ЕГН-то не е тайна

Тази седмица участвах в дискусия за защитата на личните данни в дигиталния свят (в рамките на Sofia Legal Hackers – инициатива, която събира на едно място юристи и IT специалисти). Дискусията беше два часа и имаше много аспекти, най-вече профилирането ни чрез технологични средства като бисквитки, правото да бъдем забравени от търсачките, юрисдикцията върху личните данни, когато сървърите се намират извън ЕС и др. Но обсъдихме и общият въпрос – какво са личните данни – според новия европейски регламент и според действащото законодателство.

Преди няколко седмици пък събирах на улицата подписи и ЕГН-та на хора (за регистрацията на Да, България). И някои хора бяха неуверени в това да дадат ЕГН-тата си. Това е само поредното наблюдение на феномен, който не е от вчера – ЕГН-то в България се счита за нещо, което трябва да се пази и да не се дава „току-така“.

Администратор на лични данни се става с едно заявление до КЗЛД, т.е. всеки може да стане. Въпросът е – ЕГН-то доколко е лична данна (лични данни, ако приемем, че няма дума „данна“)? ЕГН-то съдържа дата на раждане, пол и място на раждане, които са си лични данни. Според Закона за защита на личните данни:

Лични данни са всяка информация, отнасяща се до физическо лице, което е идентифицирано или може да бъде идентифицирано пряко или непряко чрез идентификационен номер или чрез един или повече специфични признаци

Само че никъде в закона не се казва, че личните данни са тайни. ЕГН-то не е тайна. Няма причина да бъде. Никой не може да ви нанесе вреда, като ви знае ЕГН-то. Личните данни, съдържащи се в ЕГН-то, са горе-долу видими когато човек ви срещне на улицата – вижда пола ви, приблизителната възраст. И доста други неща, като цвят на очите, коса, ръст и т.н. Това също са лични данни, които няма как да са тайни, освен ако не ходим с чаршафи по улиците.

„Ама някой ще изтегли кредит от мое име или ще си припише мой имот“. Не. За да извършите правно-значимо действие минимумът е да бъдете идентифициран – това става с показване на лична карта и сравняване на снимката от нея с човека, който я представа. След това трябва да положите подпис, с който да потвърдите волеизявлението си. Никой не може да отиде с ЕГН и да ви навреди. Ако можеше, отдавна да го е направил. Списъци с ЕГН-та (и други лични данни) доколкото ми е известно циркулират „в пространството“.

Факт е, че има институции, които ползват знанието на ЕГН-то като средство за идентификация при правене на електронни справки. Това е грешно и не бива да се прави, но е начин да се заобиколи липсата на електронна идентификация. Сега като има електронна идентификация, тези практики ще трябва да изчезнат.

Всъщност Естония е взела такова решение- там ЕГН-то (с почти същата структура като нашето) е публично и никой няма напъни да го крие. Не просто е публично, ами списък с ЕГН-тата им има в публичната директория на удостоверения за електронна идентичност (които са записани в личните им карти). Но за нашата електронна идентификация, тъй като тук битува мита за тайанта на ЕГН-то, се наложи да въвеждаме нов електронен идентификатор, като дори неговата публичност беше поставена под въпрос, поради което с технически „еквилибристики“ решихме да не го включваме в публичната директория (а само хеша на сертификата).

Комисията за защита на личните данни може би има малка вина за тази „параноя по пазене на ЕГН-то“. Например заради нейно решение, ЕГН-тата в Търговския регистър не са видими без регистрация, а когато отваряхме данните от Търговския регистър в машинно-четим формат, се наложи да анонимизирам ЕГН-тата. Въпреки, че дори специалният закон – този за Търговския регистър – казва, че данните са публични и това да е основната идея – като сключваш договор с друга фирма, да видиш дали този, който се представя за управител наистина е такъв.

Медиите също не помагат – говори се доста свободно за „кражба на самоличност“ и документни измами, които след детайлно разглеждане всъщност далеч не се базират на това, че някой е знаел чуждо ЕГН.

Та нека не си пазим ЕГН-то като очите – от никъде не следва, че то е тайно. Съдържа лични данни, но доста по-незначителни такива от многото лични данни, които се събират за нас например през онлайн активността ни. защитата на личното пространство е много повече от това да си крием ЕГН-то.