Podejrzenie wyłudzenia PESEL w rekrutacji – co zrobić

Kiedy żądanie numeru PESEL w rekrutacji budzi wątpliwości?

Na etapie ubiegania się o zatrudnienie pracodawca może żądać od kandydata tylko danych wskazanych w art. 22¹ § 1 ustawy z dnia 26 czerwca 1974 r. – Kodeks pracy, czyli imienia i nazwiska, daty urodzenia, danych kontaktowych wskazanych przez kandydata oraz informacji o wykształceniu, kwalifikacjach zawodowych i przebiegu dotychczasowego zatrudnienia – ale tylko wtedy, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku. Numer PESEL nie należy do podstawowego katalogu danych pobieranych na tym etapie.

Numer PESEL może pojawić się dopiero później, gdy dochodzi już do zatrudnienia, ponieważ zgodnie z art. 22¹ § 3 Kodeksu pracy pracodawca żąda od osoby zatrudnianej m.in. numeru PESEL, a w razie jego braku – rodzaju i numeru dokumentu potwierdzającego tożsamość. Dodatkowo zgodnie z art. 22¹ § 4 Kodeksu pracy innych danych można żądać tylko wtedy, gdy obowiązek ich podania wynika z odrębnego przepisu.

To oznacza, że prośba o PESEL już na początku rekrutacji powinna wzbudzić ostrożność, chyba że rekruter jasno wyjaśni podstawę prawną i cel takiego żądania. W praktyce wiele prób wyłudzenia danych podszywa się pod proces zatrudnienia, a potem urywa kontakt, dlatego warto też sprawdzić, co zrobić, gdy ktoś podszywa się pod Ciebie w internecie.

Co zrobić od razu po powzięciu podejrzenia?

Jeżeli podejrzewasz, że numer PESEL został pozyskany nieuczciwie, działaj równolegle na kilku poziomach:

• zabezpiecz ogłoszenie o pracę, treść korespondencji, adres e-mail, numer telefonu, linki do formularzy i zrzuty ekranu,
• ustal, czy podmiot rekrutujący rzeczywiście istnieje i czy osoba kontaktująca się działała w jego imieniu,
• sprawdź, czy numer PESEL jest nadal zastrzeżony i nie cofnięto zastrzeżenia,
• obserwuj rachunki bankowe, pocztę elektroniczną i SMS-y autoryzacyjne,
• rozważ pobranie raportu BIK oraz kontrolę, czy nie doszło do prób zaciągnięcia zobowiązań.

Samo zastrzeżenie numeru PESEL ma podstawę w art. 23a-23c ustawy z dnia 24 września 2010 r. o ewidencji ludności. Instytucje finansowe i inni wskazani w ustawie uczestnicy obrotu mają w określonych przypadkach obowiązek weryfikować zastrzeżenie numeru PESEL przed dokonaniem czynności. Nie daje to jednak pełnej gwarancji, że ktoś nie spróbuje wykorzystać danych w inny sposób, np. do podszywania się, zakładania kont lub działań przygotowawczych.

Jeżeli obawiasz się, że sprawa może być elementem większego cyberoszustwa, warto działać szybko także wobec banku, operatora płatności i poczty elektronicznej.

Czy w takiej sytuacji doszło już do przestępstwa?

Nie zawsze. Sam fakt, że rekruter przestał odpowiadać, nie dowodzi jeszcze popełnienia czynu zabronionego. Aby mówić o odpowiedzialności karnej, potrzebne są konkretne ustalenia dotyczące sposobu działania sprawcy i skutku jego działania.

Jeżeli ktoś wykorzystuje Twoje dane osobowe, podszywając się pod Ciebie w celu wyrządzenia szkody majątkowej lub osobistej, może wchodzić w grę art. 190a § 2 ustawy z dnia 6 czerwca 1997 r. – Kodeks karny. Przepis ten penalizuje podszywanie się pod inną osobę z wykorzystaniem jej wizerunku, innych danych osobowych albo innych danych, za pomocą których jest ona publicznie identyfikowana. Przy takich stanach faktycznych pomocny bywa także materiał omawiający art. 190a § 2 K.k. w praktyce.

Jeżeli sprawca użył danych po to, aby uzyskać pieniądze, kredyt, sprzęt, usługę albo doprowadzić inną osobę do niekorzystnego rozporządzenia mieniem, możliwe jest także zakwalifikowanie czynu z art. 286 § 1 Kodeksu karnego, czyli oszustwa.

W niektórych sprawach może dojść również do bezprawnego pozyskania lub przetwarzania danych osobowych. Z punktu widzenia ochrony danych znaczenie mają przede wszystkim zasady z art. 5 ust. 1 lit. a, b i c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), czyli zgodność z prawem, ograniczenie celu i minimalizacja danych. Jeżeli podmiot rekrutacyjny zbierał dane bez podstawy prawnej lub w celu innym niż realna rekrutacja, możliwe jest złożenie skargi do Prezesa Urzędu Ochrony Danych Osobowych na podstawie art. 77 ust. 1 RODO.

Gdzie zgłosić sprawę?

