UODO: PESEL, NIP i zgodność z RODO
Zaktualizowano na 2026 rok
Czym jest UODO?
UODO to polski organ ochrony danych osobowych — Urząd Ochrony Danych Osobowych. Egzekwuje przepisy RODO na terytorium Polski.
W 2024 roku urząd przeprowadził badanie wdrożeniowe. Wynik był jednoznaczny: 89% narzędzi do wykrywania danych osobowych stosowanych przez organizacje w Polsce nie wykrywa poprawnie numeru PESEL.
Polska jest ważnym centrum outsourcingu biznesowego (BPO). Przetwarza 2,3 miliona rekordów klientów z UE każdego dnia. Ta luka stwarza realne ryzyko — zarówno w zakresie jurysdykcji UODO, jak i każdego unijnego organu nadzorczego, którego obywatele powierzają dane polskim firmom. Szerszy kontekst znajdziesz w naszym przewodniku po zgodności z RODO.
PESEL: standard techniczny
PESEL — Powszechny Elektroniczny System Ewidencji Ludności — to jedenastocyfrowy krajowy numer identyfikacyjny. Koduje pięć grup danych:
- Cyfry 1–2: Dwie ostatnie cyfry roku urodzenia
- Cyfry 3–4: Kod okresu urodzenia (patrz niżej)
- Cyfry 5–6: Dzień urodzenia
- Cyfry 7–10: Numer porządkowy (nieparzyste = mężczyzna, parzyste = kobieta)
- Cyfra 11: Cyfra kontrolna
Cyfra kontrolna jest obliczana metodą ważonej sumy. Pierwsze dziesięć cyfr mnoży się przez wagi (1, 3, 7, 9, 1, 3, 7, 9, 1, 3). Wyniki się sumuje, a następnie oblicza resztę z dzielenia przez 10. Wynik równy zero oznacza, że cyfra kontrolna jest prawidłowa; wynik niezerowy — że numer jest nieprawidłowy.
Problem kodu okresu urodzenia
Cyfry 3–4 kodują jednocześnie okres urodzenia i wiek. Urząd wymaga obsługi wszystkich pięciu zakresów:
| Wiek | Zakres kodu |
|---|---|
| XIX w. | 81–92 |
| XX w. | 01–12 |
| XXI w. | 21–32 |
| XXII w. | 41–52 |
| XXIII w. | 61–72 |
Większość narzędzi obsługuje wyłącznie zakres dla XX wieku i pomija osoby urodzone po 1999 roku. Kody 21–32 zastępują kody 01–12 dla urodzeń po 1999 roku — dotyczy to najbardziej aktywnej cyfrowo grupy wiekowej. Pełna weryfikacja wszystkich pięciu zakresów jest podstawowym wymogiem zgodności.
NIP i REGON: identyfikatory podmiotów gospodarczych
NIP (Numer Identyfikacji Podatkowej) to dziesięciocyfrowy numer podatkowy widniejący na fakturach, umowach i listach płac. Cyfra kontrolna obliczana jest przez pomnożenie pierwszych dziewięciu cyfr przez wagi (6, 5, 7, 2, 3, 4, 5, 6, 7) i obliczenie reszty z dzielenia przez 11.
NIP występuje w dwóch wariantach: osoby fizycznej (NIP osoby fizycznej) i podmiotu gospodarczego (NIP podmiotu).
REGON to statystyczny numer identyfikacji przedsiębiorstwa. Występuje w wariantach dziewięcio- i czternastocyfrowym, każdy z własnym algorytmem weryfikacji. REGON pojawia się w umowach i dokumentach dostawców.
Dokumentacja kadrowa często zawiera PESEL obok NIP i REGON. Pełna zgodność wymaga wykrywania wszystkich trzech typów. Szczegóły dotyczące zabezpieczeń technicznych znajdziesz na naszej stronie poświęconej bezpieczeństwu i zgodności.
Wielojurysdykcyjna ekspozycja sektora BPO
Firmy BPO w Polsce przetwarzają dane klientów z Europy Zachodniej:
- Dane klientów niemieckich banków obsługiwane w Warszawie
- Roszczenia ubezpieczeniowe klientów francuskich rozpatrywane w Krakowie
- Dane medyczne z Wielkiej Brytanii zarządzane przez back-office we Wrocławiu
Błąd w wykrywaniu danych stwarza jednoczesną ekspozycję wobec czterech organów regulacyjnych:
- UODO — za niewystarczające środki ochrony danych polskich obywateli
- BfDI / Landesdatenschutzbehörden — za dane obywateli Niemiec
- CNIL — za dane obywateli Francji
- ICO — za dane obywateli Wielkiej Brytanii
Zgodność w środowisku wielojurysdykcyjnym wymaga narzędzi pokrywających pełen zestaw europejskich identyfikatorów. PESEL, NIP i REGON stanowią lokalną podstawę, ale gdy w zakresie przetwarzania znajdują się dane z innych krajów, konieczna jest także obsługa np. Steuer-ID, francuskiego NIR czy holenderskiego BSN. Każdy krajowy identyfikator ma własny format i algorytm weryfikacji — luka w wykrywaniu jednego z nich tworzy ryzyko dla całego procesu. Więcej informacji znajdziesz w naszym przewodniku po wielojęzycznym wykrywaniu PII.