Kradzież tożsamości w internecie: jakie masz prawa i co zrobić krok po kroku

Kradzież tożsamości w internecie to coraz częstszy problem: ktoś podszywa się pod nas, zakłada konta, zaciąga zobowiązania albo dopuszcza się oszustw, posługując się naszym imieniem, numerem PESEL czy zdjęciami. Polskie prawo daje ofiarom konkretne narzędzia obrony, zarówno na gruncie karnym (Kodeks karny), jak i ochrony danych osobowych (RODO i przepisy krajowe). Kluczowe jest jednak szybkie i właściwe działanie. W tym artykule wyjaśniamy, jak prawo kwalifikuje podszywanie się pod inną osobę, jakie kroki podjąć w pierwszych godzinach, jak zgłosić sprawę policji i Prezesowi UODO, jak zastrzec PESEL oraz jak dochodzić odszkodowania. Pokazujemy też, jak bronić się, gdy z powodu cudzego przestępstwa kierowane są wobec nas bezpodstawne roszczenia.

Jak prawo karne kwalifikuje kradzież tożsamości

Polskie prawo nie zna terminu kradzież tożsamości jako odrębnego typu czynu, ale samo podszywanie się jest przestępstwem. Podstawą jest art. 190a § 2 Kodeksu karnego: kto, podszywając się pod inną osobę, wykorzystuje jej wizerunek, inne jej dane osobowe lub inne dane, którymi jest ona identyfikowana publicznie, w celu wyrządzenia jej szkody majątkowej lub osobistej, podlega karze pozbawienia wolności od 6 miesięcy do lat 8. Jeśli sprawca dodatkowo wyłudza pieniądze czy towary, w grę wchodzi art. 286 KK (oszustwo) lub art. 287 KK (oszustwo komputerowe, np. nieuprawnione operacje w bankowości elektronicznej). Wejście na cudze konto czy przechwycenie danych może wypełniać art. 267 KK (nielegalne uzyskanie informacji). Posłużenie się cudzym dowodem osobistym to z kolei czyn z art. 275 KK. Istotne: dla bytu czynu z art. 190a § 2 KK konieczny jest zamiar wyrządzenia szkody, co odróżnia karalne podszycie od np. nieszkodliwego użycia cudzego zdjęcia.

Pierwsze kroki bezpośrednio po wykryciu kradzieży tożsamości

Działaj natychmiast, bo szybkość ogranicza szkody. Po pierwsze, zgłoś sprawę na policję lub do prokuratury i zachowaj potwierdzenie zgłoszenia oraz numer sprawy. Po drugie, powiadom swój bank o wszelkich podejrzanych operacjach i zażądaj zablokowania kart oraz dostępu do bankowości elektronicznej, a w razie nieautoryzowanych transakcji złóż reklamację, powołując się na ustawę o usługach płatniczych. Po trzecie, zabezpiecz dowody: zrzuty ekranu, korespondencję, adresy URL fałszywych profili, wiadomości od oszusta. Po czwarte, jeśli skradziono lub zgubiono dokument tożsamości, niezwłocznie go unieważnij. Po piąte, monitoruj swoje rachunki i raporty kredytowe. Kompletna, uporządkowana dokumentacja od pierwszego dnia ma ogromne znaczenie zarówno dla postępowania karnego, jak i dla późniejszego dochodzenia odszkodowania.

Zastrzeżenie numeru PESEL i unieważnienie dokumentów

Od listopada 2023 r. działa w Polsce rejestr zastrzeżeń numerów PESEL prowadzony na podstawie ustawy o ewidencji ludności i przepisów o doręczeniach elektronicznych. Zastrzeżenie PESEL jest bezpłatne i możesz dokonać go online przez aplikację mObywatel albo portal gov.pl, a także osobiście w dowolnym urzędzie gminy lub w banku. Po zastrzeżeniu instytucje (banki, firmy pożyczkowe, notariusze, operatorzy telekomunikacyjni) mają obowiązek weryfikować rejestr, a zobowiązanie zaciągnięte na zastrzeżony PESEL co do zasady nie wiąże osoby, której numer dotyczy, i nie podlega egzekucji. To jedno z najskuteczniejszych narzędzi prewencyjnych. Niezależnie od tego skradziony lub utracony dowód osobisty należy unieważnić, zgłaszając jego utratę w urzędzie gminy lub przez mObywatel, co uniemożliwia posłużenie się nim przez oszusta.

