oraz charakteru przetwarzania danych Wprowadzenie procesu pozwoli na zapewnienie większego stopnia bezpieczeństwa i ograniczenia użycia skradzionych czy sfałszowanych dokumentów, zjawiska kradzieży tożsamości. Udostepnienie wizerunku jest wartością 1 (należy m.in. wskazać, czy zachodzi profilowanie lub dodaną, która pozwoli porównać wizerunek z dowodu osobistego który przedkłada Klient z wizerunkiem z Rejestru Dowodów Osobistych. Należy wskazać, że przeważająca liczba przestępstw przy użyciu dokumentów dotyczy jego zautomatyzowane podejmowanie decyzji) przerobienia w obszarze fotografii a zatem dokument w pozostałym zakresie nosi cechy dokumentu oryginalnego z oryginalnymi zabezpieczeniami fizycznymi. Wprowadzenie nowego mechanizmu pozwalającego na identyfikację nie tylko cech dokumentu i danych lecz także danej biometrycznej w znacznym stopniu przyczyni się do uszczlenienia takich procesów jak wydawanie środków identyfikacji elektronicznej, zawieranie umów i i transakcji w obszarze telekomunikacyjnym czy też stricte finansowym. Z punktu widzenia bezpieczeństa PZ jako środka identyfikacji, rozwiązanie pozwoli na ograniczenie incydentów podszywania się pod inna osobę i przejmowania lub zakładania na jej dane Profilu Zaufanego a także wzmocni proces weryfikacji tożsamości osoby, która potwierdzi PZ za pośrednictwem np. banku.

Krąg podmiotów, które mogą uzyskać dostęp do wizerunku został określony przez wskazanie zamkniętego katalogu podmiotów. Są to podmioty, które określić można jako zobowiązane do stosowania środków bezpieczeństwa finansowego oraz cyberbezpieczeństwa i zobligowane do weryfikacji tożsamości swoich klientów (banki, dostawcy usług telekomunikacyjnych, firmy pożyczkowe, dostawcy usług zaufania, podmioty wydające środki identyfikacji elektronicznej, dostawcy usług płatniczych).

W procesie udostępnienia danych przez ministra właściwego do spraw informatyzacji nie dochodzi do profilowania ani zautomatyzowanego podejmowania decyzji. Przy każdym wywołaniu usługi podmiot, który uzyskał zgodę ministra na pozyskiwanie danych w trybie teletransmisji podaje dane konkretnego dowodu osobistego a następnie dokonuje porównania uzyskanej z RDO fotografii z fotografią na okazanym dowodzie osobistym oraz wizerunkem osoby go okazującej, w celu potwierdzenia autentyczności dowodu osobistego i tożsamości osoby. Celem, również dla podmiotu uzyskującego dane, nie jest zatem użycie danych osobowych do oceny czy analizy cech tej osoby lub jej zachowania.

Ustawowy - udostępnianie wizerunku w trybie teletransmisji w celu realizacji interesu faktycznego wykazanego podczas uzyskiwania zgody ministra na dostęp do danych. Interesem faktycznym będzie w szczególności weryfikacja 2 Cele przetwarzania danych osobowych autentyczności okazywanego dowodu osobistego i weryfikacja tożsamości osoby. W przypadku podmiotów pełniących funkcję punktu potwierdzającego PZ celem jest weryfikacja dokumentu i tożsamości osoby i samej osoby przed potwierdzeniem środka identyfikacji elektronicznej (PZ) a zatem wydanie środka identyfikacji właściwej osobie. Celem nadrzędnym jest ochrona tożsamości posiadacza danych przez zapobieganie zjawisku kradzieży tożsamości.

Podstawy prawne przetwarzania danych osobowych projektowany art. 3 ustawy o zmianie ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne oraz niektórych innych ustaw (proponowany art.. 68a ustawy z dnia 6 sierpnia 2010 r. o dowodach 3 (w tym profilowania oraz automatycznego podejmowania osobistych) oraz art. 9 ust. 2 lit. g RODO decyzji)

Opis prawnie uzasadnionych interesów realizowanych przez administratora 4 Nie dotyczy (w przypadku, gdy podstawą przetwarzania jest uzasadniony interes administratora)

Osoby fizyczne (obywatele polscy), którzy posiadają ważny dowód osobisty. W przypadku braku posiadania waznego dowodu osobistego usługa zweryfikuje w pierwszym kroku negatywnie dokument, co uniemożliwi udostepnienie 5 Kategorie podmiotów, których dane są przetwarzane wizerunku osoby. Jest to uzasadnione tym, że osoba taka nie może zawrzeć transakcji z podmiotem komercyjnym nie posiadając zdolności potwierdzenia tożsamości w oparciu o dowód osobisty a zatem dodaktowe udostępnienie wizerunku osoby było by w tej sytuacji działaniem nadmiarowym.

1) imię (imiona);

2) nazwisko;

3) numer PESEL; 6 Kategorie danych osobowych, które są przetwarzane 4) seria i numer dowodu osobistego;

5) data wydania dowodu osobistego;

6) termin ważności dowodu osobistego

7) wizerunek twarzy

Źródło pochodzenia danych 7 (należy wskazać, czy dane pochodzą od podmiotu Rejestr Dowodów Osobistych, będący części SRP (systemu rejestrów państwowych) danych, czy są pozyskiwane z innych źródeł)

Podmioty, którym administrator powierza 8 Centralny Ośrodek Informatyki przetwarzanie danych osobowych

9 Podstawa prawna powierzenia danych Umowa powierzenia przetwarzania danych osobowych z 31.08.2023 r. zawarta w ślad za umową z 31.08.2024 r., którą Minister Cyfryzacji powierzył COI do realizacji niektóre swoje zadania z późn. zm.

Do korzystania z dostępu do fotografii, o której mowa w art. 56 ust. 1 pkt 2, po wykazaniu interesu faktycznego w dostępie do fotografii i uzyskaniu pozytywnej decyzji ministra właściwego do spraw informatyzacji, o której mowa w art. 68 ust. 3, są uprawnieni:

1) dostawca publicznie dostępnych usług telekomunikacyjnych, o którym mowa w ustawie z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej;

2) dostawcy, o których mowa w art. 4 ust. 2 pkt 4, 6, 9 i 11 ustawy z dnia 19 sierpnia 2011 r. o usługach płatniczych;

3) podmioty, o których mowa w art. 4 ust. 1 pkt 1, 17, 18 i 20 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe oraz instytucja utworzona na podstawie art. 105 ust. 4 tej ustawy;

4) spółdzielcza kasa oszczędnościowo-kredytowa lub Krajowa Spółdzielcza Kasa Oszczędnościowo-Kredytowa w rozumieniu ustawy z dnia 5 listopada 2009 r. o spółdzielczych kasach oszczędnościowo-kredytowych;

3) kwalifikowany dostawca usług zaufania, wpisany do rejestru dostawców usług zaufania, o którym mowa w art. 2 pkt 1 ustawy z dnia 5 września 2016 r. o usługach zaufania oraz identyfikacji elektronicznej;

4) kredytodawcy w rozumieniu art. 5 pkt 2 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim;

5) podmioty wydające środki identyfikacji elektronicznej w systemie identyfikacji elektronicznej zgodnie z ustawą z dnia 5 września 2016 r. o usługach zaufania oraz identyfikacji elektronicznej, w celu wydania środka identyfikacji elektronicznej.

Podmioty, którym administrator udostępnia dane Dodatkowo podmioty wskazane w art. 20c ust. 2, 3 i 8 ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne, które potwierdzają Profil Zaufany (pełnią lub mogą pełnić funkcję punktu potwierdzającego PZ osobowe lub potwierdzają go z użyciem środka identyfikacji stosowanego do uwierzytelnienia w ich systemie) tj.:

1) konsul;

2) naczelnik urzędu skarbowego;

3) wojewoda;

4) Zakład Ubezpieczeń Społecznych;

5) Narodowy Fundusz Zdrowia;

6) inny podmiot publiczny (definicja podmiotu publicznego w art. 2 ustawy o informatyzacji);

7) bank krajowy, o którym mowa w art. 4 ust. 1 pkt 1 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe;

8) operator pocztowy, o którym mowa w art. 3 pkt 12 ustawy z dnia 23 listopada 2012 r. - Prawo pocztowe;

9) oddział instytucji kredytowej, o którym mowa w art. 4 ust. 1 pkt 18 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe;

10) spółdzielcza kasa oszczędnościowo-kredytowa, o której mowa w ustawie z dnia 5 listopada 2009 r. o spółdzielczych kasach oszczędnościowo-kredytowych;

11) bank krajowego lub inny przedsiębiorca, który posiada zgodę na nieodpłatne wykorzystywanie środków identyfikacji elektronicznej stosowanych do uwierzytelniania w systemie teleinformatycznym banku krajowego lub innego przedsiębiorcy do potwierdzania profilu zaufanego

Podstawa prawna udostępnienia danych przez 11 projektowany art. 68a ustawy z dnia 6 sierpnia 2010 r. o dowodach osobistych oraz art. 9 ust. 2 lit. g RODO administratora

Dane w RDO gromadzone na dotychczasowych zasadach. Nowe przepisy regulują kwestię udostepniania a nie gromadzenia danych. Podmioty, które uzyskają dane w trybie teletransmisji w wyniku udostepnienia stają się 12 Współadministratorzy danych samodzielnymi administratorami danych.

Odbiorcy danych poza Europejskim Obszarem 13 Nie dotyczy Gospodarczym

14 Podstawa prawna transferu danych poza EOG Nie dotyczy

OPIS ZASOBÓW WYKORZYSTYWANYCH DO PRZETWARZANIA DANYCH

# TREŚĆ PYTANIA OPIS

Dane udostępniane w trybie teletranmisji danych. Zgodnie z PBI SRP zalecanym sposobem podłączenia infrastruktury interesariuszy zewnętrznych systemu jest wykorzystanie dedykowanej wydzielonej sieci teleinformatycznej będącej w gestii służb podległych Ministrowi właściwemu ds. wewnętrznych i administracji z zachowaniem pełnej separacji stacji roboczych systemu umiejscowionych w lokalizacjach uprawnionych interesariuszy od innych sieci. W sieci lokalnej interesariuszy również wymagana jest separacja sieci dostępowej do SRP od innych sieci urzędu. Odstępstwa od PBI wymagają podpisania umowy o odstepstwie z ministrem właściwym do spraw informatyzacji oraz ministrem właściwym do spraw wewnętrznych. Na etapie zawierania umowy o ostępstwie badane i gwarantowane są odpowiednie środki bezpieczeństwa (mogą różnić się w zależności od interesariusza). Opis zaleceń sprzętowych Sprzęt wykorzystywany do przetwarzania danych wskazany w PBI SRP. 1 osobowych (np. sprzęt komputerowy, sieci) Punkty potwierdzające Profil Zaufany będące podmiotami publicznymi stosują system zarządzania bezpieczeństwem informacji zapewniający poufność, dostępność i integralność informacji zgodnie z wymogami okreslonymi w § 19 rozporzadzenia Rady Ministrów z dnia 21 maja 2024 r. w sprawie krajowych ram interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) dalej: rozporządzenie KRI. Rozporządzenie Ministra Cyfryzacji z dnia 29 czerwca 2020 r. w sprawie profilu zaufanego i podpisu zaufanego (Dz.U. 2023 r., poz. 551) w §19 ust. 1 pkt 2 wymaga od podmiotów wykorzystujących środki identyfikacji elektronicznej stosowane do uwierzytelniania w systemie teleinformatycznym podmiotu niepublicznego do potwierdzania profilu zaufanego: opracowania, ustanawiania, wdrażania, eksploatowania, monitorowania, przeglądania, utrzymywania i doskonalenia systemu zarządzania bezpieczeństwem informacji zgodnie z wymogami określonymi w rozporzadzeniu w sprawie KRI.

