Kradzież tożsamości w internecie - co grozi sprawcy i co zrobić jako ofiara (art. 190a § 2 KK)

Kradzież tożsamości w internecie to bezprawne wykorzystanie cudzych danych osobowych lub wizerunku - najczęściej po to, by podszyć się pod ofiarę, wyłudzić pieniądze, zaciągnąć zobowiązania albo zniszczyć jej reputację. W polskim prawie głównym przepisem karnym jest art. 190a § 2 Kodeksu karnego, który penalizuje podszywanie się pod inną osobę przez wykorzystanie jej wizerunku, danych osobowych lub innych danych w celu wyrządzenia jej szkody majątkowej lub osobistej. Czyn ten zagrożony jest karą pozbawienia wolności od 6 miesięcy do 8 lat. Ofiara nie jest jednak bezradna - może zgłosić sprawę policji i prokuraturze, złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO), a także dochodzić odszkodowania. Poniżej wyjaśniamy, jakie kary grożą sprawcy według polskich przepisów, jak rozpoznać, że padło się ofiarą, i krok po kroku, co robić.

Czym jest kradzież tożsamości w sieci i jak do niej dochodzi

Pod pojęciem kradzieży tożsamości kryją się różne mechanizmy. Najczęstszy to phishing i jego ukierunkowana odmiana spear phishing - sprawca wysyła fałszywe e-maile lub linki do podrobionych stron (np. logowania do banku), by przechwycić login, hasło lub dane karty. Inną metodą jest podszywanie się w mediach społecznościowych: założenie fałszywego profilu z danymi i zdjęciami ofiary, by oczerniać ją lub wyłudzać pieniądze od jej znajomych. Sprawcy wykorzystują też złośliwe oprogramowanie (malware) wykradające dane z urządzeń oraz wycieki z baz danych. Zdobyte w ten sposób dane (PESEL, numer dowodu, dane karty, dane logowania) służą do zaciągania pożyczek, zakładania kont, zawierania umów czy dokonywania zakupów w imieniu ofiary. Świadomość tych schematów to pierwszy krok do ochrony - im lepiej rozpoznajesz typowe pułapki, tym trudniej Cię oszukać.

Co grozi sprawcy - odpowiedzialność karna według polskiego prawa

Podstawą jest art. 190a § 2 KK: kto, podszywając się pod inną osobę, wykorzystuje jej wizerunek, dane osobowe lub inne dane w celu wyrządzenia jej szkody majątkowej lub osobistej, podlega karze pozbawienia wolności od 6 miesięcy do lat 8 (kara zaostrzona nowelizacją z 2020 r.). Jeżeli następstwem czynu jest targnięcie się pokrzywdzonego na własne życie, sprawca odpowiada surowiej - od 2 do 12 lat (art. 190a § 3 KK). W zależności od sposobu działania sprawcy w grę wchodzą też inne przepisy: nieuprawnione uzyskanie dostępu do cudzego systemu lub danych (np. włamanie na konto, hacking) to art. 267 KK zagrożony karą do 2 lat pozbawienia wolności; wyłudzenie pieniędzy lub mienia przez wprowadzenie w błąd to oszustwo z art. 286 KK (od 6 miesięcy do 8 lat); użycie cudzego dokumentu tożsamości - art. 275 KK; a tworzenie lub używanie fałszywych dokumentów - art. 270 KK. Często sprawcy odpowiadają za zbieg kilku przestępstw jednocześnie.

Na wniosek czy z urzędu - kto uruchamia ściganie

To istotny i często mylony szczegół. Przestępstwo kradzieży tożsamości z art. 190a § 2 KK jest ścigane na wniosek pokrzywdzonego (art. 190a § 4 KK) - oznacza to, że ofiara musi wyraźnie zażądać ścigania sprawcy, składając stosowny wniosek na policji lub w prokuraturze; bez tego wniosku organy nie wszczną postępowania. Dopiero typ kwalifikowany z § 3 (gdy doszło do próby samobójczej pokrzywdzonego) ścigany jest z urzędu. Również nieuprawniony dostęp do informacji z art. 267 KK jest ścigany na wniosek pokrzywdzonego. Natomiast oszustwo z art. 286 KK jest przestępstwem ściganym z urzędu. W praktyce, składając zawiadomienie, najlepiej od razu opisać całość zdarzenia i wyraźnie zaznaczyć, że żądasz ścigania - wtedy organy ocenią pełną kwalifikację prawną. Cofnięcie raz złożonego wniosku o ściganie wymaga zgody organu prowadzącego sprawę.

