Numer NIP i REGON – czy to dane osobowe

Czym jest NIP? To indywidualny numer identyfikacji podatkowej składający się z 10 cyfr nadawany w celu identyfikacji podatników w Polsce. Z kolei 14-cyfrowy numer REGON (czyli numer w Krajowym Rejestrze Urzędowym Podmiotów Gospodarki Narodowej) pozwala zidentyfikować podmiot w celach statystycznych. Numery NIP i REGON są więc ciągami cyfr wskazującymi na konkretny podmiot prawa, w szczególności przedsiębiorcę.

Za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie:

•  imienia i nazwiska,

•  numeru identyfikacyjnego,

• danych o lokalizacji,

•  identyfikatora internetowego

· jednego bądź kilku szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość.

Zarówno NIP jak i REGON to numery identyfikacyjne w przypadku osoby fizycznej i jako takie stanowią dane osobowe. Pozwalają one bowiem na identyfikację konkretnej osoby fizycznej, zwłaszcza prowadzącej działalność gospodarczą np. z wykorzystaniem wyszukiwarki Centralnej

Ewidencji i Informacji o Działalności Gospodarczej, Krajowego Rejestru Sądowego ale też rejestru REGON w wyszukiwarce Głównego Urzędu Statystycznego (GUS).

Nie ma zatem podstawy do tego, aby w sposób widoczny umieszczać na kopercie (lub w jej okienku) numery NIP lub REGON, jeżeli nie jest to potrzebne do doręczenia pisma właściwemu adresatowi. Dane osobowe można przetwarzać tylko w celu, w jakim zostały one pozyskane - zgodnie z regułą ograniczenia celu przetwarzania wynikającą z RODO. Co więcej, umieszczenie tych danych w sposób widoczny na kopercie nie służy innemu celowi, jakim jest doręczenie przesyłki, bo dane te nie mają żadnego znaczenia wobec możliwości doręczenia przesyłki. Oznacza to, że są one użyte bez jakiegokolwiek celu, a to już stanowi w sposób oczywisty naruszenie zasad ochrony danych osobowych.

Najdobitniej wyraża to zasada minimalizacji danych z art. 5 ust. 1 lit. c ogólnego rozporządzenia o ochronie danych (RODO). Zgodnie z nią dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Nie zmienia tego fakt, że NIP i REGON można sprawdzić w ogólnodostępnych ewidencjach typu baza REGON, CEIDG czy KRS.