System Rejestrów Państwowych - w jego ramach Rejestr Dowodów Osobistych udostępnia wizerunek (fotografię) przez usługi web service. Udostepniane dane są odbierane przez system podmiotu, który posiada decyzję wyraząjącą zgodę na dostęp do danych w trybie teletransmisji np. system Dokumenty Zastrzeżone prowadzony przez Związek Banków Polskich, który obecnie wykorzystywany jest przez większość banków w celu dostępu do usługi weryfikacji danych dowodu osobistego. Systemy informatyczne (oprogramowanie) wykorzystywane do przetwarzania danych osobowych System Profil Zaufany - wykorzystywany przez punkty potwierdzające PZ, system banku krajowego lub innego przedsiębiorcy wykorzystującego środki identyfikacji elektronicznej stosowane do uwierzytelniania w systemie teleinformatycznym banku krajowego lub innego przedsiębiorcy do potwierdzania PZ.

ORGANIZACYJNE ŚRODKI OCHRONY DANYCH OSOBOWYCH

# TREŚĆ PYTANIA ODPOWIEDŹ

Polityka bezpieczeństwa informacji SRP (wyciąg: https://www.gov.pl/web/cyfryzacja/udostepnianie-danych-z-rejestru-pesel1) Instrukcja dla osoby potwierdzającej Profil Zaufany (https://mc.bip.gov.pl/departament-utrzymania-i-rozwoju-systemow/utworzenie-punktu-potwierdzajacego-profil-zaufany-epuap.html) Procedura utworzenia punktu potwierdzającego Profil Zaufany (https://mc.bip.gov.pl/departament-utrzymania-i-rozwoju-systemow/utworzenie-punktu-potwierdzajacego-profil-zaufany-epuap.html) Procedura nadawania uprawnień do obsługi punktu potwierdzającego Profil Zaufany (https://mc.bip.gov.pl/departament-utrzymania-i-rozwoju-systemow/utworzenie-punktu-potwierdzajacego-profil-zaufany-epuap.html) Polityki/procedury wewnętrzne wdrożone przez Audyt techniczny wnioskodawcy i jego systemu, który będzie wykorzystywany do komunikacji w trybie teletransmisji z SRP (weryfikacja zgodności z PBI SRP, weryfikacja zabezpieczeń technicznych i organizacyjnych służących administratora ochronie danych osobowych). Relizowany przed wydaniem deyczji wyrażającej zgodę. 1 (przykładowa lista środków ochrony danych osobowych Poltyka certyfikacji dla infrastruktury SRP (https://www.gov.pl/web/cyfryzacja/jak-uzyskac-dostep-do-srp) została załączona do Instrukcji korzystania z formularza Polityka certyfikacji dla operatorów SRP (https://www.gov.pl/web/cyfryzacja/jak-uzyskac-dostep-do-srp) oceny DPIA) Polityka bezpieczeństwa dla systemu Profil Zaufany - decyzja nr 5 Ministra Cyfryzacji z dnia 27 kwietnia 2020 r. Polityka bezpieczeństwa Węzła Krajowego (https://mc.bip.gov.pl/interoperacyjnosc-mc/wezel-krajowy-dokumentacja-dotyczaca-integracji-z-wezlem-krajowym.html)

2 Przyjęte kodeksy dobrych praktyk nie dotyczy

Pracownicy podmiotu utrzymującego SRP (COI) posiadają następujące certyfikaty: Przyjęte certyfikaty w zakresie bezpieczeństwa • CISM, informacji • CISA, (np. certyfikat bezpieczeństwa informacji 27001, 3 • CISSP, certyfikat CISA - Certified Information Systems Auditor, • ISO/IEC 27001 Lead Auditor certyfikat CISSP - Certified Information Systems Security Professional itp.)

FIZYCZNE ORAZ TECHNICZNE ŚRODKI OCHRONY DANYCH OSOBOWYCH

# TREŚĆ PYTANIA ODPOWIEDŹ

Zgodnie z dokumentami: Polityka bezpieczeństwa informacji SRP. Instrukcja dla osoby potwierdzającej Profil Zaufany. Procedura utworzenia punktu potwierdzającego Profil Zaufany. Środki fizyczne oraz techniczne Procedura nadawania uprawnień do obsługi punktu potwierdzającego Profil Zaufany. (przykładowa lista środków ochrony danych osobowych 1 Audyt techniczny - przed wydaniem zgody na dostęp do usługi teletransmisji wykonywany jest audyt techniczny interesariusza. została załączona do Instrukcji korzystania z formularza Poltyka certyfikacji dla infrastruktury SRP. oceny DPIA) Polityka certyfikacji dla operatorów SRP Polityki certyfikacji - po wydaniu zgody na dostęp do usługi teletransmisji danych wydawany jest certyfikat dostępowy dla systemu. Polityka bezpieczeństwa dla systemu Profil Zaufany - decyzja nr 5 Ministra Cyfryzacji z dnia 27 kwietnia 2020 r. Polityka bezpieczeństwa Węzła Krajowego

OCENA NIEZBĘDNOŚCI I PROPORCJONALNOŚCI ŚRODKÓW OCHRONY

NAZWA PROCESU LUB PROJEKTU PODLEGAJĄCEGO Udostępnianie uprawnionym podmiotom wizerunku z rejestru dowodów osobistych (RDO) OCENIE

ŚRODKI PRZYCZYNIAJĄCE SIĘ DO ZGODNOŚCI PRZETWARZANIA Z ZASADAMI OGÓLNYMI RODO

OPIS PLANOWANYCH ŚRODKÓW ORGANIZACYJNYCH OCENA ADEKWATNOŚCI ŚRODKÓW ORAZ ZALECENIA WDROŻONE ŚRODKI # TREŚĆ PYTANIA I TECHNICZNYCH WDROŻENIA DODATKOWYCH ŚRODKÓW LUB UZASADNIENIE BRAKU WDROŻENIA Środki podjęte w celu Podstawa prawna określona ustawowo jest wystarczająca. Zarówno zapewnienia legalności Projekt ustawy o zmianie niektórych ustaw w związku z rozwojem e-administracji wprowadzający zmiany w ustawie o 1 przesłanki udostepnienia jak i krąg podmiotów uprawnionych został Nowelizacja ustawy o dowodach osobistych. przetwarzania danych dowodach osobistych. okreslony w przepisach rangi ustawy. osobowych

Cele przetwarzania danych określają zmiany w ustawie o dowodach osobistych . W zależności od rodzjau podmiotu, który Zastosowane środki są adekwatne: wnioskuje o udostępnianie wizerunku osoby w trybie teletranmisji cel ten może się różnić jednakże musi znaleźć - udostępnienie wizerunku zapewni możliwość weryfikacji uzasadnienie w interesie faktycznym lub fakcie przeprowadzania potwierdzania Profilu Zaufanego. Nadrzednym celem autentyczności dowodu osobistego i tożsamości posiadacza co w regulacji jest ograniczenie zjawiska kradzieży tożsamości. obecnych rozwiązaniach nie jest w pełni osiągnięte. Obecna usługa weryfikacji dowodu osobistego pozwala na weryfikację istnienia

- w przypadku podmiotów, które zamierzają pozyskiwać wizerunek osoby w ramach prowadzonej przez siebie działalności ważnego dowodu osobistego o określonych danych dokumentu i (np. bankowej) interes faktyczny musi zostać wykazany przez podmiot ubiegający się do usługi dostępu do wizerunku przed posiadacza. Modus operandi osób dokonujących kradzieży Zastosowane środki: rozpoczęciem udostępniania a jego istnienie potwierdza zgoda ministra wyrażona w formie decyzji administracyjnej. tożsamości polega jednak w przeważającej części na posłużeniu się

- weryfikacja celu przetwarzania danej w postaci wizerunku (w ramach Interesem faktycznym dla podmiotów uprawnionych do uzyskania wizerunku zgodnie z projektem ustawy będzie przede dokumentem przerobionym lub całkowicie sfałszowanym, który na weryfikacji interesu faktycznego) przed udostepnieniem danych; wszystkim weryfikacja autentyczności dowodu osobistego i tożsamości jego posiadacza w związku z obowiązkiem weryfikacji blankiecie zawiera dane pozwalające na pozytywną weryfikację z

- weryfikacja uprawnienia do potwierdzania Profilu Zaufanego przed tożsamości nałożonej na te podmioty przy realizacji ich działalności gospodarczej (np. weryfikacja tożsamości osoby, której Rejestem Dowodów Osobistych. Obecne rozwiązania nie dają Środki podjęte w celu udostepnieniem danych; udzielana jest pożyczka, z którą zawierana jest umowa, realizacja dyspozycji klienta związana z bezpieczeństwem podczas zatem wskazanym w ustawie podmiotom wystarczającej możliwośći

- określenie zamkniętego katalogu podmiotów uprawnionych, które to zapewnienia zasady wizyty w placówce bankowej np. zmiana numeru telefonu do autoryzacji transakcji) ale też prowadzenie działań weryfikacji tożsamości klienta. podmioty zobowiązane sa do weryfikacji tożsamości osoby. W katalogu 2 ograniczenia celu antyfraudowych, w tym weryfikacja klientów zgodnie z obowiązkami wynikającymi z ustawy o przeciwdziałaniu praniu - weryfikacja podmiotu, któremu dane mają zostać udostepnione ujęto np. podmioty na które nałozone zostały pewne obowiązku ustawa przetwarzania danych brudnych pieniędzy oraz finansowaniu terroryzmu (analiza kienta, osób powiązanych osobowo, kapitałowo, gospodarczo przed umożliwieniem ich pozyskania (weryfikacja zabezpieczeń AML); osobowych przez weryfikację w ogólnodostepnych zasobach). technicznych i organizacyjnych, interesu faktycznego) pozwala na

- brak funkcjonalności automatycznie porównującej wizerunek z RDO z udostępnianie danych jedynie podmiotom legitymującycm się wizerunkiem klienta z blankietu dowodu osobistego lub jego wizerunkiem

- w przypadku podmiotów potwierdzających Profil Zaufany celem udostępnienia wizerunku również jest umożliwienie stosownym celem przwtwarzania wizerunku oraz odpowiednim pozyskanym w czasie rzeczywistym. weryfikacji autentyczności dowodu osobistego i tożsamości jego posiadacza. stopniem zabezpieczeń. A zatem nawet posiadanie samego interesu faktycznego nie wystarczy aby uzyskac pozytywną decyzje Zaproponowane do wdrożenia środki są wystarczające. Większość przestępstw dotyczących tzw. kradzieży tożsamości popełniana jest przy użyciu przerobionego w obszarze ministra w przedmiocie udostepnienia usługi. fotografii dowodu osobistego. Możliwość weryfikacji wizerunku znacznie wzmocni ochronę tożsamości osoby a tym samym - tylko uprawnione podmioty, w określonych sytuacjach po jej danych oraz zapewni wyższy poziom bezpieczeństwa Profilu Zaufanego. weryfikacji danych A z RDO będą mogły pobrać daną B (wizerunek twarzy) co pozwoli im potwierdzić tożsamość osoby z którą mają do Praktyczna realizacja zasady ograniczenia celu przetwarzania danych polegać będzie na uprzednim (przed umozliwieniem czynienia. Krąg podmiotów uprawnionych został wskaznay w udostepniania danych) sprawdzeniu wskazanego powyżej celu przez weryfikację interesu faktycznego interesariusza lub ustawie przez ich enumeratywne wyliczenie i jest to katalog jego statusu jako podmiotu uprawnionego do potwierdzania PZ. zamknięty.

