Co grozi za kradzież danych osobowych i tożsamości? Kary i prawa ofiary

Kradzież danych osobowych i podszywanie się pod inną osobę to jedno z najszybciej rosnących zagrożeń ery cyfrowej. W polskim prawie nie istnieje wprawdzie jeden przepis o nazwie "kradzież tożsamości", ale szereg czynów składających się na to zjawisko jest wyraźnie penalizowanych — od podszywania się pod inną osobę (art. 190a § 2 Kodeksu karnego), przez bezprawny dostęp do informacji (art. 267 KK), po oszustwo (art. 286 KK) i fałszerstwo dokumentów (art. 270 KK). Dodatkowo bezprawne przetwarzanie danych osobowych jest sankcjonowane na gruncie RODO oraz ustawy o ochronie danych osobowych. Poniżej wyjaśniamy, co dokładnie grozi sprawcy według aktualnego polskiego prawa, jak rozpoznać, że padło się ofiarą, oraz jakie kroki podjąć, by ograniczyć szkody i dochodzić swoich praw.

Czym jest kradzież tożsamości w świetle polskiego prawa

Kradzież tożsamości polega na bezprawnym wykorzystaniu cudzych danych — imienia i nazwiska, numeru PESEL, danych dowodu osobistego, numeru konta czy wizerunku — do działania w cudzym imieniu lub na cudzą szkodę. Najczęstsze scenariusze to zaciągnięcie pożyczki lub kredytu na cudze dane, założenie konta lub firmy, dokonywanie zakupów oraz tworzenie fałszywych profili w sieci. Dane pozyskuje się zwykle metodami takimi jak phishing (podszywanie się pod bank lub instytucję w e-mailu), vishing (oszustwo telefoniczne), smishing (fałszywe SMS-y) czy przejęcie kont w wyniku wycieku danych. Polskie prawo karne reaguje na te zachowania przez kilka uzupełniających się przepisów, a wybór kwalifikacji zależy od tego, na czym dokładnie polegało działanie sprawcy.

Podszywanie się pod inną osobę — art. 190a § 2 KK

Kluczowym przepisem jest art. 190a § 2 Kodeksu karnego: kto, podszywając się pod inną osobę, wykorzystuje jej wizerunek, dane osobowe lub inne dane, za pomocą których jest ona publicznie identyfikowana, w celu wyrządzenia jej szkody majątkowej lub osobistej — podlega karze pozbawienia wolności od 6 miesięcy do lat 8. Istotne jest, że przepis wymaga umyślności i działania w celu wyrządzenia szkody — samo nieostrożne udostępnienie danych lub przypadkowe ich użycie nie wypełnia znamion tego czynu. Jeżeli następstwem podszywania się jest targnięcie się pokrzywdzonego na własne życie, sprawca odpowiada surowiej — kara wynosi od 2 do 12 lat (art. 190a § 3 KK). Ściganie typu podstawowego następuje na wniosek pokrzywdzonego (art. 190a § 4 KK), dlatego ofiara musi sama zainicjować postępowanie.

Bezprawny dostęp do danych — art. 267 KK