Jak rozpoznać, że padłeś ofiarą kradzieży tożsamości

Sygnały ostrzegawcze warto znać, by zareagować jak najszybciej. Zaniepokoić powinny: nieautoryzowane transakcje na koncie, niespodziewane rachunki lub wezwania do zapłaty za usługi, których nie zamawiałeś, pisma od firm pożyczkowych lub windykatorów dotyczące nieznanych Ci zobowiązań, zapytania kredytowe, których nie składałeś, problemy z zalogowaniem na własne konta (zmienione hasło), a także sygnały od znajomych, że dostają od 'Ciebie' podejrzane wiadomości. Pomocne jest aktywne monitorowanie - możesz bezpłatnie sprawdzać raporty w Biurze Informacji Kredytowej (BIK) i rejestrach dłużników, włączyć Alert BIK powiadamiający o próbach zaciągnięcia zobowiązania na Twoje dane, a od strony rejestru PESEL skorzystać z usługi zastrzeżenia numeru PESEL (dostępnej m.in. w aplikacji mObywatel i w urzędzie gminy), która blokuje m.in. zawarcie umowy kredytu na zastrzeżony numer.

Krok po kroku - co zrobić po wykryciu kradzieży tożsamości

Działaj szybko i metodycznie. (1) Zabezpiecz dowody: zrób zrzuty ekranu fałszywych profili, wiadomości, transakcji, zapisz adresy URL, daty i godziny - nie kasuj korespondencji. (2) Zmień hasła do wszystkich ważnych kont i włącz uwierzytelnianie dwuskładnikowe (2FA), zaczynając od poczty i bankowości. (3) Skontaktuj się z bankiem - zgłoś nieautoryzowane operacje i zażądaj zablokowania kart oraz reklamacji transakcji; przy nieautoryzowanej płatności bank co do zasady ma obowiązek zwrotu zgodnie z ustawą o usługach płatniczych. (4) Zastrzeż utracony dokument tożsamości (system DOKUMENTY ZASTRZEŻONE oraz unieważnienie dowodu) i rozważ zastrzeżenie numeru PESEL. (5) Złóż zawiadomienie o przestępstwie na policji lub w prokuraturze, wyraźnie żądając ścigania sprawcy (przy art. 190a § 2 KK to konieczne). (6) Złóż skargę do Prezesa UODO, jeśli doszło do bezprawnego przetwarzania Twoich danych osobowych. (7) Powiadom BIK/biura informacji gospodarczej i monitoruj swoją zdolność kredytową przez kolejne miesiące.

Zgłoszenie do organów i skarga do PUODO - jakie dokumenty przygotować

Zawiadomienie o przestępstwie składasz na policji lub w prokuraturze, ustnie do protokołu albo na piśmie (art. 304 KPK). Do zawiadomienia dołącz zebrane dowody: zrzuty ekranu, korespondencję, potwierdzenia transakcji, linki do fałszywych profili, ewentualne pisma od wierzycieli. Jasno wskaż, jakie dane zostały wykorzystane, w jaki sposób i jaką szkodę poniosłeś, oraz że żądasz ścigania sprawcy. Równolegle, jeżeli ktoś bezprawnie przetwarzał Twoje dane osobowe, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO) - to organ właściwy w sprawach naruszeń RODO, działający na podstawie ustawy o ochronie danych osobowych z 2018 r. Skargę można złożyć na piśmie lub elektronicznie (z podpisem zaufanym lub kwalifikowanym podpisem elektronicznym). Jeśli zgłaszasz w imieniu osoby bez pełnej zdolności do czynności prawnych (np. dziecka), dołącz dokumenty potwierdzające reprezentację. Pamiętaj: PUODO zajmuje się ochroną danych, a sprawą karną - prokuratura i policja; te ścieżki się uzupełniają.

Jak chronić się przed kradzieżą tożsamości i dochodzić odszkodowania

Profilaktyka jest najtańszą obroną. Używaj silnych, unikalnych haseł (najlepiej z menedżera haseł) i włączaj 2FA wszędzie tam, gdzie to możliwe; nie klikaj w linki z nieznanych e-maili i SMS-ów oraz weryfikuj nadawcę; aktualizuj system i oprogramowanie antywirusowe; ogranicz dane publikowane w mediach społecznościowych i nie udostępniaj skanów dokumentów osobom postronnym; regularnie sprawdzaj wyciągi bankowe i raporty BIK; rozważ stałe zastrzeżenie numeru PESEL. Jeśli mimo to padniesz ofiarą i poniesiesz szkodę, możesz dochodzić jej naprawienia: w postępowaniu karnym przez wniosek o obowiązek naprawienia szkody i zadośćuczynienie (art. 46 KK), a na drodze cywilnej - przez ochronę dóbr osobistych (art. 23, 24 KC) i zadośćuczynienie pieniężne (art. 448 KC). Za naruszenia związane z danymi osobowymi przysługuje też roszczenie odszkodowawcze z art. 82 RODO. W trudniejszych sprawach warto skorzystać z pomocy adwokata lub radcy prawnego, który prawidłowo skwalifikuje czyn i poprowadzi sprawę.