Podjęte środki w sposób adekwatny zapewnią, że wizerunek osoby Ustawa przewiduje udostępnienie wizerunku osoby w wyniku dwustopniowego działania: nie będzie udostępniany w sytuacjach uniemożliwiających

1. weryfikacja danych dowodu osobistego oraz jego posiadacza (imię, nazwisko, numer PESEL, seria i numer dowodu potwierdzenie tożsamości już na podstawie mniejszego zakresu osobistego, data wydania dowodu osobistego, termin ważności dowodu osobistego); danych. Jeżeli niezgodne okażą się dane osoby czy też dokumentu Usługa web service wymuszająca przed udostępnieniem wizerunku

2. Udostepnienie wizerunku osoby z pozytywnie zweryfikowanego dowodu osobistego. to niecelowe i nadmiarowe staje się dodatkowo udostępnienie weryfikację dowodu osobistego na podstawie danych osoby i dokumentu; wizerunku osoby. Negatywna weryfikacja dokumentu uniemożliwi udostepnienie wizerunku. Taki tryb postępowania jest konsekwencją Dane osoby i dokumentu w celu weryfikacji pozyskiwane z blankietu Środki podjęte w celu schematu obsługi klienta, która to obsługa wymaga weryfikacji tożsamości. Osoba, która zamierza skorzystać z usług Projektowane regulacje przewidują rozszerzenie obecnie dowodu osobistego a więc od samego posiadacza dokumentu. Dane te podmiotu komercyjnego lub która zamierza dokonać potwierdzenia Profilu Zaufanego musi wylegitymować się ważnym zapewnienia zasady dostępnych narzędzi wyłącznie o jedną daną tj. wizerunek osoby. nie będa udostępniane przez ministra, który umozliwi tlyko ich 3 dowodem osobistym. Osoba dokonująca weryfikacji dokumentu w ramach pierwszego kroku weryfikacji pozyskuje dane z minimalizacji danych Jest to jednak dana niezbędna to weryfikacji autentyczności weryfikację. okazanego dokumentu. Tym samym uniemożliwia się działanie osoby dokonującej weryfikacji na zasadzie dowolności osobowych dokumentu i tożsamości osoby. Celu tego nie da sie osiągnąć w podania danych (np. tylko imię i nazwisko lub numer PESEL) lecz wymagana jest ich zbieżność z dnaymi wynikającymi z inny sposób z uwagi na coraz lepszą jakoś części fałszowanych i Brak udostępnienia wizerunku w przypadku stwierdzenia w RDO blankietu dokumentu. przerabianych dokumentów, których badanie często wymaga unieważnienia dokumentu (dowód osobisty uniewazniany jest w RDO specjalistycznej wiedzy. Mając na względzie minimalizację m.in. na skutek jego utraty lub zagubienia). Posłużenie się nieważnym dowodem osobistym również uniemożliwi udostepnienie wizerunku osoby nawet pomimo udostępnianych danych do procesu takiego nie przewidziano np. wskazania prawidłowych danych osoby i dokumentu bowiem w oparciu o taki dokument nie powinna zostać umożliwiona podpisu posiadacza dowodu osobistego. weryfikacja tożsamości osoby.

Dane, w tym wizerunek, przechowywane w RDO nie są z niego usuwane zgodnie z art. 56 pkt. 2 ustawy o dowodach Zastosowane środki są adekwatne. Podmiot, któremu dane osobistych . Udostepnioany w projektowanych regulacjach wizerunek nie jest zatem usuwany z RDO po jego udostępnieniu. udostępniono staje się samodzielnym administratorem udotepnionej Po udostepnieniu danych z RDO, podmiot, który dane uzyskał staje się danej a minister nie może ingerować w jego sposób ich samodzielnym administratorem i spoczywają na nim obowiązku Udostępniony uprawnionemu podmiotowi wizerunek staje się z momentem udostępnienia przedmiotem przetwarzania administrowania danymi i decydować o czasie trwania aktualności stosowania przepisów ochrony danych osobowych w ramach danych osobowych przez odrębnych administratorów w rozumieniu art. 4 pkt 7 RODO. Każdy z administratorów zobligowany celu przetwarzania przez niego wizerunku. W ramach systemu prowadzonej działalności; jest wdrożenia oraz stosowania przepisów o ochronie danych osobowych w ramach prowadzonej działalności. Okres Profil Zaufany, gdzie administratorem systemu będzie minister przetwarzania danej w postaci wizerunkujest uzależniony od celu jego przetwarzania - jeżeli dla danego podmiotu celem jest właściwy do spraw informatyzacji, usługa udostepniania wizerunku W systemie Profil Zaufany słuzącym do potwierdzania PZ przez punkty wyłącznie przetwarzanie wizerunku w celu potwierdzenia autentyczności dowodu osobistego o tożsamości osoby i wizerunek zostanie zaimplementowana w sposób umożliwiający jedynie potwierdzające usługa web service zostanie zaimplementowana w ten jest zgodny z widniejącym na blankiecie dowodu osobistego - po zweryfikowaniu wizerunku osoby, w tym z jej dokumentu wyświetlenie wizerunku bez funkcjonalności jego pobrania bowiem sposób, że umożliwi jedynie wyświetlenie wizerunku w celu jego nie powinien on podlegać dalszemu przetwarzaniu w zasobach podmiotu, któremu dana udostępniono lecz to ten podmiot tylko takie działanie jest uzasadnione do osiągnięcia celu tj. porównania bez funkcjonalności jej zapisu. Wizerunek nie będzie zatem jako samodzielny administrator decyduje od momentu udostępnienia o środkach, celach i sposobach przetwarzanej danej weryfikacji tożsamości osoby w sposób umożliwiający przetwarzany w inny sposób niż "przeglądanie". Zakończenie analogicznie jak odywa się to w stosunku do innych danych gromadoznych przy prowadzonej działalności. Podmiot, któremu potwierdzenie PZ. korzystania z usługi w systemie spowoduje niedostepność fotografii w udostępniono wizerinek staje się samodzielnym administratorem danych osobowych, który przed wdrożeniem procesu systemie Proful Zaufany. również powinien przeprowadzić ocenę skutków i na przykładzie ocenić środki podjęte dla czasu przetwarzania tzw. plan retencji. Należy mieć także na uwadze regulacje w przepisach szczególnych np. art. 112b ustawy Prawo bankowe, zgodnie z którym banki mogą przetwarzać dla celów prowadzonej działalności bankowej informacje zawarte w dokumentach Środki podjęte w celu tożsamości osób fizycznych czy też art. 34 ust. 5 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, 4 zapewnienia zasady w mysl którego instytucje obowiązane na potrzeby stosowania środków bezpieczeństwa finansowego mogą przetwarzać ograniczenia czasowego informacje zawarte w dokumentach tożsamości klienta i osoby upoważnionej do działania w jego imieniu oraz sporządzać ich kopie.

Natomiast w punktach potwierdzających PZ wizerunek będzie wyświetlany w systemie Profil Zaufany w czasie rzeczywistym a dane z RDO nie będą przetwarzane po zweryfikowaniu tożsamości osoby dla której potwierdzany jest PZ. A zatem dane bezpośrednio po ich wykorzystaniu przestana być przetwarzane przez punkt potwierdzający Profil Zaufany.

ŚRODKI PRZYCZYNIAJĄCE SIĘ DO ZACHOWANIA PRAW OSÓB, KTÓRYCH DANE DOTYCZĄ

OPIS PLANOWANYCH ŚRODKÓW ORGANIZACYJNYCH OCENA ADEKWATNOŚCI ŚRODKÓW ORAZ ZALECENIA WDROŻONE ŚRODKI # TREŚĆ PYTANIA I TECHNICZNYCH WDROŻENIA DODATKOWYCH ŚRODKÓW LUB UZASADNIENIE BRAKU WDROŻENIA

W urzędach gmin, które przyjmują wnioski o wydanie dowodu osobistego dostępne są klauzule informacyjne zawierajace odpowiednie elementy, w tym również informację o tym komu moga być udostepniane dane osoby z RDO. Klauzule zostały przygotowane przez KPRM i MSWiA i są jednolite dla całego kraju. Wraz z wejściem w życie zmian zostaną zaktualizowane Środki podjęte w celu Obowiązek spełniany w urzędach jest wystarczający. Przed o informację o mozliwości udostepnienia wizerunku określonym rodzajom podmiotów. wejściem przepisów w życie należy zaktualizować klauzule- Klauzule informacyjne: realizacji obowiązków dostarczyć do MSWiA- którzy to udostępnią je do urzędów. - w urzędach gmin przy składaniu wniosku o dowód osobisty; informacyjnych w stosunku Podmiot komercyjny oferując Klientowi usługę, sam jest odpowiedzialny za spełnienie obowiązku informacyjnego i wskazanie 1 - u podmiotów wykorzystujących usługę weryfikacji wizerunku w do osoby, której dane w jakim celu i na jakiej podstawie pozyskuje i weryfikuje fotografię w RDO - po udostępnieniu wizerunku z RDO na jego Podmioty komercyjne już w chwili obecnej stosują stosowne momencie zawarcia stosunków gospodarczych; dotyczą własne cele, staje się samodzielnym administratorem danych osobowych i sam odpowiada jak i decyduje o celach i środkach klauzule informacyjne, które będa podlega modyfikacjom wraz z - klauzula informacyjna systemu Profil Zaufany (art. 12, 13 i 14 RODO). przetwarzania. wejściem w życie projektowanych przepisów. Wraz z wejściem w życie zmian w ustawie o informatyzacji pod względem udostępniania wizerunku z RDO zaktualizowana zostanie klauzula informacyjna dedykowana Profilowi Zaufanemu.

Minister Cyfryzacji nieprzerwanie realizuje wnioski o dostęp do danych z RDO, co ma miejsce poprzez:

-komunikację przez ePUAP -komunikację papierową Przyęte środki sa adekwtne.Obecne rozwiązania pozwalają -usługę: Sprawdź swoje dane w RDO rezliować prawo dostępu do danych (zarówno do danych przetwarzanych w RDO jak i informacji o odbiorcach danych), czy to Obecne środki są wystarczające: Wprowadzeie usługi udostepniania wizerunku nie wprowadza zmian w zakresie zasad realizacji prawa dostępu do swoich w sposób tradycyjnych czy elektroniczny. Warunkiem jest Środki podjęte w celu - środki dostepu do danych w RDO; danych w RDO. Jednocześnie minister właściwy do spraw informatyzacji realizuje obowiązki administratora w zakresie weryfikacja tożsamości osoby która zgłasza się z żądaniem. realizacji prawa dostępu do - brak przechowywania zdjęcia po stronie systemu Profilu Zaufanego 2 udzielania informacji o odbiorcach danych, którym dane osoby zostały udostępnione. Każda operacja udostepnienia danych osobowych - stosowanie ogólnych zasad i ustalonych już praktyk dostepu do danych wizerunku zostanie odnotowana w logach RDO wraz z informacją na rzecz jakiego podmiotu udostepnienie nastąpiło. Na poziomie systemu Profil Zaufany nie przewiduje się utrwalania i (art. 15 ust. 1 RODO) wpodmiotach, którym dane udostępniono. dalszego przetwarzania wizerunku a zatem i realizacji prawa System Profil Zaufany, po potwierdzeniu PZ osoby lub weryfikacji negatywnej, nie będzie przechowywał wizerunku a zatem dostępu do tej danej z poziomu tego systemu. bezprzedmiotowe będzie żadanie dostepu do tej danej w tym systemie.

