Zastrzeżenie PESEL – jak zastrzec, cofnąć i co zmienia w pracy

Najprościej utrzymywać PESEL zastrzeżony i cofać zastrzeżenie tylko wtedy, gdy jest to potrzebne do konkretnej czynności. Można zrobić to w aplikacji mObywatel, przez oficjalną usługę rządową uruchomioną z gov.pl albo w urzędzie gminy. Cofnięcie może być bezterminowe lub czasowe, z automatycznym ponownym zastrzeżeniem.

Zastrzeżenie nie zastępuje ochrony dokumentów, kont i danych logowania. Jeżeli PESEL wyciekł z systemu HR, arkusza płacowego, skanu dokumentu lub formularza phishingowego, trzeba ograniczyć także pozostałe skutki: zabezpieczyć konta, zweryfikować podejrzane kontakty i zgłosić zdarzenie tam, gdzie może dotyczyć danych służbowych.

Co daje zastrzeżenie PESEL, a czego nie blokuje

Rejestr Zastrzeżeń Numerów PESEL powstał na podstawie ustawy z 7 lipca 2023 r. o zmianie niektórych ustaw w celu ograniczania niektórych skutków kradzieży tożsamości. Samo zastrzeganie numerów uruchomiono w listopadzie 2023 r., natomiast kluczowe obowiązki weryfikacji przy określonych czynnościach zaczęły działać 1 czerwca 2024 r.

W praktyce zastrzeżenie tworzy dodatkową barierę tam, gdzie przepisy wymagają sprawdzenia rejestru. Dotyczy to między innymi określonych rachunków, kredytów, pożyczek, leasingu, kredytu konsumenckiego, części czynności notarialnych oraz wydania duplikatu karty SIM. Jeżeli numer jest zastrzeżony, instytucja objęta danym obowiązkiem nie powinna przejść przez zwykłą ścieżkę zawarcia umowy lub wykonania wskazanej czynności.

Ustawa przewiduje także skutek dla części umów zawartych mimo aktywnego zastrzeżenia: w sytuacjach objętych konkretnymi przepisami bank lub kredytodawca nie może dochodzić od konsumenta roszczenia z takiej umowy ani zbyć powstałej wierzytelności. Nie jest to jednak uniwersalna zasada dla każdej umowy i każdego użycia numeru PESEL — zakres wynika z przepisów dotyczących danej czynności.

Zastrzeżony PESEL nie przestaje być Twoim numerem. Rządowa usługa wskazuje wprost, że nadal można między innymi zarejestrować się do lekarza, zrealizować receptę, wypłacić pieniądze z bankomatu, zlecić przelew, wyjechać za granicę i załatwiać sprawy urzędowe. Zastrzeżenie nie blokuje też zwykłej pracy ani nie unieważnia dowodu osobistego.

W banku działa też szczególna reguła dla dużej wypłaty gotówki w placówce: przy dużej wypłacie gotówki w placówce, przekraczającej ustawowy próg liczony jako trzykrotność minimalnego wynagrodzenia, bank sprawdza rejestr. Jeśli PESEL jest zastrzeżony, przepisy przewidują 12-godzinne wstrzymanie takiej wypłaty. Nie dotyczy to zwykłej wypłaty z bankomatu.

Jak działa zastrzeżenie PESEL krok po kroku — i gdzie można zatrzymać nadużycie

1. Oszust szuka danych, które pozwolą wiarygodnie podszyć się pod konkretną osobę. PESEL może pochodzić z wycieku, niepotrzebnej kopii dokumentu, zbyt szeroko udostępnionego arkusza albo danych przekazanych na fałszywej stronie. Sam numer nie otwiera automatycznie konta ani nie daje dostępu do banku, ale w połączeniu z imieniem, nazwiskiem, adresem, numerem dokumentu czy informacją o pracodawcy może ułatwić kolejne próby. Punkt zatrzymania: firma zbiera i udostępnia tylko dane potrzebne do konkretnego celu, a pracownik nie wysyła skanów dokumentów i arkuszy z PESEL-em bez uzasadnionej potrzeby.

