Logujesz się na www.podatki.gov.pl? RPO alarmuje o zagrożeniu bezpieczeństwa danych podatników

Obywatel, który zalogował się na swój profil na stronie internetowej www.podatki.gov.pl, uzyskał dostęp do szczegółowych danych innego przedsiębiorcy – alarmuje rzecznik praw obywatelskich w piśmie do ministra finansów.

Oczekuje wyjaśnień, bo obawia się, że zgłoszony jednostkowy przypadek może sygnalizować nieprawidłowość systemu, który obejmuje miliony profili.

„Dotychczas nie wpływały do nas zgłoszenia dotyczące podobnych problemów” – informuje Ministerstwo Finansów w odpowiedzi na pytanie DGP. Dodaje, że zapytanie rzecznika nie zawiera szczegółów umożliwiających analizę wskazanego incydentu, dlatego resort poprosił RPO o dodatkowe informacje, które by to umożliwiły.

W piśmie do MF rzecznik poinformował, że jeden z podatników, logując się na swój profil na stronie Podatki.gov.pl, uzyskał dostęp do danych innego przedsiębiorcy, takich jak numery: REGON, PESEL i NIP, imię i nazwisko, data urodzenia, adres, e-mail, nr rachunku i SWIFT.

Rzecznik obawia się, że skala naruszeń może być znacznie większa. Przypomina, że w świetle danych dostępnych na stronie internetowej resortu finansów Krajowa Administracja Skarbowa przygotowała zeznania roczne za 2021 r. dla 23 295 876 podatników. Podatnicy zaś korzystający z usługi Twój e-PIT na 24 lutego 2022 r. złożyli ponad 1 mln formularzy PIT za 2021 r., w tym m.in. 843,5 tys. deklaracji PIT-37, 117,8 tys. deklaracji PIT-28, 26,9 tys. deklaracji PIT-38.

W związku z tym rzecznik poprosił MF o informacje o skali nieprawidłowości i o działaniach podjętych przez resort w tym zakresie.

Równolegle wystąpił w tej sprawie do prezesa Urzędu Ochrony Danych Osobowych. Przywołał szeroko komentowany w ubiegłym roku przypadek holenderskiego organu ds. ochrony danych osobowych, który nałożył wysoką karę pieniężną na organ podatkowy. „Jednym z motywów kary było niezastosowanie odpowiednich zabezpieczeń i brak wdrożenia odpowiednich środków technicznych i organizacyjnych dotyczących bezpieczeństwa dostępu i danych osobowych w systemie” – informuje rzecznik.

Przypomina, że zgodnie z art. 5 ust. 1 lit. f unijnego rozporządzenia RODO dane przetwarzane muszą być w sposób zapewniający odpowiednie bezpieczeństwo, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych (zasada integralności i poufności).©℗