Możliwy wyciek danych kierowców. Projekt CEPiK 2.0 znów budzi obawy

Z początkiem nowego roku rząd zamierza uruchomić nową wersję Centralnej Ewidencji Pojazdów i Kierowców (CEPiK 2.0). Mają z niej korzystać m.in. starostwa prowadzące rejestrację samochodów i wydające prawa jazdy obywatelom. W sukcesie mogą jednak przeszkodzić opóźnienia w przygotowaniach, a także cicha wojna między Centralnym Ośrodkiem Informatyzacji MSW (COI) a Polską Wytwórnią Papierów Wartościowych (PWPW).

Dziennik.pl dotarł do pisma z uwagami, które PWPW przesłała pod koniec października do wiceministra MSW Grzegorza Karpińskiego. W piśmie przedstawiciele spółki odnoszą się do pakietu kilkunastu rozporządzeń dotyczących CEPiK 2.0, które są obecnie procedowane.

Jedno z nich dotyczy projektu rozporządzenia ministra spraw wewnętrznych w sprawie zakresu danych udostępnianych podmiotom obowiązanym do ich przekazywania do centralnej ewidencji kierowców.

PWPW ostrzega przed potencjalnymi konsekwencjami związanymi z udostępnieniem wielu danych o kierowcach kierownikom ośrodków szkoleniowych - tych w Polsce jest ok. 9 tysięcy.

"W przypadku kierowników ośrodka szkolenia należy zastanowić się nad celowością takiego rozwiązania. Brak jest ratio legis udostępniania kierownikom danych o wszystkich kierowcach w Polsce w sytuacji, kiedy przepisy odrębne nie stawiają warunków wstępnych do odbycia kwalifikacji wstępnej lub szkolenia okresowego w postaci posiadania prawa jazdy. Przepis stanowi poważne zagrożenie wycieku danych z CEK" - ostrzega spółka.

O co chodzi? - Mowa tu o kierowcach ciężarówek i autobusów. Kierownik ośrodka powinien mieć dostęp do danych tylko tych osób, które szkoli, a nie wszystkich kierowców w kraju, tylko po to, by zweryfikować te wybrane osoby - tłumaczy nam jeden z byłych pracowników ministerstwa transportu.

Zgodnie z projektowanym rozporządzeniem, kierownikowi ośrodka szkolenia kierowców zapewnia się dostęp do takich danych jak np. imię i nazwisko, data i miejsce urodzenia (zgonu), fotografia, wzór podpisu, numer PESEL, adres zamieszkania, a nawet numer telefonu i adres poczty elektronicznej (o ile zostały wcześniej podane). - Wolę nie wiedzieć, co da się zrobić z takimi danymi, jeżeli one zaczną wyciekać - mówi nam jedna z osób znających sprawę.

Podobne wątpliwości PWPW dotyczą uprawnień dyrektorów okręgowych komisji egzaminacyjnych, dla których "kluczowe jest ustalenie tożsamości osoby egzaminowanej, a nie potwierdzenie faktu bycia kierowcą z uprawnieniami lub osobą pozbawioną uprawnień. Przepis stanowi zagrożenie wycieku danych z CEK" - czytamy także w korespondencji przesłanej do MSW.

Co na te zarzuty odpowiada sam resort? Jego zdaniem do wycieku danych nie powinno dojść. - Zgodnie z ustawą Prawo o ruchu drogowym niektórym podmiotom zapewnia się dostęp do danych zawartych w ewidencji (m.in. kierownikom OSK i dyrektorom WORD), aby mogły one wprowadzić do niej dane. Dzieje się to poprzez pobranie określonych danych, ich weryfikację i aktualizację. Kierownicy ośrodków i dyrektorzy WORD nie mają bieżącego dostępu do danych z ewidencji. Otrzymują wyłącznie dane dotyczące pojedynczej osoby i tylko w celu wprowadzenia danych do centralnej ewidencji kierowców. Nie będzie zatem możliwy dostęp do danych wszystkich kierowców - zapewnia nas wydział prasowy MSW.