2. Atakujący wybiera pretekst, który ma wywołać szybkie działanie. Może odwołać się do rzekomego kredytu, blokady konta, „użycia PESEL-u” albo obowiązku potwierdzenia tożsamości. Liczy na strach i na to, że odbiorca kliknie w podany link, zamiast samodzielnie otworzyć znaną usługę. Punkt zatrzymania: nie korzystasz z drogi wskazanej w niespodziewanej wiadomości; uruchamiasz mObywatela lub wpisujesz gov.pl samodzielnie.

3. Jeśli celem jest czynność objęta ustawą, pojawia się kontrola rejestru. Bank, kredytodawca, wskazany dostawca usług płatniczych, notariusz albo operator telekomunikacyjny sprawdza status w zakresie przewidzianym dla danej czynności. Aktywne zastrzeżenie ma zatrzymać proces tam, gdzie przepisy wymagają odmowy, wstrzymania albo innego ustawowego skutku. Punkt zatrzymania: pracownik obsługi nie obchodzi wyniku rejestru i nie traktuje zastrzeżenia jako przeszkody, którą trzeba „ręcznie ominąć”.

4. Oszust może spróbować nakłonić właściciela numeru do cofnięcia ochrony. Najgroźniejszy moment powstaje wtedy, gdy wiadomość lub rozmówca każe „odblokować PESEL” na czas rzekomej weryfikacji. Cofnięcie jest legalną funkcją dla właściciela numeru, ale nie powinno być wykonywane dlatego, że ktoś z nieoczekiwanego kontaktu podał taki instruktaż. Punkt zatrzymania: cofasz zastrzeżenie tylko z własnej inicjatywy, gdy wiesz, jaką realną czynność właśnie wykonujesz i z jaką instytucją.

5. Po błędzie liczy się szybkie ograniczenie dalszych możliwości. Jeśli PESEL lub dane dokumentu trafiły do obcej osoby, zastrzeżenie numeru ogranicza część przyszłych nadużyć, ale nie cofa ujawnienia danych. Punkt zatrzymania: zastrzegasz PESEL, sprawdzasz historię weryfikacji, zabezpieczasz ujawnione konta lub karty i zgłaszasz służbowe zdarzenie do IT, bezpieczeństwa albo osoby odpowiedzialnej za ochronę danych w Twojej organizacji.

Jak zastrzec PESEL w mObywatelu, przez gov.pl i w urzędzie gminy

Dla osoby pełnoletniej z numerem PESEL zastrzeżenie jest bezpłatne. Rządowa usługa przewiduje trzy praktyczne drogi.

W aplikacji mObywatel otwórz usługę „Zastrzeż PESEL”, sprawdź aktualny status i wybierz zastrzeżenie. Jeżeli aplikacji nie masz albo nie chcesz jej używać, nie instaluj jej z linku w wiadomości — pobierz ją ze sklepu właściwego dla swojego telefonu, wyszukując aplikację samodzielnie.

Przez internet zacznij od wpisania gov.pl w przeglądarce i wyszukania usługi „Zastrzeż swój numer PESEL lub cofnij zastrzeżenie”. Serwis poprowadzi do oficjalnej usługi mObywatel w sieci i logowania metodą udostępnioną przez państwowy system. To ważne rozróżnienie: bezpieczna ścieżka zaczyna się od adresu, który wybierasz sam, a nie od przycisku „zastrzeż teraz” w SMS-ie lub e-mailu.

W urzędzie gminy możesz złożyć podpisany wniosek i potwierdzić tożsamość dokumentem. Wpis do rejestru jest wykonywany niezwłocznie i bez opłaty.

Po zastrzeżeniu możesz w usłudze sprawdzać historię swoich zmian oraz informacje o podmiotach, które weryfikowały status numeru. Taka historia pomaga odróżnić formalność, którą rzeczywiście inicjowałeś, od nieznanej próby wykorzystania danych.

Jak czasowo cofnąć zastrzeżenie przed kredytem, umową lub wizytą u notariusza

Cofnięcie zastrzeżenia nie musi oznaczać rezygnacji z ochrony na stałe. Rządowa usługa udostępnia dwa warianty:

• cofnięcie bezterminowe — numer pozostaje niezastrzeżony, dopóki ponownie go nie zastrzeżysz,
• czasowe cofnięcie — wskazujesz dzień i godzinę, kiedy numer ma zostać automatycznie zastrzeżony ponownie.