Podmiot komercyjny, któremu zostanie udostępniony wizerunek staje się samodzielnym administratorem danych osobowych a w konsekwencji jest zobowiązany do zrealizowania ewentualnego żądania prawa dostępu do danych w swoich zasobach (systemie) na zasadach ogólnych a także zgodnie z już obowiązującymi praktykami i regulaminami wewnętrznymi.

W Rejestrze Dowodów Osobistych administrator ma dedykowaną Prawo do uzyskania kopii danych przwtwarzanych w Rejestrze Dowodów Osobistych realizowane jest na wniosek osoby po Środki podjęte w celu Przewidywane środki są adekwatne - zapewniają możliwość funkcjonalność umożliwiającą pobranie dokumentu zawierającego weryfikacji jej tożsamości (wniosek w postaci papierowej lub elektronicznej). Analogcznie obsługiwane wnioski w zakresie pozyskania kopii danych osobie, której dane sa przetwarzane. komplet danych osoby przetwarzanych w RDO, który może wydać realizacji prawa do kopii danych przetwarzanych w systemie Profil Zaufany. 3 osobie uprawnionej. uzyskania kopii danych Dodatkowo za pomocą usługi: Sprawdź swoje dane w RDO, osoba (art. 15 ust. 3 RODO) Podmiot, komercyjny, któremu udostępniono wizerunek, jako samodzielny administrator, jest zobowiązany do spełnienia której dane dotyczą może pobrać dane jej dotyczące. Podmiot, któremu udostepniono wizerunek jest obowiązany do realizacji ewentualnego żądania prawa do kopii danych w swoim zakresie. prawa uzyskania kopii danych osoby na zasadach ogólnych.

Zgodnie z art. 20 ust. 3 RODO prawo to nie ma zastosowania do przetwarzania, które jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Przetwarzanie danych w RDO oraz systemie Profil Zaufany ma właśnie taki charakter. Środki podjęte w celu realizacji prawa do Prawo realizowane przed podmioty, którym udostepniono wizerunek na zasadach ogólnych i już przyjętych w danej 4 Nie dotyczy Nie dotyczy. przenoszenia danych organizacji. (art. 20 RODO)

Podmiot komercyjny, któremu udostępniono wizerunek, jako samodzielny administrator, jest zobowiązany do spełnienia ewentualnego żądania przeniesienia danych w swoim zakresie.

Zgodnie z art. 56b ustawy o dowodach osobistych w przypadku stwierdzenia błędu lub braku danych w Rejestrze Dowodów Osobistych w odniesieniu do określonych danych danych (w tym wizerunku), organy właściwe do rejestracji danych przekazują niezwłocznie informację o potrzebie ich sprostowania lub uzupełnienia do ministra właściwego do spraw informatyzacji, z wykorzystaniem systemu teleinformatycznego. Zastosowane środki to procedura usuwania niezgodności w danych Na gruncie udostępniania wizerunku z RDO, żądanie sprostowania może być potencjalnie spowodowane błędnym RDO, weryfikacja działania usługi web service udostepniającej przypisaniem wizerunku do innych danych w RDO lub błędnym udostępnieniem niewłaściwej fotografii tj. nie dotyczącej wizerunek, bak utrwalania wizerunku w systemie Profil Zaufany oraz weryfikowanych danych. W pierwszym przypadku w przypadku stwierdzenia błędu w samym RDO administrator dokona wewnętrzne regulacje podmiotów, którym udostępniany będzie weryfikacji poprawności danych i skoryguje dane. Drugi przypadek zakłada poprawność danych w RDO lecz błędy w wizerunek. mechaniźmie ich udostępniania (wizerunek w okazanym dowodzie różni się od wizerunku pozyskanego z RDO). W takim wypadku weryfikacji poddany zostanie mechanizm usługi web service wykorzystywanej do udostepniania wizerunku w celu W przypadku usunięcia niezgodności w RDO minister właściwy do Środki podjęte w celu zapewnienia jej prawidłowego działania. Należy zauważyć, że są to sytuacje hipotetyczne - wdrazane w obszarze RDO Środki sa adekwatne tj. obecnie stosowane mechanizmy usuwanie spraw informatyzacji zawiadomii osobę, której dane w obzarze wizerunku realizacji prawa do rozwiązania są projektoane, testowane i wdrażane w sposób eliminujący tego typu problemy. Już sam dwuetapowy proces 5 niezgodności oraz ograniczenie przetwarzania wizerunku w podłegały sprostowaniu. Nie przewiduje się informowania każdego z sprostowania udostepniania wizerunku przez jego związanie z danymi osoby i dokumentu będzie eliminować błędy w działaniu usługi. systemie Profil Zaufany. odbiorców danych z uwagi na brak dedykowanych funkcjonalności (art. 16 i 19 RODO) Instytucja usuwania nizegodności w RDO dedykowana jest głównie danym biznesowym wprowadzanym przez gminy jak informatycznych, których budowa wymagała by niewspółmiernego data wydania dowodu osobistego czy przyczyna uniewaznienia dokumentu a nie wizerunkowi. Różnica między wizerunkiem wysiłku (art. 19 RODO) w stosunku do potencjalnej mozliwości na blankiecie dowodu a tym pozyskanym z RDO powinna jdnoczesnie wzbudzić uzasadnione wątpliwości co do tożsamości wystapienia takiego zdarzenia. Minister własciwy do spraw osoby okazującej dowód osobisty. informatyzacji, jako administrator RDO, poinformuje osobę, której dane dotyczą, o tych odbiorcach, jeżeli osoba, której dane dotyczą, tego Inicjatorem wszczęcia postepowania w sprawie sprostowania danych/usunięcia niezgodności może być zarówno inny organ zażąda - do wdrożenia planowana jest też dedykowana usługa jak i sama osoba fizyczna. umozliwiająca pobranie online dokumentu o odbiorcach danych z RDO. W systemie Profil Zaufany wizerunek nie będzie przechowywany a zatem nie będzie podlegać sprostowaniu. Wizerunek ewentualnie przechowywany przez podmioty, którym go udostepniono z RDO będzie podlegać sprostowaniu na podstawie wewnętrznych regulacji tego podmiotu dotyczących jakości gromadzonych danych.

Zgodnie z art. 56 ust. 2 ustawy o dowodach osobistych danych z RDO nie usuwa się. Logi są natomiast przechowywane przez 5 lat (art. 56 ust.2a). Wizerunek w systemie Profil Zaufany służyć będzie wyłącznie weryfikacji tożsamości i nie będzie utrwalany i przechowywany w tym systemie. Zastosowane środki są adekwatne - w zwiąkzu z realizacją zadań Dane nie są usuwane z RDO w związku z czym nie przewiduje się także Podmiot, któremu zostanie udostepniony wizerunek staje się samodzielnym administratorem danych osobowych i powinien publicznych danych z RDO nie usuwa się, w systemie Profil zawiadamiania osoby, której dane dotyczą a także odbiorców danych, o Środki podjęte w celu przechowywać udostępniony wizerunek tak długo, jak długo jest to uzasadnione celem przetwarzania tej danej. Jeżeli cel Zaufany dane nie będą utrwalane (brak celu dla takiego rodzaju ich usunięciu. W systemie Profil Zaufany dane usuwane niezwłocznie po realizacji prawa do zostanie osiągnięty, administrator ten powinien usunąć przetwarzane dane samodzielnie lub na wniosek osoby, której dane przwtwarzania w tym przypadku). potwierdzeniu PZ (tylko wyświetlane do tego celu). Podmioty komercyjne, 6 usunięcia danych (do bycia dotyczą. którym udostepniono wizerunek stają się samodzielnym administratorem zapomnianym) Prawo realizowane przez podmiot, któremu wizerunek zostanie i decydują o środkach i celach jego przetwarzania. (art. 17 i 19 RODO) Dane (w tym wizerunek) przetwarzane przez podmioty komercyjne w ramach zawierania i utrzymywania stosunków udotepniony na zasadach ogólnych i w zgodzie z wewnętrznymi gospodarczych i finansowych z osobą, której dane dotyczą. Prawo do usunięcia danych realizowane zatem w praktyce w regulacjami w tym zakresie. tych podmiotach przez zaniechanie tych stosunków z podmiotem komercyjnym, a więc wyczerpaniem celu przetwarzania.

Nie dotyczy, katalog danych przetwarzanych w RDO, jest ściśle wskazny w ustawie o dowodach osobistych także Obywatel nie ma możliwości by żądać ograniczenia którejkolwiek z danych. Dodatkowo należy mieć na uwadze, że niniejsza analiza dotyczy procesu udostępniania wizerunku określonym podmiotom, a zakres tej danej jak i lista podmiotów będzie wprost wynikać z ustawy. Nie ma miejsca żadna z przesłanek z art. 18 i 19 Środki podjęte w celu RODO realizacji prawa do 7 .Nie dotyczy Nie dotyczy. ograniczenia przetwarzania W systemie Profil Zaufany wizerunek nie będzie przechowywany a zatem prawo do ograniczenia przetwarzania nie znajdzie (art. 18 i 19 RODO) zastosowania.

Podmiot, komercyjny, któremu udostępniono wizerunek, jako samodzielny administrator stosuje wewnętrzne regulacje związane z realizacją prawa do ograniczenia przetwarzania, które już są stosowane i ugruntowane w tych podmiotach.

Nie dotyczy, ponieważ prawo jest zarezerwowane dla przetwarzania na podstawie:

- art. 6 ust. 1 lit. e (przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi) lub

- art. 6 ust. 1 lit. f (prawnie uzasadniony interes)

Środki podjęte w celu Natomiast proces udostępniania wizerunku z RDO uprawnionym realizacji prawa do podmiotem jest oparty na art. 6 ust. 1 lit. c (przetwarzanie jest niezbędne 8 Nie dotyczy Nie dotyczy wyrażenia sprzeciwu (art. do wypełnienia obowiązku prawnego ciążącego na administratorze). 21 RODO) Sposób obsługi prawa sprzeciwu w podmiotach, którym zostanie udostępniony wizerunek regulowany jest wewnętrznie natomiast co do zasady przetwarzanie przez te podmioty będzie odbywać się gdyż jest to niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (weryfikacja autentyczności dowodu osobistego i weryfikacja tożsamości osoby).