Zgłoszenie sprawy organom: policja, prokuratura i Prezes UODO

Sprawę kieruje się dwutorowo. Tor karny: zawiadomienie o podejrzeniu popełnienia przestępstwa składamy na policji lub w prokuraturze. Przestępstwo z art. 190a § 2 KK jest ścigane na wniosek pokrzywdzonego, dlatego należy wyraźnie złożyć wniosek o ściganie. W zawiadomieniu podaj swoje dane, opis zdarzenia, posiadane dowody i wskaż, na czym polegało podszycie. Tor ochrony danych: jeśli doszło do bezprawnego przetwarzania Twoich danych osobowych (np. wyciek z firmy, nieuprawnione wykorzystanie danych), możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO). Administrator danych ma obowiązek zgłosić naruszenie ochrony danych do Prezesa UODO w ciągu 72 godzin od stwierdzenia naruszenia (art. 33 RODO), a w razie wysokiego ryzyka także zawiadomić osoby, których dane dotyczą (art. 34 RODO). Ważne sprostowanie wobec oryginału: organem nadzorczym w Polsce jest Prezes UODO, a nie poprzednia nazwa Biuro Ochrony Danych Osobowych.

Prawa ofiary na gruncie RODO

RODO daje ofierze realne uprawnienia. Masz prawo dostępu do swoich danych (art. 15), prawo do sprostowania nieprawidłowych danych (art. 16), prawo do usunięcia danych w określonych sytuacjach (art. 17), prawo do ograniczenia przetwarzania (art. 18) oraz prawo do wniesienia sprzeciwu (art. 21). Najważniejsze z perspektywy poszkodowanego jest jednak prawo do odszkodowania z art. 82 RODO: każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia przepisów RODO, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie. Polskie sądy zasądzają na tej podstawie zarówno rekompensatę strat, jak i zadośćuczynienie za stres, utratę kontroli nad danymi czy obawę przed nadużyciem. Pozew o odszkodowanie z art. 82 RODO wnosi się do sądu cywilnego niezależnie od ewentualnej skargi do Prezesa UODO.

Dochodzenie odszkodowania i obrona przed bezpodstawnymi roszczeniami

Ofiara kradzieży tożsamości może dochodzić odszkodowania kilkoma ścieżkami. Od sprawcy: w postępowaniu karnym można złożyć wniosek o obowiązek naprawienia szkody (art. 46 KK), a niezależnie od tego wytoczyć powództwo cywilne na podstawie art. 415 Kodeksu cywilnego (odpowiedzialność za czyn niedozwolony) oraz art. 24 i 448 KC za naruszenie dóbr osobistych. Od administratora danych: na podstawie art. 82 RODO, gdy szkoda wynikła z naruszenia ochrony danych. Osobna, częsta sytuacja to obrona, gdy oszust zaciągnął na nasze dane kredyt lub zawarł umowę. Wtedy podnosimy, że nie złożyliśmy oświadczenia woli, więc umowa jest nieważna (art. 82-88 KC dotyczące wad oświadczenia woli i brak naszego oświadczenia w ogóle), żądamy od wierzyciela wykazania, że to my zawarliśmy umowę, składamy reklamację, a w razie wpisu do rejestru dłużników (BIK, KRD) żądamy jego usunięcia. Pomocne jest tu zaświadczenie o zastrzeżeniu PESEL oraz potwierdzenie zgłoszenia przestępstwa.

Co zrobić, gdy z powodu kradzieży tożsamości grozi Ci odpowiedzialność

Zdarza się, że na skutek cudzego przestępstwa to ofiara otrzymuje wezwania do zapłaty, nakazy zapłaty, a nawet jest błędnie wskazywana jako sprawca innego czynu (np. oszustwa popełnionego z użyciem jej danych). W takiej sytuacji nie wolno ignorować pism. Po pierwsze, zachowaj wszystkie terminy procesowe; od nakazu zapłaty z e-sądu (EPU) przysługuje sprzeciw, który należy wnieść w terminie, a wniesiony skutecznie powoduje utratę mocy nakazu. Po drugie, w sprzeciwie i pismach wskazuj, że padłeś ofiarą kradzieży tożsamości, dołącz potwierdzenie zgłoszenia na policję i numer sprawy karnej. Po trzecie, jeśli toczy się wobec Ciebie postępowanie karne za czyn popełniony cudzym imieniem, korzystaj z prawa do obrony, w tym z pomocy obrońcy, i wykazuj alibi oraz fakt podszycia. W takich sprawach pomoc adwokata lub radcy prawnego jest szczególnie cenna, bo pozwala równolegle prowadzić obronę procesową i akcję dowodową potwierdzającą, że doszło do nadużycia tożsamości.