Jeszcze inne światło na całą sprawę rzuca jeden z naszych rozmówców, prosząc o anonimowość. Twierdzi, że kierownicy ośrodków szkoleń uzyskają dostęp jedynie do informacji z Profilu Kandydata na Kierowcę (PKK musi wyrobić każda osoba starająca się o prawo jazdy), nie zaś do całej Centralnej Ewidencji Kierowców, w której są dane wszystkich zmotoryzowanych obywateli.

- System umożliwia podgląd danych dopiero po podaniu indywidualnego numeru profilu. Ten zaś widnieje na dokumencie posiadanym przez kandydata na kierowcę. W praktyce oznacza to, że kierownik ośrodka szkoleniowego nie może swobodnie przeglądać wszystkich dostępnych w systemie PKK. Wyszukuje on jedynie osobę, która chce odbyć kurs. Analogicznie jest w przypadku dyrektora okręgowej komisji egzaminacyjnej - przekonuje.

Mimo zapewnień rządu, wokół projektu CEPiK 2.0 i tak rodzi się coraz więcej wątpliwości. Od kilku tygodni PWPW i Centralny Ośrodek Informatyki MSW (dalej: COI) wzajemnie obwiniają się za ryzyko nie dotrzymania terminu 4 stycznia 2016 roku. Zdaniem przedstawicieli COI, to PWPW jest głównym hamulcowym całego procesu. Nieoficjalnie mówi się, że spółka mająca monopol na systemy informatyczne w starostwach nie chce dopuścić do sytuacji, w której rządowy CEPiK zastąpi jej oprogramowanie wykorzystywane w powiatach.

Spółka z kolei twierdzi, że nie dostaje na czas niezbędnej dokumentacji od COI, co opóźnia przygotowanie nowych rozwiązań informatycznych.

Z tych względów starostowie (odpowiedzialni za wydawanie uprawnień i dowodów rejestracyjnych) od dawna mówią, że wdrożenie nowego systemu trzeba przełożyć o co najmniej pół roku, by nie doszło do paraliżu w wydawaniu dokumentów obywatelom. PWPW podbija stawkę sugerując w jednym z pism, że konieczny jest 36-miesięczny "okres dostosowawczy" na zastąpienie dotychczasowych rozwiązań systemowych w starostwach. To oznaczałoby wdrożenie CEPiK 2.0 dopiero w styczniu 2019 roku, co podobno dopuszczają przepisy.

Zdaniem jednego z naszych rozmówców związanych z MSW, spółka próbuje interpretować przepisy na swoją korzyść. - Prawnicy PWPW już kilkakrotnie interpretowali przepisy w tego typu sposób, a MSW za każdym razem mówiło, że ta interpretacja jest błędna i wprost sprzeczna z ustawą - twierdzi.

Problem jednak pozostaje. W kilku niezależnych źródłach usłyszeliśmy, że w nowych władzach MSW dojrzewa pomysł przesunięcia terminu wdrożenia CEPiK 2.0 na 2017 rok. To by oznaczało, że wraz z projektem najprawdopodobniej przesunąć trzeba będzie o rok rygorystyczny okres próbny, który ma dotyczyć początkujących kierowców (chodzi m.in. o bardziej restrykcyjne ograniczenia prędkości dla takich osób, łatwiejszą możliwość utraty prawa jazdy czy konieczność przejścia dwóch dodatkowych kursów po uzyskaniu uprawnień).

- Na razie jeszcze nic nie jest pewne. Minister Piotrowska, zdając urząd Mariuszowi Błaszczakowi, przedstawiła mu raport o trwających projektach i związanych z nimi zagrożeniami. Dopiero swego rodzaju audyt wykaże, czy termin trzeba będzie przesunąć - mówi nam jeden z urzędników.

Sam COI twierdzi, że nie doszły do niego informacje o konieczności przesunięcia terminu. Prace projektowe przy CEPiK 2.0 są realizowane zgodnie z przyjętym planem i harmonogramem. Tym samym termin 4 stycznia 2016 r. nie jest zagrożony, jak przekonuje Piotr Mierzwiński, rzecznik COI.