W zależności od tego, co już się wydarzyło, możesz podjąć kilka działań równolegle:

Zawiadomienie o podejrzeniu popełnienia przestępstwa można złożyć ustnie do protokołu albo pisemnie. Obowiązek przyjęcia ustnego zawiadomienia i sporządzenia protokołu wynika z art. 304a § 1 ustawy z dnia 6 czerwca 1997 r. – Kodeks postępowania karnego, a sam społeczny obowiązek zawiadomienia o przestępstwie z urzędu przewiduje art. 304 § 1 Kodeksu postępowania karnego. W sprawach tego typu najpraktyczniej jest złożyć zawiadomienie na Policji albo bezpośrednio w prokuraturze rejonowej.

W zawiadomieniu opisz:

• kiedy i gdzie znalazłeś ofertę pracy,
• jakie dane przekazałeś,
• kto się z Tobą kontaktował i z jakich kanałów,
• dlaczego uznałeś sytuację za podejrzaną,
• czy doszło już do konkretnej szkody albo prób użycia danych.

Czy można żądać informacji od rzekomego rekrutera lub firmy?

Tak. Jeżeli wiesz, kto formalnie był administratorem danych, możesz zażądać informacji o przetwarzaniu danych osobowych. Podstawę daje art. 15 RODO, który przewiduje prawo dostępu do danych, a także informacji m.in. o celach przetwarzania, kategoriach danych i odbiorcach. Możesz też żądać usunięcia danych, jeżeli nie ma podstaw do ich dalszego przetwarzania, na podstawie art. 17 ust. 1 RODO.

Jeżeli jednak od początku miałeś do czynienia z fikcyjną rekrutacją, takie żądanie może pozostać bez odpowiedzi. Wtedy większe znaczenie ma zabezpieczenie dowodów i zgłoszenie sprawy organom ścigania oraz ewentualnie do PUODO.

Jakie skutki może ograniczyć zastrzeżenie PESEL?

Zastrzeżenie numeru PESEL jest bardzo przydatne, ale trzeba realistycznie ocenić jego zakres. Mechanizm ten ma utrudnić wykorzystanie danych przede wszystkim przy czynnościach, przy których podmioty mają obowiązek sprawdzania zastrzeżenia numeru PESEL. Zakres tych obowiązków wynika z przepisów ustawy o ewidencji ludności oraz przepisów szczególnych dotyczących m.in. sektora finansowego.

Jeżeli więc ktoś chciałby zaciągnąć zobowiązanie na Twoje dane, zastrzeżenie może zadziałać ochronnie. Nie oznacza to jednak, że dane nie mogą zostać użyte do innych działań, np. do zakładania fałszywych kont, kontaktowania się z innymi osobami w Twoim imieniu albo prób obejścia zabezpieczeń. Dlatego w razie podejrzenia podszywania się nie należy poprzestawać na samym zastrzeżeniu numeru.

Przykłady

Poniższe sytuacje pokazują, jak podobne zdarzenia mogą wyglądać w praktyce i kiedy warto reagować od razu.

FAQ

Czy samo podanie PESEL oznacza, że ktoś popełnił przestępstwo?

Nie. O przestępstwie można mówić dopiero wtedy, gdy występują konkretne znamiona czynu zabronionego, np. podszywanie się z art. 190a § 2 Kodeksu karnego albo oszustwo z art. 286 § 1 Kodeksu karnego. Samo podejrzenie jednak uzasadnia działania zabezpieczające.

Czy mogę zgłosić sprawę, jeśli nie mam jeszcze szkody finansowej?

Tak. Można zawiadomić o podejrzeniu popełnienia przestępstwa także wtedy, gdy szkoda jeszcze się nie zmaterializowała, ale okoliczności wskazują na próbę wykorzystania danych. W praktyce warto to zrobić jak najszybciej.

Czy pracodawca ma prawo żądać PESEL już przy wysłaniu CV?

Co do zasady nie wynika to z art. 22¹ § 1 Kodeksu pracy. Numer PESEL pojawia się standardowo dopiero wobec osoby zatrudnianej na podstawie art. 22¹ § 3 Kodeksu pracy, chyba że wcześniej istnieje wyraźna podstawa z przepisu szczególnego.

Czy warto składać skargę do PUODO, jeśli sprawa wygląda na oszustwo?

Tak, jeżeli doszło do nielegalnego pozyskania lub przetwarzania danych. Skarga do PUODO nie zastępuje zawiadomienia o przestępstwie, ale może być równoległym środkiem ochrony na podstawie art. 77 ust. 1 RODO.

Podsumowanie

W opisanej sytuacji nie można automatycznie przesądzić, że doszło już do wyłudzenia lub użycia numeru PESEL, ale okoliczności zdecydowanie uzasadniają ostrożność. Kluczowe jest szybkie zabezpieczenie dowodów, sprawdzenie skuteczności zastrzeżenia numeru PESEL, monitorowanie aktywności finansowej i – jeżeli podejrzenie jest realne – złożenie zawiadomienia do Policji lub prokuratury. Jeżeli dane zebrano bez podstawy prawnej pod pozorem rekrutacji, rozważ także skargę do PUODO.

Źródła:

Ustawa z dnia 6 czerwca 1997 r. – Kodeks karny – Dz.U. 1997 nr 88 poz. 553

Ustawa z dnia 6 czerwca 1997 r. – Kodeks postępowania karnego – Dz.U. 1997 nr 89 poz. 555

Ustawa z dnia 26 czerwca 1974 r. – Kodeks pracy – Dz.U. 1974 nr 24 poz. 141

Ustawa z dnia 24 września 2010 r. o ewidencji ludności – Dz.U. 2010 nr 217 poz. 1427

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) – EUR-Lex