Cofnięcie może być potrzebne na przykład przed zawarciem objętej przepisami umowy kredytu lub pożyczki, leasingiem, określoną czynnością dotyczącą nieruchomości u notariusza albo wydaniem duplikatu karty SIM. Nie zakładaj jednak, że każda umowa wymaga „odblokowania” PESEL-u. Jeżeli pracodawca, dostawca albo inny kontrahent prosi o cofnięcie zastrzeżenia bez jasnej podstawy związanej z konkretną czynnością, sprawdź wymaganie niezależnie.

Po cofnięciu zastrzeżenia kolejna zmiana statusu może nastąpić dopiero po 30 minutach. Dlatego przy jednorazowej formalności warto ustawić automatyczne ponowne zastrzeżenie zamiast liczyć na pamięć. Samo cofnięcie pojawia się w rejestrze od razu; trzydziestominutowa przerwa dotyczy kolejnej zmiany statusu.

W pracy ta zasada ma jeszcze jeden wymiar: pracownik obsługi klienta nie powinien sugerować klientowi pozostawienia PESEL-u niezastrzeżonego „na wszelki wypadek”. Jeśli dana czynność wymaga niezastrzeżonego numeru, klient sam decyduje o zmianie statusu i po zakończeniu formalności może wrócić do ochrony.

Kiedy warto zastrzec PESEL po wycieku, zgubieniu dowodu lub podejrzanym kredycie

Najbezpieczniejszy model to utrzymywanie numeru w stanie zastrzeżonym, a nie czekanie na pierwszy incydent. Zastrzeżenie ma jednak szczególne znaczenie, gdy pojawia się sygnał, że dane mogły trafić poza Twoją kontrolę.

Po wycieku danych z systemu kadrowego, biura rachunkowego, portalu klienta lub innej usługi zastrzeż PESEL, jeżeli naruszenie mogło objąć ten numer lub dane dokumentu tożsamości. UODO wskazuje zastrzeżenie jako jedno z działań ograniczających potencjalne skutki naruszenia. Trzeba też liczyć się z tym, że ujawnione dane posłużą do bardziej przekonujących SMS-ów, e-maili lub telefonów.

Dobry przykład takiego przejścia od wyłudzenia danych do ryzyka kradzieży tożsamości pokazuje fałszywy SMS podszywający się pod ZUS, który prowadził do formularza wyłudzającego PESEL i dane karty. Mechanizm obrony jest szerszy niż samo zastrzeżenie: nie należy dokładać oszustowi kolejnych danych po pierwszym wycieku.

Po zgubieniu lub kradzieży dowodu zgłoś utratę dokumentu. Zgodnie z przepisami obowiązującymi od 1 czerwca 2024 r. zgłoszenie utraty dowodu osobistego powoduje automatyczne zastrzeżenie numeru PESEL. Otrzymanie nowego dowodu nie cofa tego zastrzeżenia automatycznie.

Przy podejrzanej próbie kredytu lub innej umowy najpierw zastrzeż numer, jeśli nie był zastrzeżony. Potem sprawdź historię weryfikacji w usłudze i skontaktuj się z instytucją, której zapytania nie rozpoznajesz, korzystając z danych znalezionych niezależnie. Jeżeli doszło do oszustwa finansowego, skontaktuj się z bankiem i rozważ zawiadomienie Policji.

Kto musi sprawdzać rejestr zastrzeżeń i co to znaczy dla obsługi klienta

Ustawa z 7 lipca 2023 r. zmieniła kilka ustaw sektorowych. Dlatego nie istnieje jedna zasada „każda firma sprawdza PESEL przed każdą umową”. Obowiązek zależy od rodzaju podmiotu i czynności.

Banki i instytucje kredytowe sprawdzają rejestr między innymi przed otwarciem wskazanych rachunków, zawarciem kredytu, pożyczki lub leasingu oraz przed zmianą takich umów zwiększającą zadłużenie. Bank sprawdza też status przed dużą wypłatą gotówki w placówce, gdy suma wypłat przekracza próg określony w Prawie bankowym.

