Kradzież tożsamości w internecie - co grozi sprawcy i co zrobić jako ofiara?

Kradzież tożsamości w sieci to potoczna nazwa na całą grupę zachowań: podszywanie się pod inną osobę, zakładanie fałszywych kont, zaciąganie kredytów na cudze dane czy włamania na konta bankowe i pocztę. W polskim prawie kluczowy jest art. 190a § 2 Kodeksu karnego, który wprost penalizuje podszywanie się pod inną osobę z wykorzystaniem jej wizerunku, danych osobowych lub innych danych w celu wyrządzenia szkody majątkowej lub osobistej. W zależności od sposobu działania w grę wchodzą też przepisy o nielegalnym dostępie do informacji (art. 267 KK), oszustwie (art. 286 KK) i oszustwie komputerowym (art. 287 KK). Adwokat pomaga ofierze przejść przez zawiadomienie policji, zablokowanie kont i dochodzenie odszkodowania, a jednocześnie broni osób niesłusznie oskarżonych. Ten artykuł porządkuje, jakie kary realnie grożą i jakie kroki podjąć krok po kroku.

Podstawa karna - art. 190a § 2 Kodeksu karnego

Najważniejszym przepisem jest art. 190a § 2 KK: kto, podszywając się pod inną osobę, wykorzystuje jej wizerunek, dane osobowe lub inne dane, za pomocą których jest ona publicznie identyfikowana, w celu wyrządzenia jej szkody majątkowej lub osobistej, podlega karze pozbawienia wolności od 6 miesięcy do lat 8. To górne zagrożenie zostało podniesione nowelizacją z 2020 r. - wcześniej wynosiło do 3 lat. Co istotne, ściganie tego czynu następuje na wniosek pokrzywdzonego, więc bez złożenia wniosku prokuratura zwykle nie podejmie działań. Typowe przykłady to założenie fałszywego profilu na portalu społecznościowym z czyimś zdjęciem i danymi, podawanie cudzych danych przy zamówieniach czy publikowanie ogłoszeń w cudzym imieniu. Sprawca musi działać w celu wyrządzenia szkody - sam żart bez tego zamiaru może nie wypełniać znamion.

Inne przestępstwa, które towarzyszą kradzieży tożsamości

Kradzież tożsamości rzadko występuje samotnie. Jeśli sprawca uzyskał dane poprzez włamanie na konto, pocztę czy przełamanie zabezpieczeń, popełnia przestępstwo z art. 267 KK (nielegalny dostęp do informacji), zagrożone karą do 2 lat. Gdy na cudze dane zaciąga kredyt lub robi zakupy, doprowadzając do niekorzystnego rozporządzenia mieniem, odpowiada za oszustwo z art. 286 KK (do 8 lat, a przy mieniu wielkiej wartości - art. 294 - do 10 lat). Manipulowanie danymi informatycznymi w celu osiągnięcia korzyści to oszustwo komputerowe z art. 287 KK. Jeżeli sprawca posługuje się sfałszowanym dokumentem na cudze dane, dochodzi art. 270 KK (fałszerstwo). Adwokat dobiera właściwą kwalifikację, bo od niej zależy tryb ścigania, wysokość kary i zakres roszczeń.

Co zrobić natychmiast po wykryciu kradzieży tożsamości

Szybkość działania ogranicza szkody. Po pierwsze, zabezpiecz dowody: zrzuty ekranu fałszywych profili z widoczną datą i adresem URL, e-maile, wyciągi z konta, korespondencję od windykatorów. Po drugie, zawiadom bank o nieautoryzowanych transakcjach i zablokuj karty oraz dostęp do bankowości - zgodnie z ustawą o usługach płatniczych za nieautoryzowane transakcje co do zasady odpowiada dostawca usług płatniczych, a Twoja odpowiedzialność jest ograniczona, jeśli zgłosisz rzecz niezwłocznie. Po trzecie, złóż zawiadomienie o podejrzeniu przestępstwa na policji lub w prokuraturze (pamiętaj o wniosku o ściganie przy art. 190a § 2). Po czwarte, zastrzeż swój numer PESEL w systemie oraz rozważ wpis do rejestru zastrzeżeń kredytowych, aby utrudnić zaciąganie zobowiązań na Twoje dane.