OCENA ORAZ ZARZĄDZANIE RYZYKIEM NAZWA PROCESU LUB PROJEKTU PODLEGAJĄCEGO OCENIE Udostępnianie uprawnionym podmiotom wizerunku z rejestru dowodów osobistych (RDO) DECYZJA OSOBY UPRAWNIONEJ

OPIS ZAGROŻEŃ MAJĄCYCH WPŁYW NA STOPIEŃ RYZYKA NARUSZENIA PRYWATNOŚCI OCENA RYZYKA POTENCJALNEGO ZALECENIA DOTYCZĄCE ŚRODKÓW MINIMALIZUJĄCYCH RYZYKO OCENA RYZYKA SZCZĄTKOWEGO KONSULTACJE Z ORGANEM NADZORCZYM KONSULTACJE Z PODMIOTAMI DANYCH OCENA RYZYKA FINALNEGO

PRAWDOPODO- ZALECENIA OSOBY PRAWDOPODO- KONIECZNOŚĆ PRAWDOPODO-ZALECENIA STOPIEŃ KONIECZNOŚĆ WDROŻONE ŚRODKI WDROŻONE ŚRODKI KRYTERIA WYRÓŻNIANIA ORAZ ZAGROŻENIA, KTÓRE MOGĄ WYSTĄPIĆ ISTOTNOŚĆ (WAGA) BIEŃSTWO STOPIEŃ RYZYKA ODPOWIEDZIALNEJ ZA WDROŻONE ŚRODKI ISTOTNOŚĆ (WAGA) BIEŃSTWO KONSULTACJI Z ISTOTNOŚĆ (WAGA) BIEŃSTWO OSTATECZNY LP. KATEGORIE ZAGROŻEŃ EKSPERTA SZCZĄTKOWEGO KONSULTACJI Z WYNIK KONSULTACJI LUB UZASADNIENIE WYNIK KONSULTACJI LUB UZASADNIENIE PRZYKŁADY MOŻLIWYCH ZAGROŻEŃ W OCENIANYM PROCESIE/PROJEKCIE ZAGROŻENIA WYSTĄPIENIA POTENCJALNEGO OCHRONĘ DANYCH LUB UZASADNIENIE BRAKU WDROŻENIA ZAGROŻENIA WYSTĄPIENIA PODMIOTAMI DANYCH ZAGROŻENIA WYSTĄPIENIA STOPIEŃ RYZYKA PRAWNEGO RYZYKA ORGANEM (TAK/NIE) BRAKU WDROŻENIA BRAKU WDROŻENIA ZAGROŻENIA (IOD/KODO) ZAGROŻENIA (TAK/NIE) ZAGROŻENIA

Wskazując zagrożenia dla procesu/projektu oraz oceniając ich wagę, należy uwzględnić w szczególności następujące kryteria:

- ilość danych, do których osoba nieuprawniona może uzyskać dostęp (np. czy istnieje ryzyko dostępu do dużej bazy danych, czy tylko do pojedynczych dokumentów);

- rodzaj danych, do których osoba nieuprawniona może otrzymać dostęp (w szczególności, czy są to szczególne kategorie danych - dane wrażliwe, przez które należy rozumieć kategorie danych wskazanych w art. 9 oraz 10 1. Zapewnienie rozliczalności operacji na danych w tym RODO oraz dane osobowe objęte tajemnicami wykorzystania usługi udostępniania wizerunku z zawodowymi); zapewnieniem identyfikacji użytkownika pozyskującego

- kategorie osób, których dane dotyczą - np. dane fotografię. Rozliczlaność zapewniona jest w RDO na poziomie instytucji oraz w podmiocie, któremu dane są dotyczą osób wymagających szczególnej opieki, tj. dzieci, Zastosowanie oprogramowań Zabezpieczenie udostępniane, co jest badane w ramach audytu pracowników, osób należących do bardziej wrażliwych grup systemów informatycznych komputera na technicznego przed wydaniem decyzji dostępowej. społecznych wymagających szczególnej ochrony (osoby oraz zabezpieczeń sprzętów którym będzie

2. Zapewnienie możliwości unieważnienia dowodu chore psychicznie, osoby ubiegające się o azyl lub osoby służących do przetwarzania odbywało się Wykorzystanie udostępnionego wizerunku do osobistego online w czasie rzeczywistym o każdej starsze, pacjenci itp.); danych osobowych, tak, aby przetwarzanie kradzieży tożsamości/podszycie się pod osobę, której porze dnia i nocy, także w dni wolne od pracy

- kategorie osób, które mogą uzyskać bezprawny zminimalizować ryzyko danych wysokiej (dedykowana usługa już udostępniona) oraz usług 1 dostęp do danych (w szczególności, czy z danymi mogą dane dotyczą (uzyskanie jej środka identyfikacji 4 2 8 nieuprawnionego dostępu do klasy programami 4 1 4 NIE Nie dotyczy Nie dotyczy NIE Nie dotyczy Nie dotyczy 4 1 4 weryfikacji dowodu np. sprawdź czy dowód jest zapoznać się osoby z wewnątrz, czy z zewnątrz elektronicznej lub spreparowanie dokumentu danych osobowych. Odnosi antywirusowymi unieważniony. organizacji). tożsamości) się to zarówno do działań o pozwalającymi na

3. Sama usługa udostępnienia zapewnia charakterze zamierzonym i ochronę sprzętu zabezpieczenie - przy próbie posłużenia się Przykładowe zagrożenia podlegające ocenie: niezamierzonym oraz przed groźnymi spreparowanym dokumentem nawet ze zdjęciem

- Dostęp osoby nieuprawnionej z wewnątrz organizacji do wewnętrznym i wirusami i złośliwym odpowiadającym fotografii w RDO pozostaje porównanie systemów informatycznych służących do przetwarzania zewnętrznym. oprogramowaniem. wizerunku z twarzą osoby okazującej dokument; danych osobowych o stanie zdrowia. 4. Wprowadzenie dwuetapowości procesu udostęnienia

- Dostęp osoby nieuprawnionej z zewnątrz organizacji do wizerunku - trzeba znać określony zestaw danych nośników służących do przetwarzania danych pracowników osoby i dokumentu aby ich pozytywna weryfikacja (np. komputery służbowe, telefony służbowe). pozwoliła na udostepnienie wizerunku.

Wprowadzenie zasad bezpieczeństwa, w tym dotyczących polityki Odpowiednia zabezpieczeń przez osoby procedura (wewnątrz użytkujące sprzęt organizacji/urzędu), informatyczny służący do której muszą przetwarzania danych przestrzegać

1. Audyty bezpieczeństwa przed wydaniem decyzji osobowych, w tym co do pracownicy dostępowej - weryfikacja zasad dostępu do danych i obowiązku każdorazowego pracujący na rozliczlaności dostępu w oparciu o polityki i instrukcje blokowania ekranu oraz jego stanowiskach stosowane u podmiotu ubiegającego się o dostęp do uzyskanie wizerunku przez osobę nieuprawnioną z wygaszania w przypadku dostępowych np. usługi; opuszczania stanowiska każdorazowe zewnątrz organizacji (np. pracownik firmy 3 1 3 2. Wprowadzenie dwuetapowości procesu udostęnienia 3 1 3 NIE Nie dotyczy Nie dotyczy NIE Nie dotyczy Nie dotyczy 3 1 3 pracy, obowiązku wyjmowanie sprzatającej) wizerunku - trzeba znać określony zestaw danych odpowiedniego karty/wylogowywani osoby i dokumentu aby ich pozytywna weryfikacja zabezpieczenia sprzętu e się przy pozwoliła na udostępnienie wizerunku. Pracownik poprzez prawidłowe opuszczaniu zewnętrzny nie będzie znać tych danych bowiem nie zamknięcie systemu oraz stanowiska, a także zostanie mu okazany dowód osobisty. schowanie sprzętu w odpowiednia miejscu, do którego osoby, lokalizacja te dostępu nie będą miały, a stanowiska także zamknięcia dostępowego w pomieszczenia służbowego przestrzeni urzędu. po zakończeniu pracy i zdania klucza osobie do

1. Wprowadzenie polityki Przyjęcie dotyczącej stosowania odpowiednich zabezpieczeń sprzętu, w rozwiązań tym zakazu udostępniania organizacyjnych loginów i haseł innym dotyczących zasad osobom niż osoba, do której dostępu do danych są przypisane. w Audyty bezpieczeństwa przed wydaniem decyzji uzyskanie wizerunku przez osobę nieuprawnioną organizacji/urzędzie, dostępowej - weryfikacja zasad dostępu do danych i wewnątrz organizacji (nie posiadającej uprawnień 6 przeszkolenie rozliczlaności dostępu w oparciu o polityki i instrukcje 3 NIE Nie dotyczy Nie dotyczy NIE Nie dotyczy Nie dotyczy 3 3 2 3 1 3 1 dostępowych na odpowiednim poziomie) pracowników i stosowane u podmiotu ubiegającego się o dostęp do informacja o usługi. konsekwencjach przetwarzania danych przez osoby nieuprawnione.

Informacja o konsekwencjach prawnych

1. Weryfikacja celu udostępniania usługi wnioskodawcy udostępniania/rozpo przed wydaniem decyzji dostępowej. wszechniania

2. Zapewnienie rozliczlaności dostępu do danych na Zalecenie dla podmiotów wizerunku bez poziomie instytucji i użytkownika. którym dane zostały zgody osoby, której

3. Wewnętrzne procedury podmiotów korzystających z udostępnione jako ta dana dotyczy, Rozpowszechnianie wizerunku bez zgody osoby, usługi przewidujące poufność i odpowiedzialność samodzielnym przeszkolenie której dane dotyczą, w tym w sposób wpływający na 8 cywilną i finansową za pozasłużbowe wykorzystanie 4 NIE Nie dotyczy Nie dotyczy NIE Nie dotyczy Nie dotyczy 4 dobre imię osoby (Internet, portale społecznościowe, 4 2 administratorom danych - pracowników w tym danych. 4 1 4 1 POUFNOŚĆ zapozananie pracowników z zakresie, (ZAGROŻENIA ZWIĄZANE wizerunek osób publicznych) 4. Zagrożenie odpowiedzialnością karną; zasadami odpowiedzialności wskazanie, że takie 5.Brak mozliwości korzystania z usługi w trybie Z UZYSKANIEM pracownicznej jak i przetwarzanie zdalnym (mobilnym) - wyłącznie do punktu połączenia z BEZPRAWNEGO DOSTĘPU DO cywilnoprawnej. (bezprawne) danych siecią wydzieloną. Utrudnia to pozyskanie wizerunku do DANYCH) może stanowić innych niż przeznaczone celów poza organizacją i jej naruszenie dóbr reżimem poufności. osobistych (art. 23 Kc) a także prawa do prywatności.

Zapoznanie pracowników z obowiązkami w zakresie Informacja o odpowiedzialności za konsekwencjach przetwarzanie danych prawnych osobowych zgodnie z 1. Weryfikacja celu udostępniania usługi wnioskodawcy udostępniania/rozpo wymogami wynikającymi z przed wydaniem decyzji dostępowej. wszechniania przepisów Rozporządzenia 2. Zapewnienie rozliczlaności dostępu do danych na wizerunku bez Parlamentu Europejskiego i poziomie instytucji i użytkownika. zgody osoby, której Rady (UE) 2016/679 z dnia 3. Wewnętrzne procedury podmiotów korzystających z ta dana dotyczy, 27 kwietnia 2016 r. w usługi przewidujące poufność i odpowiedzialność przeszkolenie Wykorzystywanie udostępnianych wizerunków do 6 sprawie ochrony osób cywilną i finansową za pozasłużbowe wykorzystanie 4 NIE Nie dotyczy Nie dotyczy NIE Nie dotyczy Nie dotyczy 4 innych celów niż wykazany interes faktyczny 2 3 fizycznych w związku z pracowników w tym danych. 2 2 2 2 zakresie, przetwarzaniem danych 4. Zagrożenie odpowiedzialnością karną. wskazanie, że takie osobowych i w sprawie 5. Brak możliwości korzystania z usługi w trybie przetwarzanie swobodnego przepływu zdalnym (mobilnym) - wyłącznie do punktu połączenia z (bezprawne) danych takich danych oraz siecią wydzieloną. Utrudnia to pozyskanie wizerunku do może stanowić uchylenia dyrektywy innych niż przeznaczone celów poza organizacją i jej naruszenie dóbr 95/46/WE (ogólne reżimem poufności. osobistych (art. 23 rozporządzenie o ochronie Kc) a także prawa danych) oraz przepisów do prywatności. ustawy z dnia 10 maja 2018 r. o ochronie danych

1. Wprowadzenie dwuetapowości procesu udostęnienia wizerunku - trzeba znać określony zestaw danych osoby i dokumentu aby ich pozytywna weryfikacja pozwoliła na udostepnienie wizerunku. Takie działanie Zastsowanie odpowiednich Zastosowanie mechanizmu uniemożliwia pobieranie większej liczby mechanizów systemów kontroli wizerunków przez automatyczne odpytanie (masowe uniemożlwiających wyciek wyciek danych i handel kompletnymi danymi 8 przepływu danych, udostepnienie) bowiem każdorazowo wymaga podania 4 NIE Nie dotyczy Nie dotyczy NIE Nie dotyczy Nie dotyczy 4 4 2 danych oraz monitorujących 4 1 4 1 osobowymi (np. w darknecie) badających ruch na właściwego zestawu 6 danych w tym generowanych aktywność użytkowników poziomie protokołu, losowo serii i numeru dowodu osobistego czy numeru uprawnionych do dostępu do aplikacji oraz treści. PESEL; tych danych w internecie.

