Skan dowodu przez Internet: zagrożenie dla twojej prywatności

Wysyłanie skanu dowodu osobistego przez Internet to powszechna, ale niebezpieczna praktyka — Rzecznik Praw Obywatelskich uznał, że narusza ona prawo do prywatności i zasadę minimalizacji danych, a centralne bazy ze skanami stanowią wymarzony cel dla hakerów.

Kazdego dnia tysiące Polaków przesyłają zdjęcia lub skany swoich dowodów osobistych bankom, giełdom kryptowalut, firmom pożyczkowym i kantorów wymiany walut. Firmy tłumaczą to koniecznością weryfikacji tożsamości klienta i powołują się na ustawę AML (ang. Anti-Money Laundering — prawo o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu). Jednak Zastępca Rzecznika Praw Obywatelskich, Stanisław Trociuk, wziął tę praktykę pod lupę i odkrył poważny problem: masowe gromadzenie plików ze skanami dowodów tworzy gigantyczne, centralne bazy danych, które są wymarzonym celem dla hakerów.

Dlaczego firmy żądają skanów dowodów?

Ustawa AML nakłada na tzw. instytucje obowiązane (banki, kantory, biura rachunkowe, notariusze) obowiązek dokładnego sprawdzenia, kim jest ich klient. Weryfikacja tożsamości to rzeczywiście ważny element ochrony przed praniem pieniędzy i finansowaniem terroryzmu. Problem polega jednak na tym, że firmy interpretują to prawo zbyt szeroko — zamiast jedynie potwierdzić, że jesteś tym, za kogo się podajesz, przechowują pełne kopie twoich dokumentów na swoich serwerach.

Zasada minimalizacji danych — co to oznacza?

Zasada minimalizacji danych to fundamentalny wymóg ochrony prywatności, wynikający z Ogólnego Rozporządzenia o Ochronie Danych (RODO). Mówi ona, że firma powinna przetwarzać tylko te dane, które są jej absolutnie niezbędne do wykonania usługi. W przypadku weryfikacji tożsamości oznacza to, że instytucja powinna potwierdzić, że dokument jest autentyczny i że należy do ciebie — ale nie musi przechowywać jego pełnej kopii.

Przechowywanie zdjęć fizycznych dowodów na serwerach prywatnych firm odbywa się często bez wyraźnej podstawy prawnej. Rzecznik Praw Obywatelskich podkreśla, że taka praktyka narusza prawo do prywatności i bezpieczeństwa danych osobowych.

Jakie zagrożenia niesie wyciek danych z dowodu?

Jeśli serwer firmy zostanie zhakowany, a twoje dane wyciekną, konsekwencje mogą być poważne:

• Oszuści mogą założyć fałszywe konto bankowe na twoje dane
• Mogą zaciągnąć kredyt lub pożyczkę w twoim imieniu
• Mogą podpisać umowę na abonament telefoniczny
• Mogą dokonać kradzieży tożsamości, co prowadzi do długotrwałych problemów finansowych i prawnych

Centralne bazy danych ze skanami dowodów Polaków są szczególnie atrakcyjnym celem dla cyberprzestępców, ponieważ zawierają wszystkie informacje potrzebne do popełnienia oszustwa tożsamościowego.

Co zrobił Rzecznik Praw Obywatelskich?

Pod koniec czerwca 2026 r. Rzecznik Praw Obywatelskich wysłał oficjalne pismo do Generalnego Inspektora Informacji Finansowej (GIIF), domaga się stanowiska w sprawie legalności obecnych praktyk. Ponadto proponuje zmianę w przepisie art. 37 ust. 1 ustawy AML, która wyraźnie oddzieliłaby dwa etapy:

1. Weryfikacja tożsamości — potwierdzenie, że jesteś tym, za kogo się podajesz
2. Przechowywanie dokumentów — przechowywanie pełnych kopii nie powinno być obowiązkowe

Taka zmiana redakcyjna sprawiłaby, że prawo będzie jasne — firmy będą mogły zweryfikować tożsamość klienta, ale nie będą miały wymówki do gromadzenia plików graficznych z dokumentami.

Jak bezpiecznie zweryfikować tożsamość?

Jeśli usługodawca online żąda od ciebie skanu dowodu, zawsze możesz zapytać o alternatywną metodę weryfikacji. Oto kilka bezpieczniejszych opcji:

• Weryfikacja przez wideorozmowę — pracownik firmy weryfikuje twoją tożsamość przez połączenie wideo, widząc dokument w czasie rzeczywistym, ale go nie przechowując
• Weryfikacja przez system bankowy — potwierdzenie tożsamości za pośrednictwem aplikacji mobilnej twojego banku
• Weryfikacja osobista — odwiedzenie placówki firmy z dokumentem
• Weryfikacja przez numer PESEL — potwierdzenie danych bez konieczności przesyłania pełnego skanu
• Weryfikacja przez kod SMS — wysłanie jednorazowego kodu na numer telefonu

Co to oznacza dla ciebie?

Choć Rzecznik Praw Obywatelskich nie ma mocy tworzenia prawa, jego interwencja sygnalizuje zmianę podejścia do bezpieczeństwa danych Polaków. Jeśli zmiana przepisów zostanie wdrożona, firmy finansowe będą musiały znaleźć bezpieczniejsze sposoby weryfikacji tożsamości, które nie wiążą się z przechowywaniem pełnych kopii dowodów osobistych.

W międzyczasie pamiętaj: nigdy nie wysyłaj skanu dowodu przez niezabezpieczone kanały (email bez szyfrowania, komunikatory, formularze internetowe bez certyfikatu SSL). Jeśli firma tego żąda, zawsze pytaj o alternatywną metodę weryfikacji — to twoje prawo. Firmy finansowe powołują się na ustawę AML, ale przepisy te nie dają im wprost prawa do wymuszania przesyłania plików ze skanami przez Internet.

Ochrona twojej prywatności i bezpieczeństwa danych to nie tylko obowiązek firm — to również twoja odpowiedzialność. Bądź świadomy zagrożeń i nie bój się mówić “nie” niebezpiecznym praktykom.