ZUS testuje automatyzację pełnomocnictw. Znamy szczegóły

W Biuletynie Informacji Publicznej ZUS znajduje się zakładka „Wykonywanie decyzji PUODO”. Każdy zainteresowany może zapoznać się z działaniami podjętymi przez Zakład Ubezpieczeń Społecznych w celu wykonywania prawomocnych decyzji Prezesa Urzędu Ochrony Danych Osobowych.

W punkcie 62. opisywana jest decyzja z czerwca 2026 roku (DWKSN.523.2830.2025.ZS.MR), udzielająca upomnienia dla ZUS, dotycząca udostępnienia osobie nieuprawnionej bardzo szerokiego zakresu danych osobowych – mowa m.in. o poniższych kategoriach:

• PESEL;
• adres zamieszkania;
• numer dowodu osobistego;
• adres email;
• data urodzenia;
• składki przekazane do OFE;
• lista ubezpieczeń osoby ubezpieczonej;
• stan konta po waloryzacji;
• członkostwo w NFZ;
• praca w szczególnych warunkach;
• stan konta ubezpieczonego;
• dane z subkonta ubezpieczonego;
• dane dotyczące zdrowia.

”ZUS załatwi sprawę w miarę możliwości jak najszybciej, po tym jak dokument trafi do obsługi przez pracownika” – czytamy na podstronie dotyczącej odwołania pełnomocnictwa. Zakład zapowiedział zmiany w zakresie obsługi pełnomocnictw do kont eZUS (PUE ZUS)

ZUS zapowiada automatyzację

„W celu wyeliminowania występowania takich zdarzeń, planowane jest wdrożenie automatyzacji procesu obsługi pełnomocnictw w zakresie udzielania dostępów do kont w portalu eZUS oraz w zakresie odwołania pełnomocnictwa do konta w eZUS” – czytamy w BIP w ramach punktu opisującego działania następcze (podejmowane przez ZUS) po ww. incydencie.

Skierowaliśmy do ZUS-u szereg pytań dotyczących planowanych zmian. Z nadesłanych odpowiedzi wiemy, że „planowana automatyzacja zostanie wdrożona w całym Zakładzie”.

Jedno z naszych pytań dotyczyło tego, jakie praktyczne zmiany będą widoczne z poziomu użytkownika e-ZUS. ”(…) na portalu eZUS, podczas wypełniania formularza PEL przez użytkownika, pojawi się udogodnienie polegające na możliwości uszczegółowienia zakresu pełnomocnictwa na podstawie wyboru konkretnego typu sprawy z podpowiadanej listy. Dotychczas takie ograniczenie użytkownik wpisywał ręcznie” – czytamy w odpowiedzi.

ZUS poinformował redakcję CyberDefence24 o założeniach dotyczących automatyzacji. „(…) informacje o upoważnieniu lub jego odwołaniu – na podstawie danych zarejestrowanych w prowadzonym przez ZUS rejestrze umocowań – będą automatycznie przenoszone do portalu eZUS i na ich podstawie przypisane lub odebrane zostaną pełnomocnikowi odpowiednie role lub dostęp do konkretnego zakresu danych” – przekazał nam Zakład. Jednocześnie ZUS podkreślił, że zostanie dodana usługa automatycznego zamknięcia profilu mocodawcy w eZUS z powodu jego śmierci.

Proces automatyzacji jest obecnie w fazie testów.

Planowana zmiana dotyczy wszystkich kont na eZUS oraz zakresów pełnomocnictw.
ZUS

Naruszenie ochrony oraz ryzyko

Zapytaliśmy ZUS o bezpośrednią przyczynę naruszenia ochrony danych, które skutkowało zapowiedzią automatyzacji procesu. ”(…) bezpośrednią przyczyną naruszenia będącego przedmiotem decyzji DWKSN.523.2830.2025.ZS.MR było zaniechanie zbadania przez ZUS kompletności pełnomocnictwa” – czytamy w odpowiedzi na nasze pytania.

Dowiedzieliśmy się również, że ZUS „na bieżąco” analizuje ryzyko w obszarze pełnomocnictw. W tym celu wykorzystywane są ”narzędzia elektroniczne jak i wytyczne opisujące sposób rejestracji i obsługi danego pełnomocnictwa”. Nie dowiedzieliśmy się szczegółów dotyczących zagrożeń w tym obszarze – ZUS powołał się na art. 37 ustawy o Krajowym Systemie Cyberbezpieczeństwa, wyłączający takie dane z dostępu do informacji publicznej.

Ponadto w rolach ubezpieczonego i świadczeniobiorcy możliwe będzie skorzystanie z kreatora wniosku PEL, który od marca br. jest już dostępny w roli płatnika składek. Kreator prowadzi przez kolejne etapy wypełniania wniosku, jest czytelny i przyjazny dla użytkownika.
ZUS

Wiele zbliżonych incydentów

W BIP ZUS możemy znaleźć informację dotyczącą jednego z naruszeń (DS.523.501.2021.WP.PJ), gdzie w ramach środków zapobiegawczych ”odebrano uprawnienia do PUE byłemu pełnomocnikowi ze skutkiem na dzień wskazany w odwołaniu pełnomocnictwa”.

Byliśmy również świadkami innych incydentów dotyczących PUE ZUS, lecz wówczas uchybienia nie leżały po stronie Zakładu. Obszernie opisany przypadek dotyczy byłego pracownika banku, który logował się pięć razy do systemu na przestrzeni ośmiu miesięcy (DKN.5131.33.2021. W kwietniu 2025 roku informowaliśmy o nieuprawnionym dostępie byłych pracowników Centrum Usług Wspólnych w Katowicach do danych pracowników wielu tamtejszych szkół (oraz ich dzieci, jeśli były ubezpieczone razem z nimi) w ramach systemu PUE ZUS.

Warto nadmienić, że podobne zdarzenia nie dotyczą wyłącznie ZUS-u. W październiku ub. r. dowiedzieliśmy się o nieuprawnionym wykorzystaniu Centralnego Wykazu Ubezpieczonych przez grupę pracowników NFZ.

W listopadzie 2025 roku były pracownik Nadleśnictwa Lubsko wykorzystał dostęp do systemu EZD placówki. „W momencie ustania stosunku pracy, uprawnienia zostały odebrane pracownikowi, jednak w związku z jego zatrudnieniem w innej jednostce Lasów Państwowych, przy aktywowaniu konta użytkownika, uprawnienia którymi posługiwał się w okresie zatrudnienia w Nadleśnictwie Lubsko, w wyniku błędu w systemie EZD, zostały reaktywowane” – czytamy w komunikacie.

Cyberbezpieczeństwo

Niezwłoczne odbieranie uprawnień dla osób, które nie są już powiązane z organizacją, to ważny element cyberbezpieczeństwa.

„W 15 skontrolowanych szpitalach (63%) osobom odchodzącym z pracy nie odbierano uprawnień do systemów informatycznych” – czytamy w podsumowaniu kontroli NIK dotyczącej ochrony danych w szpitalach.

Problem dotyczy również samorządów:

Pracownicy oraz osoby zatrudniane na podstawie umów cywilno-prawnych mieli upoważnienia do przetwarzania danych osobowych, które powinny być niezwłocznie odbierane po rozwiązaniu umowy o pracę. Jednak w sześciu urzędach na 17 kontrolowanych, byłym pracownikom nie zablokowano dostępu do zasobów informatycznych.
Najwyższa Izba Kontroli, „NIK o wprowadzaniu RODO w urzędach dużych miast"