Kredytodawcy udzielający kredytu konsumenckiego mają obowiązek weryfikacji przed zawarciem umowy oraz przed zmianą zwiększającą zadłużenie, z wyjątkami zapisanymi w ustawie o kredycie konsumenckim. Wskazani dostawcy usług płatniczych sprawdzają status przy określonych rachunkach płatniczych i kredycie w rachunku. Odpowiednie obowiązki obejmują również SKOK-i.

Notariusz musi sprawdzić rejestr przed wskazanymi w Prawie o notariacie czynnościami dotyczącymi nabycia, zbycia lub obciążenia nieruchomości, użytkowania wieczystego i spółdzielczego własnościowego prawa do lokalu oraz pełnomocnictwami do takich czynności. Przy innych czynnościach notarialnych przepisy przewidują możliwość sprawdzenia i odmowy.

Dostawca publicznie dostępnych usług telekomunikacyjnych sprawdza rejestr przed wydaniem kopii lub wtórnika karty SIM albo innego środka identyfikującego abonenta, w tym jego cyfrowego odpowiednika. Przy aktywnym zastrzeżeniu wydanie jest co do zasady odmawiane.

Dla pracownika obsługi klienta oznacza to, że status PESEL jest elementem kontroli procesu, nie uprzejmą sugestią. Pracownik powinien wiedzieć, w którym dokładnie kroku jego procedura wymaga sprawdzenia rejestru, jaki wynik zatrzymuje czynność i co wolno zrobić przy niedostępności systemu. Nie powinien prosić klienta o podanie danych logowania do mObywatela, wykonywać zastrzeżenia za klienta ani przekonywać go do cofnięcia ochrony na dłużej niż wymaga konkretna formalność.

Przykład ilustracyjny: konsultant operatora obsługuje prośbę o duplikat karty SIM. Klient zna dane abonenta, ale jego PESEL jest zastrzeżony. To właśnie moment, w którym procedura ma przerwać wydanie duplikatu; dodatkowa pewność konsultanta, że „to naprawdę ten klient”, nie zastępuje ustawowej kontroli.

Wyciek PESEL pracowników zaczyna się często od zwykłych nawyków w firmie

PESEL może wyciec nie tylko z dużej bazy. Wystarczy codzienna praktyka, która daje zbyt wielu osobom dostęp do danych albo utrwala je w miejscach, gdzie nie są już potrzebne.

HR i rekrutacja. CV lub formularz rekrutacyjny trafia do wspólnej skrzynki, a kandydat podaje więcej danych, niż firma potrzebuje na tym etapie. Rozwiązaniem jest zasada minimalizacji danych — zbieranie tylko informacji potrzebnych do konkretnego celu — oraz ograniczenie dostępu do osób prowadzących rekrutację.

Kadry, płace i biuro rachunkowe. Arkusz z PESEL-ami pracowników jest przesyłany jako zwykły załącznik do szerokiej listy odbiorców. Zamiast tego organizacja powinna używać zatwierdzonego kanału wymiany plików, nadawać dostęp konkretnym osobom i regularnie odbierać go tym, którzy już go nie potrzebują.

IT i helpdesk. Do zgłoszenia trafia skan dowodu, bo użytkownik chce „potwierdzić tożsamość”. Bezpieczniejszy proces określa z góry, jakie dane są naprawdę potrzebne do weryfikacji pracownika i nie zamienia systemu zgłoszeniowego w magazyn kopii dokumentów.

Księgowość i faktura dostawcy. Pracownik dostaje prośbę o dosłanie pełnego skanu dokumentu osoby prowadzącej jednoosobową działalność „do rozliczenia faktury”. Zanim wyśle dokument, powinien ustalić, jaka informacja jest faktycznie potrzebna, kto jej żąda i przez jaki zatwierdzony kanał ma być przekazana.

Pilna wiadomość od prezesa. Osoba podszywająca się pod przełożonego prosi o skan dowodu pracownika do rzekomej pilnej formalności. Znajomość nazwiska prezesa, projektu czy kontrahenta nie potwierdza nadawcy. Taki nietypowy wniosek o dane należy potwierdzić z przełożonym znanym numerem lub w firmowym komunikatorze, niezależnie od otrzymanej wiadomości.

