Kradzież tożsamości - co grozi sprawcy (art. 190a § 2 k.k.) i jak się chronić

Kradzież tożsamości polega na bezprawnym wykorzystaniu cudzych danych osobowych - imienia, nazwiska, numeru PESEL, danych dowodu osobistego czy danych logowania - do zaciągnięcia zobowiązań, wyrządzenia szkody lub podszycia się pod inną osobę. W polskim prawie czyn ten jest przestępstwem opisanym w art. 190a § 2 Kodeksu karnego, a powiązane zachowania (np. nieuprawniony dostęp do cudzego konta) sankcjonują inne przepisy, w tym art. 267 k.k. Skutki dla ofiary bywają poważne: fałszywe pożyczki, wpisy do rejestrów dłużników, windykacja długów, których ofiara nigdy nie zaciągnęła, oraz realny stres. Ten artykuł wyjaśnia, co dokładnie grozi sprawcy, jak krok po kroku zgłosić sprawę i jak skutecznie chronić swoje dane w polskich realiach. Poprzednia wersja wpisu opierała się częściowo na zagranicznych instytucjach i statystykach - tutaj odwołujemy się do polskiego prawa i polskich rozwiązań (BIK, biura informacji gospodarczej, zastrzeżenie numeru PESEL, RODO i PUODO).

Czym jest kradzież tożsamości w rozumieniu polskiego prawa

Polski Kodeks karny nie posługuje się dosłownie zwrotem 'kradzież tożsamości' - czyn ten ujęto w art. 190a § 2 k.k. jako podszywanie się pod inną osobę i wykorzystanie jej wizerunku, danych osobowych lub innych danych, za pomocą których jest ona publicznie identyfikowana, w celu wyrządzenia jej szkody majątkowej lub osobistej. Istotny jest cel działania sprawcy: przepis chroni przed wykorzystaniem cudzej tożsamości po to, by komuś zaszkodzić - na przykład zaciągnąć kredyt na cudze dane, założyć fałszywe konto w mediach społecznościowych, wyłudzić usługi czy ośmieszyć ofiarę. Samo posłużenie się cudzymi danymi bez tego celu może wyczerpywać inne przepisy (np. dotyczące fałszerstwa dokumentów czy oszustwa). Dla bytu przestępstwa nie jest konieczne, by szkoda rzeczywiście powstała - wystarczy działanie podjęte w celu jej wyrządzenia.

Odpowiedzialność karna i kary - art. 190a § 2 k.k.

Po nowelizacji Kodeksu karnego, która zaostrzyła te przepisy, przestępstwo z art. 190a § 2 k.k. (podszywanie się pod inną osobę) jest zagrożone karą pozbawienia wolności od 6 miesięcy do 8 lat. Jeżeli następstwem czynu (w typie kwalifikowanym z art. 190a § 3 k.k.) jest targnięcie się pokrzywdzonego na własne życie, sprawca podlega karze pozbawienia wolności od lat 2 do 12. Warto pamiętać o ważnej regule proceduralnej: ściganie przestępstwa z art. 190a § 1 i § 2 k.k. następuje na wniosek pokrzywdzonego (art. 190a § 4 k.k.). Oznacza to, że bez formalnego wniosku ofiary postępowanie zwykle nie ruszy, dlatego tak istotne jest, by poszkodowany świadomie złożył zawiadowienie i wniosek o ściganie. Kradzieży tożsamości często towarzyszą inne czyny - przede wszystkim oszustwo (art. 286 k.k.) przy wyłudzeniu kredytu lub usług oraz fałszerstwo dokumentów (art. 270 k.k.).

Nieuprawniony dostęp do danych i kont - art. 267 k.k.

Kradzież tożsamości w internecie często zaczyna się od włamania na cudze konto lub przechwycenia danych logowania. Tego rodzaju zachowania penalizuje art. 267 k.k. Art. 267 § 1 k.k. dotyczy uzyskania bez uprawnienia dostępu do informacji nieprzeznaczonej dla sprawcy, m.in. przez przełamanie zabezpieczeń elektronicznych - zagrożenie to grzywna, kara ograniczenia wolności albo pozbawienia wolności do lat 2. Art. 267 § 3 k.k. obejmuje zakładanie podsłuchu lub używanie urządzeń do bezprawnego pozyskania informacji. Ważne: ściganie przestępstw z art. 267 k.k. również następuje na wniosek pokrzywdzonego. W praktyce kradzież tożsamości to często zbieg kilku przepisów - np. nieuprawniony dostęp (art. 267 k.k.), podszywanie się (art. 190a § 2 k.k.) i oszustwo (art. 286 k.k.) - co sąd ocenia łącznie przy kwalifikacji prawnej czynu.