2. Prowadzenie w COI monitoringu ruchu danych w SRP pozwalające na identyfikację anomalii w udostepnianiu danych i odpowiednie reagowanie (np. pozyskiwanie danych poza zwyczajowymi godzinami pracy).

Informacja o konsekwencjach prawnych udostępniania/rozpo wszechniania Zapoznanie pracowników z wizerunku bez 1. Weryfikacja celu udostępniania usługi wnioskodawcy potencjalnymi zgody osoby, której przed wydaniem decyzji dostępowej. konsekwencjami z tytułu ta dana dotyczy, 2. Zapewnienie rozliczlaności dostępu do danych na ujawnienie wrażliwych cech osoby, które można nieuprawnieniego ujawnienia przeszkolenie poziomie instytucji i użytkownika. danych osobowych, tak ustalić na podstawie wizerunku jak choroba, rasa, 2 1 2 pracowników w tym 3. Wewnętrzne procedury podmiotów korzystających z 2 1 2 NIE Nie dotyczy Nie dotyczy NIE Nie dotyczy Nie dotyczy 2 1 2 wynikających z naruszenia religia zakresie, usługi przewidujące poufność i odpowiedzialność przepisów o ochronie wskazanie, że takie cywilną i finansową za pozasłużbowe wykorzystanie danych, jak i przepisów przetwarzanie danych. prawa cywilnego z tytułu (bezprawne) danych 4. Zagrożenie odpowiedzialnością karną. naruszenia dóbr osobistych. może stanowić naruszenie dóbr osobistych (art. 23 Kc) a także prawa do prywatności.

1. Dane udostępniane w trybie teletranmisji danych. Zgodnie z PBI SRP zalecanym sposobem podłączenia infrastruktury interesariuszy zewnętrznych systemu jest wykorzystanie dedykowanej wydzielonej sieci teleinformatycznej będącej w gestii służb podległych Zastosowanie Ministrowi właściwemu ds. wewnętrznych i administracji odpowiednich z zachowaniem pełnej separacji stacji roboczych Zastsowanie odpowiednich zabezpieczeń systemu umiejscowionych w lokalizacjach mechanizów technicznych uprawnionych interesariuszy od innych sieci. W sieci uniemożlwiających uniemożliwiających/ lokalnej interesariuszy również wymagana jest nieuprawniony dostęp, w uzyskanie dostępu do usługi podmiotu do tego 3 utrudniających separacja sieci dostępowej do SRP od innych sieci 3 NIE Nie dotyczy Nie dotyczy NIE Nie dotyczy Nie dotyczy 3 3 1 tym między innymi poprzez 3 1 3 1 nieuprawnionego dokonanie urzędu. Odstępstwa od PBI wymagają podpisania zapewnienie monitorowania czynności o których umowy o odstępstwie z ministrem właściwym do spraw aktywności w systemie oraz mowa w art. 267 kk informatyzacji oraz ministrem właściwym do spraw automatycznej blokady prób (nielegalne wewnętrznych. uzyskania takiego dostępu. uzyskanie 2. Dostęp do danych następuje po wydaniu certyfikatu informacji); produkcyjnego przez Centrum Certyfikacji - po zweryfikowaniu faktu uzyskania zgody ministra na dostęp do danych oraz uprawnienia do reprezentowania podmiotu,który uzyskał zgodę co eliminuje ryzyko wydania certyfikatu produkcyjnego podmiotowi lub osobie nieuprawnionej.

Wskazując zagrożenia dla procesu/projektu oraz oceniając ich wagę, należy uwzględnić w szczególności następujące

1. Usługa udostępnienia wizerunku z RDO umożliwi kryteria: identyfikację prawidłowego przypisania danych osoby do

- ilość danych, które mogą zostać w niepożądany sposób Zapoznanie pracowników z wizerunku; zmienione (np. czy istnieje ryzyko zmiany danych w dużej potencjalnymi Zaproponowane 2. Zapewnienie możliwości unieważnienia dowodu bazie danych, czy tylko w pojedynczych dokumentach); stworzenie fałszywej tożsamości na podstawie 6 konsekwencjami oraz 3 NIE Nie dotyczy Nie dotyczy Nie Nie dotyczy Nie dotyczy 3 3 2 środki są osobistego online w czasie rzeczywistym o każdej 3 1 3 1

- rodzaj danych, które mogą ulec niepożądanej zmianie prawdziwych danych różnych osób odpowiedzialnością prawną z wystarczające. porze dnia i nocy, także w dni wolne od pracy (w szczególności, czy są to szczególne kategorie danych tytułu takiego wykorzystania (dedykowana usługa już udostępniona) oraz usług (dane wrażliwe, przez które należy rozumieć kategorie danych osobowych. weryfikacji dowodu np. sprawdź czy dowód jest danych wskazanych w art. 9 oraz 10 RODO oraz dane unieważniony. osobowe objęte tajemnicami zawodowymi);

- kategorie osób, których dane dotyczą - np. dane dotyczą osób wymagających szczególnej opieki, tj. dzieci, pracowników, osób należących do bardziej wrażliwych grup Szkolenie w społecznych wymagających szczególnej ochrony (osoby Wewnętrzne środki bezpieczeństwa i poufności zakresie ochrony chore psychicznie, osoby ubiegające się o azyl lub osoby stosowane w podmiotach, które uzyskają zgodę na Wstępne i cylkiczne danych z naciskiem dostęp do wizerunku z RDO, które mają na celu starsze, pacjenci itp.). szkolenia pracowników na odpowiedzialność 3 zapewnienie dostępu do usługi wyłącznie osobom 3 NIE Nie dotyczy Nie dotyczy Nie Nie dotyczy Nie dotyczy 3 morfing 3 1 dotyczące bezpieczeństwa dotycząca 3 1 3 1 Przykładowe zagrożenia podlegające ocenie: uprawnionym w ramach ściśle określonych procesów. informacji oraz ochrony nieuprawnionego/nie Środki te weryfikowane są w ramach audytu

- Niepożądana modyfikacja danych w systemach danych osobowych. uzasadnionego technicznego przed wydaniem decyzji rozstrzygającej o informatycznych służących do przetwarzania danych przetwarzania dostępie. osobowych o stanie zdrowia. danych. INTEGRALNOŚĆ

- Zmiana danych na nośnikach służących do przetwarzania (ZAGROŻENIA ZWIĄZANE 2 danych pracowników (np. komputery służbowe, telefony Z NIEPOŻĄDANĄ ZMIANĄ 0 0 0 0 0 służbowe). DANYCH)

0 0 0 0 0

Wskazując zagrożenia dla procesu/projektu oraz oceniając ich wagę, należy uwzględnić w szczególności następujące 1. Weryfikacja dowodu osobistego na podstawie jego kryteria: zabezpieczeń fizycznych;

- ilość danych, do których osoba nieuprawniona może 2. Wykorzystanie usługi dostępnej na gov.pl "Sprawdź uzyskać dostęp (np. czy istnieje ryzyko dostępu do dużej Wstępne i cylkiczne czy dowód jest unieważniony", która zwraca informację bazy danych, czy tylko do pojedynczych dokumentów); brak możliwości zrealizowania celu udostępniania szkolenia pracowników Zaproponowane o nieważności dokumentu po podaniu jego serii i danych tj. weryfikacji autentyczności dowodu 4 1 4 dotyczące bezpieczeństwa rozwiązania są numeru; 4 1 4 NIE Nie dotyczy Nie dotyczy NIE Nie dotyczy Nie dotyczy 4 1 4

- rodzaj danych, do których osoba nieuprawniona może otrzymać dostęp (w szczególności, czy są to szczególne osobistego, tożsamości klienta informacji oraz ochrony wystarczające 3. Potencjalna możliwość wprowadzenia wewnętrznych kategorie danych - dane wrażliwe, przez które należy danych osobowych. procedur w podmiotach, którym wizerunek jest rozumieć kategorie danych wskazanych w art. 9 oraz 10 udostępniany zakładających weryfikację autentyczności RODO oraz dane osobowe objęte tajemnicami dokumentu i tożsamości następczo - po ponownym zawodowymi); uzyskaniu dostępu do danych.

- kategorie osób, których dane dotyczą - np. dane dotyczą osób wymagających szczególnej opieki, tj. dzieci, pracowników, osób należących do bardziej wrażliwych grup 1. Wprowadzenie wewnętrznych procedur w społecznych wymagających szczególnej ochrony (osoby Wstępne i cylkiczne podmiotach, którym wizerunek jest udostępniany i które chore psychicznie, osoby ubiegające się o azyl lub osoby szkolenia pracowników Zaproponowane mają obowiązki wynikające z ustawy AML starsze, pacjenci itp.). brak możliwości wywiązania się z obowiązków 2 2 NIE Nie dotyczy Nie dotyczy NIE Nie dotyczy Nie dotyczy 2 2 1 dotyczące bezpieczeństwa rozwiązania są zakładających realizację obowiązków po ponownym 2 1 2 1 nałożonych ustawą AML informacji oraz ochrony wystarczające. uzyskaniu dostępu do danych; Przykładowe zagrożenia podlegające ocenie: danych osobowych. 2. Realizacja obowiązków z wykorzystaniem obecnie

- Brak możliwości dostępu do systemów informatycznych dostępnych narzędzi. służących do przetwarzania danych osobowych o stanie zdrowia.

- Zgubienie nośników służących do przetwarzania danych Wdrożenie i bieżące pracowników (np. komputery służbowe, telefony służbowe). stosowanie przez 1. Zapewnienie odpowiedniego poziomu dostępności i zaangażowne podmioty wydajności usługi web service udostępniania wizerunku Zaproponowane niedostępność usługi udostępnienia wizerunku - brak 4 wewnętrznej polityki z RDO oraz monitorowanie tych parametrów przez COI; 4 NIE Nie dotyczy Nie dotyczy NIE Nie dotyczy Nie dotyczy 4 4 1 rozwiązania są 4 1 4 1 realizacji ustawowego zadania ministra bezpieczeństwa, w tym 2. Wcześniejsze informowanie użytkowników o wystarczające. polityku zarządzania oraz planowanej czasowej niedostępności usługi w razie reagowania na incydenty takiej konieczności. bezpieczeństwa informacji.

DOSTĘPNOŚĆ Prócz zaproponowanych (ZAGROŻENIA ZWIĄZANE rozwiązań należy Z UTRATĄ DANYCH LUB 3 wskazać podmiotom BRAKIEM DOSTĘPU DO korzystającym z DANYCH PRZEZ dostępu do ADMINISTRATORA) Szkolenia wewnętrzne wizerunku na ryzyko 1. Zapewnienie odpowiedniego poziomu dostępności i niedostepność usługi udostępnienia wizerunku - brak pracowników podmiotu, przyjęcia przez nie wydajności usługi web service udostępniania wizerunku możliwości zawarcia stosunków gospodarczych, 4 któremu dane udostępniono weryfikacji z RDO oraz monitorowanie tych parametrów przez COI; 4 NIE Nie dotyczy Nie dotyczy NIE Nie dotyczy Nie dotyczy 4 finansowych, handlowych lub obarczenie ich 4 1 z porównywania i weryfikacji tożsamości na 2. Wcześniejsze informowanie użytkowników o 4 1 4 1 ryzykiem weryfikacji tożsamości na niższym poziomie wizerunku osoby z fotografią niższym poziomie. planowanej czasowej niedostępności usługi w razie bezpieczeństwa w dokumencie. Decydując się na takiej konieczności. takie rozwiązanie muszą zdawać sobie sprawę z możliwych konsekwencji błędu w ustaleniach.