Jeżeli firma ustali, że doszło do wycieku PESEL pracowników, komunikat do osób dotkniętych zdarzeniem powinien mówić konkretnie: jakie dane mogły zostać ujawnione, co organizacja już zrobiła, gdzie pracownik ma zgłaszać podejrzane kontakty oraz jak samodzielnie zastrzec PESEL. Najbezpieczniej nazwać oficjalne kanały — aplikację mObywatel, gov.pl lub urząd gminy — zamiast budować w pracowniku nawyk klikania w przycisk „zastrzeż” z e-maila.

Oszustwo „na zastrzeżenie PESEL” wykorzystuje strach przed kradzieżą tożsamości

Wiadomość o rzekomym użyciu PESEL-u brzmi wiarygodnie, bo dotyka realnego zagrożenia. Oszust może wysłać SMS, e-mail albo zadzwonić, podając się za bank, urząd, operatora lub pracownika „bezpieczeństwa”. Jego celem nie musi być sam PESEL — może chcieć danych logowania do banku lub mObywatela, numeru dokumentu, danych karty albo zatwierdzenia operacji.

Najczęściej wykorzystywane są trzy dźwignie psychologiczne. Strach ma skrócić czas na namysł. Autorytet ma sprawić, że odbiorca wykona polecenie „banku” albo „urzędu”. Pozorna wiedza o ofierze — na przykład prawdziwy PESEL, nazwisko pracodawcy lub fragment adresu — ma udowodnić, że rozmówca jest wiarygodny. Tymczasem właśnie te dane mogły wcześniej wyciec.

Sygnały ostrzegawcze są konkretne:

• wiadomość każe zastrzec albo cofnąć zastrzeżenie przez podany link,
• rozmówca prosi o login, hasło, kod SMS, PIN do aplikacji lub zatwierdzenie operacji,
• strona przypomina bank albo mObywatela, ale została otwarta z wiadomości,
• nadawca twierdzi, że trzeba „na chwilę odblokować PESEL”, aby anulować kredyt,
• kontakt wywołuje pośpiech i zniechęca do samodzielnego sprawdzenia sprawy.

W programie bezpieczeństwa testy phishingowe dla firm mogą sprawdzać właśnie ten odruch: czy pracownik odrzuci narzucony link i sam otworzy właściwą usługę.

Podobny mechanizm widać w fałszywej stronie e-Urzędu Skarbowego, która pod pretekstem zwrotu podatku wyłudzała PESEL i dane karty. Oszust nie musi zaczynać od hasła „zastrzeżenie PESEL”; wystarczy, że najpierw zdobędzie dane, a później użyje ich do bardziej przekonującego kontaktu.

Jeżeli chcesz sprawdzić, czym różni się sam mechanizm podszywania od konkretnego pretekstu z PESEL-em, zobacz wyjaśnienie phishingu i momentu, w którym można przerwać atak.

Co zrobić po kliknięciu, odpowiedzi, płatności lub podaniu danych

Reakcja zależy od tego, co faktycznie się wydarzyło. Samo otwarcie wiadomości nie jest tym samym co podanie danych, a ujawnienie PESEL-u wymaga innych działań niż utrata hasła lub pieniędzy.

Kliknąłeś link, ale niczego nie wpisałeś. Zamknij stronę. Nie wracaj do niej, aby „sprawdzić jeszcze raz”. Jeżeli wiadomość dotarła na służbowy telefon lub e-mail, przekaż ją do IT albo zespołu bezpieczeństwa w sposób przyjęty w Twojej firmie, aby mogli sprawdzić, czy inni pracownicy dostali ten sam kontakt.

Podałeś PESEL lub dane dokumentu. Zastrzeż PESEL przez samodzielnie otwartą usługę. Sprawdź historię weryfikacji numeru i zachowaj wiadomość lub zrzuty ekranu jako materiał do wyjaśnienia zdarzenia. Jeżeli formularz dotyczył także konta służbowego lub danych innych osób, zgłoś to od razu wewnątrz firmy.

Podałeś hasło lub kod logowania. Otwórz prawdziwą usługę niezależną drogą, zmień ujawnione hasło, zakończ obce sesje i sprawdź metody dodatkowego uwierzytelniania oraz odzyskiwania konta. W przypadku konta służbowego administrator powinien sprawdzić logowania i możliwość dalszego wykorzystania przejętej sesji.