Najczęstsze metody sprawców

Sprawcy kradzieży tożsamości posługują się powtarzalnymi technikami. Phishing to fałszywe e-maile i strony udające bank, urząd czy firmę kurierską, które wyłudzają dane logowania lub dane karty. Smishing to ta sama metoda przez SMS - z linkiem do fałszywej strony 'dopłaty' do paczki czy rachunku. Vishing to telefony od rzekomych pracowników banku lub Policji ('fałszywy konsultant'). Do tego dochodzą kradzież dokumentów (dowodu osobistego, prawa jazdy), kradzież korespondencji ze skrzynki pocztowej oraz wykorzystanie wycieków danych z serwisów internetowych. Częstym celem jest zdobycie kompletu: imienia, nazwiska, numeru PESEL i serii oraz numeru dowodu - taki zestaw pozwala próbować zaciągać zobowiązania na cudze dane. Świadomość tych metod to pierwszy element obrony: bank ani urząd nigdy nie proszą o pełne hasło, kod BLIK czy dane karty przez telefon lub link w wiadomości.

Jak zgłosić kradzież tożsamości - kroki do podjęcia

Gdy padniesz ofiarą kradzieży tożsamości, działaj szybko i według kolejności. Po pierwsze, zastrzeż numer PESEL - od 2024 r. działa rejestr zastrzeżeń numerów PESEL (przez aplikację mObywatel, profil zaufany albo w urzędzie gminy), który blokuje m.in. zaciągnięcie kredytu na zastrzeżony numer. Po drugie, zastrzeż utracony dokument tożsamości i powiadom bank, jeśli doszło do nieautoryzowanych transakcji. Po trzecie, złóż zawiadomienie o podejrzeniu popełnienia przestępstwa na Policji lub w prokuraturze - i pamiętaj o wniosku o ściganie, bo czyny z art. 190a i 267 k.k. są wnioskowe. Po czwarte, sprawdź swoją historię w Biurze Informacji Kredytowej (BIK) i w biurach informacji gospodarczej (np. KRD, ERIF, BIG InfoMonitor), by wykryć zobowiązania zaciągnięte na Twoje dane. Po piąte, dokumentuj wszystko: korespondencję, numery zgłoszeń, daty rozmów - ta dokumentacja będzie potrzebna w sporze z wierzycielem i w postępowaniu karnym.

Jak bronić się przed długiem zaciągniętym na skradzione dane

Jeżeli na Twoje dane ktoś zaciągnął kredyt lub pożyczkę, nie jesteś bezbronny. Umowa zawarta przez oszusta podszywającego się pod Ciebie nie wiąże Cię - nie złożyłeś oświadczenia woli, więc zobowiązanie nie powstało po Twojej stronie. W praktyce należy pisemnie zakwestionować dług wobec wierzyciela (banku, firmy pożyczkowej), powołując się na to, że umowy nie zawierałeś i że trwa postępowanie karne. Skuteczne jest dołączenie potwierdzenia zawiadomienia o przestępstwie. Jeśli dane trafiły do rejestru dłużników, masz prawo żądać sprostowania lub usunięcia wpisu, a w razie odmowy złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO) na podstawie RODO. Warto rozważyć też roszczenia cywilne wobec instytucji, która nienależycie zweryfikowała tożsamość wnioskodawcy. Przy bardziej skomplikowanych sprawach (egzekucja komornicza z fałszywego tytułu, postępowanie sądowe) niezbędna bywa pomoc prawnika.

Środki zapobiegawcze - jak ograniczyć ryzyko

Proaktywne nawyki znacząco zmniejszają ryzyko kradzieży tożsamości. Zastrzeż numer PESEL w rejestrze zastrzeżeń, jeśli nie planujesz w najbliższym czasie zaciągać zobowiązań (możesz go czasowo odblokować na potrzeby konkretnej umowy). Używaj silnych, unikalnych haseł i włącz uwierzytelnianie dwuskładnikowe na koncie bankowym, poczcie i w mediach społecznościowych. Nie podawaj pełnych danych ani kodów na żądanie z telefonu, SMS-a czy linku - weryfikuj nadawcę bezpośrednio przez oficjalny kanał. Chroń dokumenty: nie udostępniaj skanów dowodu poza niezbędnymi sytuacjami, a jeśli musisz, oznaczaj kopie (cel i datę). Regularnie monitoruj konto bankowe i raz na jakiś czas sprawdzaj raport w BIK oraz zapytania o Twoje dane. Korzystaj z usług powiadamiania o zapytaniach kredytowych oferowanych przez biura informacji gospodarczej. Te kroki nie dają stuprocentowej gwarancji, ale realnie utrudniają wykorzystanie Twoich danych.