Z uwagi na zagrożenia Wprowadzenie i wdrożenie wynikające z

1. Odmowa potwierdzenia Profilu Zaufanego do czasu procedury reagowania na błędnego ponownego uzyskania dostępu do danych; takie przypadki. potwierdzenia PZ

2. Weryfikacja dowodu osobistego na podstawie jego jednym brak możliwości potwierdzenie PZ na wysokim zabezpieczeń fizycznych; 3 NIE Nie dotyczy Nie dotyczy NIE Nie dotyczy Nie dotyczy 3 3 1 3 Szkolenia pracowników rozwiązaniem winna 3 1 3 1 stopniu bezpieczeństwa 3. Wykorzystanie usługi dostępnej na gov.pl "Sprawdź potwierdzających PZ z być odmowa czy dowód jest uniewazniony", która zwraca informację weryfikacji zabezpieczeń potwierdzenia Profilu o nieważności dokumentu po podaniu jego serii i fizycznych dowodu Zaufanego do czasu numeru. osobistego. ponownego uzyskania dostępu do danych.

METODA OCENY RYZYKA POTENCJALNEGO ORAZ SZCZĄTKOWEGO

PRAWDOPODOBIEŃSTWO WYSTĄPIENIA ZAGROŻENIA

ISTOTNOŚĆ (WAGA) ZAGROŻENIA pomijalne niskie średnie wysokie krytyczne (1) (2) (3) (4) (5)

pomijalna (1) 1 2 3 4 5

niska (2) 2 4 6 8 10

średnia (3) 3 6 9 12 15

wysoka (4) 4 8 12 16 20

krytyczna (5) 5 10 15 20 25

STOPIEŃ RYZYKA niski (1-7) średni (8-14) wysoki (15-25)

Projekt ROZPORZĄDZENIE

RADY MINISTRÓW

z dnia

w sprawie opłat za udostępnienie danych z rejestrów mieszkańców oraz rejestru PESEL

Na podstawie art. 56 ustawy z dnia 24 września 2010 r. o ewidencji ludności (Dz. U. z 2025 r. poz. 274 i …) zarządza się, co następuje:

§ 1. Rozporządzenie określa:

1) wysokość opłaty za udostępnienie danych jednostkowych z rejestru mieszkańców oraz rejestru PESEL;

2) wysokość opłaty za udostępnianie danych za pomocą urządzeń teletransmisji, w drodze weryfikacji, o której mowa w art. 49 ust. 1 ustawy z dnia 24 września 2010 r. o ewidencji ludności, zwanej dalej „ustawą”;

3) wysokość opłaty za udostępnianie z rejestru PESEL danych o seriach, numerach i datach ważności ważnych dowodów osobistych podmiotom, o których mowa w art. 48 ust. 1a ustawy;

4) sposób obliczania wysokości opłaty za udostępnianie danych podmiotom, o których mowa w art. 46 ust. 2 pkt 2 ustawy;

5) sposób i terminy uiszczania opłat, o których mowa w pkt 1–4;

6) sposób dokumentowania uiszczenia opłat, o których mowa w pkt 1–4.

§ 2. Opłatę za udostępnienie danych:

1) jednostkowych z rejestru mieszkańców oraz rejestru PESEL – ustala się w wysokości 31 zł;

2) z rejestru PESEL za pomocą urządzeń teletransmisji danych, w drodze weryfikacji – ustala się w wysokości 0,30 zł od jednej weryfikacji;

3) z rejestru PESEL w zakresie danych o seriach, numerach i datach ważności ważnych dowodów osobistych – ustala się w wysokości 0,30 zł za każde pobranie tej informacji.

§ 3. Sposób obliczania wysokości opłaty za udostępnianie danych podmiotom, o których mowa w art. 46 ust. 2 pkt 2 ustawy, oblicza się według następującego wzoru: O = K x (A + B) + M gdzie:

O – łączna kwota opłaty za udostępnienie danych,

K – współczynnik wynoszący:

a) 1,0 do celów badawczych lub statystycznych,

b) 1,5 do celów badania opinii publicznej,

A – opłata za prace informatyczne:

A = 0,5 Ha x Z + 0,5 Hb x Z + 0,75 Hc x Z + 10 Hd x Z + He x Z,

B – opłata za prace eksploatacyjne:

B = 1,5 Hf x 10 Z + Hg x 10 Z + 1,5 Hh x 10 Z + 0,6 Hi x 10 Z + 0,5 Hj x 10 Z,

M – koszt materiałów eksploatacyjnych doliczany w przypadku gdy przekroczy 5% wartości usługi, a poszczególne symbole oznaczają:

H – liczbę godzin przeznaczonych na realizację zadania:

Ha – czas trwania prac projektowych,

Hb – czas opracowania dokumentacji programowej,

Hc – czas trwania prac analitycznych,

Hd – czas opracowania nowego programu,

He – czas opracowania programu z gotowych modułów,

Hf – czas wyboru podzbioru z bazy danych,

Hg – czas przetwarzania wybranych danych,

Hh – czas wykonania tablicy statystycznej,

Hi – czas drukowania wykazów z wybranego podzbioru zawierającego poniżej 300 danych jednostkowych,

Hj – czas drukowania wykazów z wybranego podzbioru zawierającego powyżej 300 danych jednostkowych,

Z – opłatę za udostępnienie jednostkowych danych, o których mowa w § 1 pkt 1.

§ 4. 1. Opłatę, o której mowa w § 2 pkt 1, wnosi się przed złożeniem wniosku o udostępnienie danych.

2. Opłatę, o której mowa w § 2 pkt 2 i 3 oraz § 3, wnosi się w terminie 7 dni od dnia otrzymania pisemnego wezwania organu udostępniającego dane.

3. W wezwaniu do uiszczenia opłaty, o której mowa w § 2 pkt 2 i 3, wskazuje się liczbę jednostkowych weryfikacji, jakie zostały wygenerowane z rejestru PESEL w danym okresie czasu albo liczbę pobranych informacji o serii i numerze dowodów osobistych, jakie zostały wygenerowane z rejestru PESEL w danym okresie czasu Wezwania wysyła się nie częściej niż raz w miesiącu.

4. W wezwaniu do uiszczenia opłaty, o której mowa w § 3, wskazuje się wysokość opłaty obliczonej według wzoru określonego w § 3. Wezwanie wysyła się niezwłocznie po dokonaniu obliczenia wysokości opłaty.

§ 5. 1. Opłaty wnosi się do kasy organu udostępniającego dane lub na jego rachunek bankowy.

2. Opłaty za udostępnienie danych z rejestru PESEL wnosi się na rachunek bankowy organu udostępniającego dane.

§ 6. 1. Dowód uiszczenia opłaty, o której mowa w:

1) § 2 pkt 1 – dołącza się do złożonego wniosku;

2) § 2 pkt 2 i 3 oraz § 3 – przekazuje się w terminie 14 dni od dnia otrzymania wezwania, o którym mowa w § 4 ust. 2, do organu udostępniającego dane.

2. Dowód uiszczenia opłaty może mieć postać wydruku lub pliku potwierdzającego dokonanie operacji bankowej, generowanego elektronicznie z systemu bankowego.

§ 7. Rozporządzenie wchodzi w życie z dniem 30 czerwca 2026 r.

PREZES RADY MINISTRÓW

UZASADNIENIE

Projekt rozporządzenia Rady Ministrów w sprawie opłat za udostępnienie danych z rejestrów mieszkańców oraz rejestru PESEL stanowi wykonanie upoważnienia ustawowego zawartego w art. 56 ustawy z dnia 24 września 2010 r. o ewidencji ludności (Dz. U. z 2025 r. poz. 274 i …) w brzmieniu nadanym ustawą z dnia … 2025 r. o zmianie ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne oraz niektórych innych ustaw (Dz. U. poz. … ), zwanej dalej „ustawą”.

Projektowana regulacja określa wysokość, sposób i termin wnoszenia oraz sposób dokumentowania uiszczenia opłaty za udostępnienie danych z rejestrów mieszkańców i rejestru PESEL i w powyższym zakresie powiela w większości dotychczas obowiązujące rozwiązania. Zmiana, w stosunku do obecnie obowiązującego rozporządzenia Rady Ministrów z dnia 22 grudnia 2017 r. w sprawie opłat za udostępnienie danych z rejestrów mieszkańców, rejestrów zamieszkania cudzoziemców oraz rejestru PESEL (Dz. U. poz. 2482) polega na uwzględnieniu usługi odpłatnego udostępnienia określonym podmiotom, w celu aktualizacji i weryfikacji aktualności, danych o seriach, numerach i datach ważności ważnych dowodów osobistych ich klientów wydanych na skutek zmiany dowodu osobistego.

Projekt pozostawia w dotychczasowej wysokości opłaty za udostępnienie danych jednostkowych oraz udostępnienie danych za pomocą urządzeń teletransmisji danych, w drodze weryfikacji. Bez zmian pozostaje również sposób obliczania wysokości opłaty za udostępnianie danych w celach badawczych, statystycznych i badania opinii publicznej.

W rozporządzeniu pozostawiono terminy wnoszenia i sposoby dokumentowania opłat, uzależniając rozwiązania od trybu udostępnienia danych i uwzględniając nową usługę umożliwiającą pobranie danych z rejestru PESEL. Uzasadniając brak zmiany procedury uiszczania opłaty wskazać należy, że obowiązujące przepisy nie budzą wątpliwości interpretacyjnych organów gmin, zaś wnioskodawcy, z których znaczna część to podmioty regularnie występujące o dane z rejestrów, prawidłowo stosują aktualne wymogi, nie zgłaszając potrzeby wprowadzenia zmian.

W przypadku dokumentowania opłaty za udostępnienie danych jednostkowych dowód jej uiszczenia załącza się do złożonego wniosku, a opłatę za dane jednostkowe wnosi się przed złożeniem wniosku o udostępnienie, tj. z góry.

W przypadku udostępniania danych za pomocą urządzeń teletransmisji danych, w drodze weryfikacji oraz pobrania informacji o dowodach osobistych dostosowano dotąd obowiązujące uregulowania do nowego stanu prawnego. W tych przypadkach założono, że opłatę wnosi się z dołu, w terminie 7 dni od dnia otrzymania pisemnego wezwania organu udostępniającego dane, zaś dowód uiszczenia opłaty przekazuje się w terminie 14 dni od dnia otrzymania ww. wezwania organu. Z uwagi na fakt, iż udostępnianie danych w tym trybie ma charakter ciągły, w projekcie określono częstotliwość, z jaką wysyłane będą wezwania wskazujące liczbę jednostkowych weryfikacji, jakie zostały wygenerowane z rejestru PESEL. Wezwania do uiszczenia opłaty wysyłane będą nie częściej niż raz w miesiącu.

Natomiast z uwagi na fakt, że opłata za udostępnienie danych w celach badawczych, statystycznych i badania opinii publicznej nie jest ściśle ustalona kwotowo, a jej wysokość uzależniona jest od szeregu parametrów zawartych w algorytmie pozwalającym na jej obliczenie, przyjęto, że opłatę tę wnosi się w terminie 7 dni od dnia otrzymania pisemnego wezwania organu udostępniającego dane, zaś dowód uiszczenia opłaty przekazuje się w terminie 14 dni od dnia otrzymania ww. wezwania organu. W wezwaniu organu, które wysyła się niezwłocznie po dokonaniu obliczenia, musi być wskazana wysokość opłaty obliczonej na podstawie wzoru określonego w § 3.