Podałeś dane karty albo zatwierdziłeś płatność. Skontaktuj się z bankiem przez numer z aplikacji, karty lub oficjalnej strony wpisanej samodzielnie. Zastrzeżenie PESEL nie blokuje płatności kartą i nie zastępuje zastrzeżenia karty ani zgłoszenia nieautoryzowanej transakcji.

Wysłałeś pieniądze. Natychmiast skontaktuj się z bankiem i poproś o działania możliwe dla konkretnej transakcji, a następnie zgłoś oszustwo Policji. W firmie poinformuj też osobę odpowiedzialną za finanse i bezpieczeństwo, jeśli przelew dotyczył środków służbowych.

Przy SMS-ach warto znać również zasady rozpoznawania smishingu, czyli phishingu prowadzonego przez wiadomości tekstowe. Kanał może się zmienić, ale bezpieczny odruch pozostaje ten sam: nie wykonuj wrażliwej czynności ścieżką narzuconą przez nadawcę.

Mity i częste błędy wokół zastrzeżenia PESEL

„Zastrzeżony PESEL blokuje normalne życie.” Nie. Rządowa usługa wymienia między innymi leczenie, recepty, przelewy, bankomaty, podróże i sprawy urzędowe jako czynności dostępne mimo zastrzeżenia.

„Skoro PESEL jest zastrzeżony, wyciek danych przestaje być problemem.” Nie. Numer, imię, nazwisko, adres i dane dokumentu mogą nadal uwiarygodnić phishing, telefon od oszusta albo próbę przejęcia innej usługi. Zastrzeżenie ogranicza określone skutki, a nie usuwa informacji, które już wyciekły.

„Trzeba cofnąć zastrzeżenie przed każdą umową.” Nie. Obowiązki weryfikacji są związane z konkretnymi czynnościami wskazanymi w ustawach sektorowych. Jeżeli ktoś żąda cofnięcia zastrzeżenia przy zwykłej sprawie służbowej, potraktuj to jako powód do niezależnej weryfikacji.

„Bank, urząd albo konsultant może poprowadzić mnie przez zastrzeżenie przez telefon.” Prawdziwa instytucja może poinformować o usłudze, ale bezpieczna czynność zaczyna się od samodzielnego wejścia do mObywatela, gov.pl albo wizyty w urzędzie gminy. Nie przekazuj rozmówcy danych logowania, kodów ani zdalnej kontroli nad urządzeniem.

„Wystarczy ukryć PESEL w jednym dokumencie.” Ochrona danych to także ograniczenie kopii, odbiorców i czasu przechowywania. PESEL w arkuszu płac, skrzynce zespołowej, systemie zgłoszeń i kopii zapasowej może wymagać różnych zabezpieczeń, ale w każdym miejscu dostęp powinien wynikać z realnej potrzeby.

Pojęcia pokrewne pomagają zrozumieć granice tej ochrony. Kradzież tożsamości oznacza wykorzystanie cudzych danych do podszycia się pod osobę. Phishing i smishing opisują kanały i techniki wyłudzania danych. Minimalizacja danych oznacza ograniczanie zbierania i udostępniania informacji do tego, co naprawdę potrzebne do celu. Zastrzeżenie PESEL jest jednym z zabezpieczeń w tym układzie, nie zamiennikiem pozostałych.

Zastrzeżenie PESEL działa najlepiej jako stała bariera, nie jedyna ochrona

Utrzymywanie PESEL-u w stanie zastrzeżonym ogranicza ryzyko części nadużyć i nie przeszkadza w większości codziennych spraw. Gdy potrzebujesz wykonać czynność objętą weryfikacją, możesz świadomie cofnąć zastrzeżenie i ustawić jego automatyczny powrót.

W firmie równie ważne są dwa procesy: ograniczanie miejsc, w których PESEL jest przechowywany i przesyłany, oraz poprawne reagowanie wtedy, gdy numer już wyciekł. Pracownik obsługi powinien respektować wynik rejestru, a osoba dotknięta wyciekiem powinna działać samodzielnie przez oficjalną usługę, zamiast ufać linkowi lub rozmówcy, który obiecuje „zabezpieczyć PESEL”.