Rola UODO i wymiar ochrony danych osobowych

Jeśli źródłem problemu jest wyciek danych z firmy lub instytucji, do gry wchodzi RODO i polska ustawa o ochronie danych osobowych. Możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO) na administratora, który nie zabezpieczył należycie Twoich danych - UODO może nałożyć na niego administracyjną karę pieniężną. Niezależnie od postępowania karnego przysługuje Ci roszczenie odszkodowawcze z art. 82 RODO za szkodę majątkową i niemajątkową spowodowaną naruszeniem przepisów. Trzeba jednak odróżnić role: UODO nie ściga sprawcy kradzieży tożsamości (to zadanie policji i prokuratury) ani nie zasądza Ci odszkodowania - zajmuje się tym, czy administrator danych dopełnił obowiązków ochrony. To częste nieporozumienie w poradnikach internetowych, które mylnie sugerują, że skarga do UODO zastępuje zawiadomienie o przestępstwie.

Dochodzenie odszkodowania - droga cywilna

Ofiara może domagać się naprawienia szkody na kilka sposobów. W procesie karnym można złożyć wniosek o orzeczenie obowiązku naprawienia szkody (art. 46 KK) - sąd, skazując sprawcę, zobowiązuje go do zapłaty. Niezależnie przysługuje droga cywilna: roszczenie z art. 415 Kodeksu cywilnego (odpowiedzialność za czyn niedozwolony) o odszkodowanie za szkodę majątkową oraz z art. 448 KC o zadośćuczynienie za naruszenie dóbr osobistych (wizerunek, dane, cześć - art. 23 i 24 KC). Jeśli na Twoje dane zaciągnięto kredyt, którego nie podpisałeś, kwestionuj jego ważność - umowa zawarta przez oszusta podszywającego się pod Ciebie zasadniczo Cię nie wiąże, ale często trzeba to wykazać w sporze z bankiem lub firmą windykacyjną, najlepiej z pomocą adwokata.

Jak działa adwokat w sprawie o kradzież tożsamości

Adwokat działa wielotorowo. Po stronie ofiary: pomaga sformułować zawiadomienie i wniosek o ściganie tak, by trafnie wskazać kwalifikację prawną, reprezentuje pokrzywdzonego w postępowaniu, składa pozew cywilny lub wniosek z art. 46 KK, prowadzi spór z bankiem o anulowanie fikcyjnego kredytu oraz przygotowuje skargę do UODO. Po stronie osoby oskarżonej (np. gdy ktoś niesłusznie został powiązany z fałszywym kontem na podstawie adresu IP): kwestionuje dowody, wykazuje brak zamiaru wyrządzenia szkody, podważa wartość dowodową logów i wnosi o opinie biegłych z informatyki śledczej. W obu wariantach kluczowe są terminy - przy art. 190a § 2 trzeba pamiętać o złożeniu wniosku o ściganie, a przy roszczeniach cywilnych o terminach przedawnienia (zasadniczo 3 lata od dowiedzenia się o szkodzie i sprawcy).

Profilaktyka - jak nie stać się ofiarą

Najlepszą obroną jest zapobieganie. Stosuj silne, unikalne hasła i włącz uwierzytelnianie dwuskładnikowe (2FA) na koncie bankowym, poczcie i w mediach społecznościowych. Nie podawaj danych w odpowiedzi na e-maile i SMS-y, nawet jeśli wyglądają jak wiadomość z banku - to najczęstszy scenariusz phishingu; bank nigdy nie prosi o pełne hasło czy kod BLIK przez link. Regularnie sprawdzaj swoją historię kredytową w Biurze Informacji Kredytowej, aby wcześnie wychwycić zobowiązania zaciągnięte na Twoje dane. Skorzystaj z darmowego zastrzeżenia numeru PESEL - dzięki niemu instytucje muszą zweryfikować zastrzeżenie przed udzieleniem kredytu. Ogranicz ilość danych publikowanych w sieci (np. zdjęcia dokumentów). Te proste kroki znacząco obniżają ryzyko i zarazem ułatwiają późniejsze udowodnienie, że padłeś ofiarą oszustwa.