Jako zasadę powielono regulacje poprzednio obowiązującego rozporządzenia, zgodnie z którym opłata za udostępnienie danych może być wnoszona do kasy organu udostępniającego lub na jego rachunek bankowy. Mając na uwadze specyfikę związaną z funkcjonowaniem organu udostępniającego dane z rejestru PESEL tak jak dotąd pozostawiono jedynie możliwość wnoszenia jej na rachunek bankowy organu udostępniającego.

Rozporządzenie wejdzie w życie z dniem 30 czerwca 2026 r.

Projektowana regulacja nie zawiera przepisów technicznych w rozumieniu rozporządzenia Rady Ministrów z dnia 23 grudnia 2002 r. w sprawie sposobu funkcjonowania krajowego systemu notyfikacji norm i aktów prawnych (Dz. U. poz. 2039 oraz z 2004 r. poz. 597) i nie podlega notyfikacji Komisji Europejskiej.

Projektowana regulacja nie będzie wymagała notyfikacji Komisji Europejskiej w trybie ustawy z dnia 30 kwietnia 2004 r. o postępowaniu w sprawach dotyczących pomocy publicznej (Dz. U. z 2025 r. poz.

468). Projekt rozporządzenia nie jest sprzeczny z prawem Unii Europejskiej.

Projekt rozporządzenia nie wymaga przedłożenia instytucjom i organom Unii Europejskiej, w tym Europejskiemu Bankowi Centralnemu, w celu uzyskania opinii, dokonania powiadomienia, konsultacji albo uzgodnienia.

Projektowane rozporządzenie nie ma wpływu na działalność mikroprzedsiębiorców, małych i średnich przedsiębiorców.

Projekt zostanie udostępniony w Biuletynie Informacji Publicznej na stronie internetowej Rządowego Centrum Legislacji w zakładce Rządowy Proces Legislacyjny zgodnie z § 52 uchwały nr 190 Rady Ministrów z dnia 29 października 2013 r. – Regulamin pracy Rady Ministrów (M.P. z 2024 r. poz. 806 oraz z 2025 r. poz. 408) oraz stosownie do wymogów art. 5 ustawy z dnia 7 lipca 2005 r. o działalności lobbingowej w procesie stanowienia prawa (Dz. U. z 2017 r. poz. 248 oraz z 2024 r. poz. 1535). Nazwa projektu Data sporządzenia Rozporządzenie Rady Ministrów w sprawie opłat za udostępnienie 12.05.2025 danych z rejestrów mieszkańców oraz rejestru PESEL Źródło: Ministerstwo wiodące i ministerstwa współpracujące Upoważnienie ustawowe wynikające z art. 56 Minister Cyfryzacji ustawy z dnia 24 września 2010 r. o ewidencji ludności (Dz. U. z 2025 r. poz. 274 i …) Osoba odpowiedzialna za projekt w randze Ministra, Sekretarza Stanu lub Podsekretarza Stanu Nr w wykazie prac legislacyjnych Ministra Cyfryzacji ….. ….. Kontakt do opiekuna merytorycznego projektu ….. OCENA SKUTKÓW REGULACJI

1. Jaki problem jest rozwiązywany? Projekt rozporządzenia Rady Ministrów w sprawie opłat za udostępnienie danych z rejestrów mieszkańców oraz rejestru PESEL stanowi wykonanie upoważnienia ustawowego zawartego w art. 56 ustawy z dnia 24 września 2010 r. o ewidencji ludności w brzmieniu nadanym ustawą z dnia … 2025 r. o zmianie ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne oraz niektórych innych ustaw (Dz. U. poz. …), zwanej dalej „ustawą”.

2. Rekomendowane rozwiązanie, w tym planowane narzędzia interwencji, i oczekiwany efekt Konieczność wydania rozporządzenia wynika z wprowadzenia dla określonej grupy podmiotów możliwości pobrania za odpłatnością dodatkowych danych z rejestru PESEL – na podstawie wyżej przywołanej zmiany ustawowej.

3. Jak problem został rozwiązany w innych krajach, w szczególności krajach członkowskich OECD/UE? Mając na uwadze specyfikę projektowanego rozporządzenia nie było zasadne przeprowadzanie analizy rozwiązań przyjętych w innych krajach.

4. Podmioty, na które oddziałuje projekt Grupa Wielkość Źródło danych Oddziaływanie Organy gmin 2479 Informacja ogólnodostępna W zakresie wysokości opłat za udostępnianie danych z rejestrów mieszkańców, rejestru PESEL i sposobu ich uiszczania. Osoby fizyczne oraz Brak danych Brak danych W zakresie wysokości opłat za podmioty wskazane w art. udostępnienie danych oraz 46 ust. 2 (m. in. jednostki konieczności ich wnoszenia w organizacyjne pozyskujące określonych w przepisach dane w celach badawczych, terminach i dokumentowania statystycznych, badania wpłaty. opinii publicznej) Obywatele ok. 38 mln. Rocznik Statystyczny GUS Wprowadzane rozwiązania będą polegały na przetwarzaniu danych osobowych obywateli. Banki (komercyjne, ok. 600 Analiza własna Udostępnienie z rejestru spółdzielcze, państwowe) PESEL odpłatnie dane oraz spółdzielcze kasy o seriach, numerach i datach oszczędnościowo- ważności ważnych dowodów kredytowe) osobistych ich klientów wydanych na skutek zmiany dowodu osobistego.

5. Informacje na temat zakresu, czasu trwania i podsumowanie wyników konsultacji Zgodnie z art. 5 ustawy z dnia 7 lipca 2005 r. o działalności lobbingowej w procesie stanowienia prawa (Dz. U. z 2017 r. poz. 248 oraz z 2024 r. 1535) projektowane rozporządzenie zostanie zamieszczone w Biuletynie Informacji Publicznej na stronie podmiotowej Rządowego Centrum Legislacji, w serwisie „Rządowy Proces Legislacyjny” oraz w Biuletynie Informacji Publicznej na stronie podmiotowej Ministra Cyfryzacji - zgodnie z § 52 ust. 1 uchwały nr 190 Rady Ministrów z dnia 29 października 2013 r. – Regulamin pracy Rady Ministrów (M.P. z 2024 r. poz. 806 oraz z 2025 r. poz. 408). Planowane jest poddanie projektu konsultacjom oraz opiniowaniu.

W ramach konsultacji publicznych projekt rozporządzenia otrzymają następujące podmioty:

1) Związek Banków Polskich;

2) Krajowa Spółdzielcza Kasa Oszczędnościowo-Kredytowa;

3) Fundacja ePaństwo;

4) Stowarzyszenie Administratorów Bezpieczeństwa Informacji;

5) Stowarzyszenie Inspektorów Ochrony Danych Osobowych;

6) Stowarzyszenie Sieć Obywatelska – Watchdog Polska;

7) Stowarzyszenie Panoptykon.

W ramach opiniowania projekt rozporządzenia otrzymają następujące podmioty:

1) Prezes Urzędu Ochrony Danych Osobowych;

2) Komisja Nadzoru Finansowego;

3) Rzecznik Finansowy.

Planowane jest wyznaczenie 10-dniowego terminu na zgłaszanie uwag w ramach konsultacji oraz opiniowania.

Wyniki konsultacji i opiniowania zostaną omówione po ich zakończeniu w raporcie z konsultacji publicznych oraz z opiniowania.

Projekt zostanie również przekazany do zaopiniowania przez Komisję Wspólną Rządu i Samorządu Terytorialnego.

6. Wpływ na sektor finansów publicznych (ceny stałe z …… r.) Skutki w okresie 10 lat od wejścia w życie zmian [mln zł] 0 1 2 3 4 5 6 7 8 9 10 Łącznie (0-10) Dochody ogółem budżet państwa 0 0 0 0 0 0 0 0 0 0 0 0 JST 0 0 0 0 0 0 0 0 0 0 0 0 pozostałe jednostki (oddzielnie) 0 0 0 0 0 0 0 0 0 0 0 0 Wydatki ogółem budżet państwa 0 0 0 0 0 0 0 0 0 0 0 0 JST 0 0 0 0 0 0 0 0 0 0 0 0 pozostałe jednostki (oddzielnie) 0 0 0 0 0 0 0 0 0 0 0 0 Saldo ogółem budżet państwa 0 0 0 0 0 0 0 0 0 0 0 0 JST 0 0 0 0 0 0 0 0 0 0 0 0 pozostałe jednostki (oddzielnie) 0 0 0 0 0 0 0 0 0 0 0 0 Projektowany akt prawny nie będzie generował kosztów ani dochodów po stronie budżetu Źródła finansowania państwa. Niniejsze regulacje nie będą stanowiły podstawy do ubiegania się o dodatkowe środki finansowe z budżetu państwa na ten cel. Dodatkowe Brak dodatkowych informacji. informacje, w tym wskazanie źródeł danych i przyjętych do obliczeń założeń

7. Wpływ na konkurencyjność gospodarki i przedsiębiorczość, w tym funkcjonowanie przedsiębiorców oraz na rodzinę, obywateli i gospodarstwa domowe Skutki Czas w latach od wejścia w życie zmian 0 1 2 3 5 10 Łącznie (0-

10) W ujęciu duże przedsiębiorstwa 0 0 0 0 0 0 0 pieniężnym sektor mikro-, małych i 0 0 0 0 0 0 0 (w mln zł, średnich ceny stałe z przedsiębiorstw …… r.) rodzina, obywatele 0 0 0 0 0 0 0 oraz gospodarstwa domowe (dodaj/usuń) W ujęciu duże przedsiębiorstwa Brak wpływu. niepieniężnym Sektor mikro-, małych Brak wpływu. i średnich przedsiębiorstw rodzina, obywatele Brak wpływu. oraz gospodarstwa domowe (dodaj/usuń) Niemierzalne Obywatele Brak wpływu.

Dodatkowe informacje, w tym Nie dotyczy. wskazanie źródeł danych i przyjętych do obliczeń założeń

8. Zmiana obciążeń regulacyjnych (w tym obowiązków informacyjnych) wynikających z projektu ☒ nie dotyczy Wprowadzane są obciążenia poza bezwzględnie ☐ tak wymaganymi przez UE (szczegóły w odwróconej tabeli ☐ nie zgodności). ☒ nie dotyczy ☐ zmniejszenie liczby dokumentów ☒ zwiększenie liczby dokumentów ☐ zmniejszenie liczby procedur ☐ zwiększenie liczby procedur ☐ skrócenie czasu na załatwienie sprawy ☐ wydłużenie czasu na załatwienie sprawy ☐ inne: … ☐ inne: … Wprowadzane obciążenia są przystosowane do ich ☐ tak elektronizacji. ☐ nie ☒ nie dotyczy Nie dotyczy.

9. Wpływ na rynek pracy Projektowane rozwiązania pozostają bez wpływu na rynek pracy.

10. Wpływ na pozostałe obszary ☐ środowisko naturalne ☐ demografia ☐ informatyzacja ☐ sytuacja i rozwój regionalny ☐ mienie państwowe ☐ zdrowie ☐ sądy powszechne, ☐ inne: … administracyjne lub wojskowe

Omówienie wpływu

11. Planowane wykonanie przepisów aktu prawnego Rozporządzenie wchodzi w życie z dniem 30 czerwca 2026 r.

12. W jaki sposób i kiedy nastąpi ewaluacja efektów projektu oraz jakie mierniki zostaną zastosowane? Nie dotyczy.

13. Załączniki (istotne dokumenty źródłowe, badania, analizy itp.) Brak załączników.