Ponad trzy lata po wyroku TSUE państwo nadal trzyma na widoku dane obywateli, choć już dawno usłyszało, że tak szeroka jawność narusza prywatność.
22 listopada 2022 roku Trybunał Sprawiedliwości Unii Europejskiej orzekł jednoznacznie: pełny publiczny dostęp do danych beneficjentów rzeczywistych zbyt głęboko ingeruje w prawo do prywatności i ochrony danych osobowych. Trybunał nie zakwestionował walki z praniem pieniędzy. Przypomniał tylko rzecz elementarną — nawet ważny interes publiczny nie daje władzy prawa do nieograniczonego ujawniania danych konkretnych osób.
W wielu państwach Unii reakcja była natychmiastowa. Holandia już następnego dnia zakończyła publiczny dostęp do danych z rejestru UBO. Belgia zawiesiła jawność dzień po wyroku. W Luksemburgu dostęp do rejestru również wstrzymano 22 listopada 2022 roku. Polska nie zrobiła nic podobnego. Nie dlatego, że sprawa była szczególnie trudna, lecz dlatego, że państwo zwyczajnie zwlekało.
Sprawa dotyczy Centralnego Rejestru Beneficjentów Rzeczywistych, czyli CRBR. To nie jest zbiór suchych rubryk ani technicznych wpisów, lecz rejestr pokazujący, kto faktycznie kontroluje spółkę, fundację albo inny podmiot. Nie chodzi wyłącznie o wielki biznes czy skomplikowane struktury właścicielskie. Obowiązki wobec CRBR obejmują także fundacje, w tym rodzinne. Mówimy więc o danych realnych ludzi, a nie o abstrakcyjnym problemie administracyjnym.
Dlatego tej sprawy nie da się zbyć wzruszeniem ramion. Już 20 kwietnia 2023 roku Rzecznik Praw Obywatelskich alarmował, że mimo wyroku TSUE w CRBR nadal dostępne pozostają dane osobowe beneficjentów rzeczywistych, w tym numery PESEL. A PESEL dostępny dla każdego nie jest drobną wadą systemu ani technicznym szczegółem. To realne ryzyko nadużyć, podszywania się pod cudzą tożsamość i naruszania prywatności przez osoby, które nie mają żadnego uzasadnionego interesu w sprawdzaniu takich danych.
Najbardziej kompromitujący jest jednak czas reakcji. Mimo wyroku z końca 2022 roku jeszcze w lutym tego roku projekt zmian figurował w rządowym wykazie prac jako UC75, a zasadniczy termin wejścia nowych przepisów wyznaczono dopiero na 1 lipca. To nie jest zwykłe opóźnienie. To obraz państwa, które zostało wprost poinformowane, że narusza standard ochrony praw jednostki, a mimo to przez lata nie potrafiło uporządkować własnego prawa i praktyki.
To już nie jest tylko sprawa jednego rejestru. To sprawa państwa, które z zapałem gromadzi informacje o obywatelach i chętnie je ujawnia, ale nagle traci sprawność, gdy trzeba ograniczyć własną nadmierną ingerencję. Gdy administracja chce wiedzieć więcej, działa szybko. Gdy ma przestać sięgać za daleko, zaczyna się urzędniczy bezruch.
Po wyroku TSUE taki stan nie powinien trwać ani latami, ani nawet miesiącami. W Polsce trwa nadal. I to mówi o realnym stosunku państwa do prywatności więcej niż niejeden oficjalny komunikat o ochronie danych osobowych.
