Co grozi za kradzież danych osobowych i tożsamości? Kary i prawa ofiary

Kradzież danych osobowych i podszywanie się pod inną osobę to jedno z najszybciej rosnących zagrożeń ery cyfrowej. W polskim prawie nie istnieje wprawdzie jeden przepis o nazwie "kradzież tożsamości", ale szereg czynów składających się na to zjawisko jest wyraźnie penalizowanych — od podszywania się pod inną osobę (art. 190a § 2 Kodeksu karnego), przez bezprawny dostęp do informacji (art. 267 KK), po oszustwo (art. 286 KK) i fałszerstwo dokumentów (art. 270 KK). Dodatkowo bezprawne przetwarzanie danych osobowych jest sankcjonowane na gruncie RODO oraz ustawy o ochronie danych osobowych. Poniżej wyjaśniamy, co dokładnie grozi sprawcy według aktualnego polskiego prawa, jak rozpoznać, że padło się ofiarą, oraz jakie kroki podjąć, by ograniczyć szkody i dochodzić swoich praw.

Czym jest kradzież tożsamości w świetle polskiego prawa

Kradzież tożsamości polega na bezprawnym wykorzystaniu cudzych danych — imienia i nazwiska, numeru PESEL, danych dowodu osobistego, numeru konta czy wizerunku — do działania w cudzym imieniu lub na cudzą szkodę. Najczęstsze scenariusze to zaciągnięcie pożyczki lub kredytu na cudze dane, założenie konta lub firmy, dokonywanie zakupów oraz tworzenie fałszywych profili w sieci. Dane pozyskuje się zwykle metodami takimi jak phishing (podszywanie się pod bank lub instytucję w e-mailu), vishing (oszustwo telefoniczne), smishing (fałszywe SMS-y) czy przejęcie kont w wyniku wycieku danych. Polskie prawo karne reaguje na te zachowania przez kilka uzupełniających się przepisów, a wybór kwalifikacji zależy od tego, na czym dokładnie polegało działanie sprawcy.

Podszywanie się pod inną osobę — art. 190a § 2 KK

Kluczowym przepisem jest art. 190a § 2 Kodeksu karnego: kto, podszywając się pod inną osobę, wykorzystuje jej wizerunek, dane osobowe lub inne dane, za pomocą których jest ona publicznie identyfikowana, w celu wyrządzenia jej szkody majątkowej lub osobistej — podlega karze pozbawienia wolności od 6 miesięcy do lat 8. Istotne jest, że przepis wymaga umyślności i działania w celu wyrządzenia szkody — samo nieostrożne udostępnienie danych lub przypadkowe ich użycie nie wypełnia znamion tego czynu. Jeżeli następstwem podszywania się jest targnięcie się pokrzywdzonego na własne życie, sprawca odpowiada surowiej — kara wynosi od 2 do 12 lat (art. 190a § 3 KK). Ściganie typu podstawowego następuje na wniosek pokrzywdzonego (art. 190a § 4 KK), dlatego ofiara musi sama zainicjować postępowanie.

Bezprawny dostęp do danych — art. 267 KK

Jeśli sprawca uzyskuje dostęp do cudzych informacji bez uprawnienia, w grę wchodzi art. 267 KK. Kto bez uprawnienia uzyskuje dostęp do informacji dla niego nieprzeznaczonej, otwierając zabezpieczone pismo, podłączając się do sieci lub przełamując albo omijając zabezpieczenia (np. hasło), podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2 (art. 267 § 1 KK). Tej samej karze podlega ten, kto bez uprawnienia uzyskuje dostęp do całości lub części systemu informatycznego (art. 267 § 2 KK). Ten przepis obejmuje typowe "włamania" do skrzynek e-mail, kont w mediach społecznościowych czy systemów bankowości elektronicznej. Także te czyny ściga się na wniosek pokrzywdzonego (art. 267 § 5 KK).

Oszustwo i fałszerstwo dokumentów

Gdy sprawca wykorzystuje skradzione dane, by wyłudzić pieniądze — np. zaciąga pożyczkę lub kupuje towar na cudze nazwisko — popełnia oszustwo z art. 286 § 1 KK, zagrożone karą pozbawienia wolności od 6 miesięcy do lat 8. Jeśli posługuje się podrobionym lub przerobionym dokumentem (np. spreparowanym dowodem osobistym czy umową), odpowiada za fałszerstwo materialne dokumentu z art. 270 § 1 KK — kara od 3 miesięcy do lat 5. W praktyce jedno zdarzenie często wyczerpuje znamiona kilku przepisów naraz (np. art. 190a § 2 w zbiegu z art. 286 i art. 270 KK), a sąd kwalifikuje czyn z uwzględnieniem reguł zbiegu przepisów (art. 11 KK). Dlatego realne zagrożenie karą dla sprawcy bywa wyższe niż wynikałoby z jednego tylko przepisu.

Odpowiedzialność za naruszenie ochrony danych — RODO i UODO

Niezależnie od odpowiedzialności karnej sprawcy, bezprawne przetwarzanie danych osobowych rodzi odpowiedzialność na gruncie RODO (rozporządzenie 2016/679) oraz ustawy z 10 maja 2018 r. o ochronie danych osobowych. Za naruszenia administratorom danych grożą administracyjne kary pieniężne nakładane przez Prezesa Urzędu Ochrony Danych Osobowych (PUODO) — w najpoważniejszych przypadkach do 20 mln euro lub 4% rocznego światowego obrotu (art. 83 RODO). Co istotne dla ofiary: art. 82 RODO daje każdej osobie, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia, prawo do odszkodowania od administratora lub podmiotu przetwarzającego. Ustawa o ochronie danych przewiduje też odpowiedzialność karną za bezprawne przetwarzanie danych (art. 107 ustawy) oraz za udaremnianie kontroli organu nadzorczego (art. 108).

Co zrobić, gdy padłeś ofiarą — kroki praktyczne

Działać trzeba szybko. Po pierwsze, złóż zawiadomienie o przestępstwie na policji lub w prokuraturze (art. 304 KPK) i — przy czynach ściganych na wniosek — wniosek o ściganie. Po drugie, zastrzeż swój numer PESEL: od 2023 r. działa rejestr zastrzeżeń PESEL prowadzony przez ministra cyfryzacji (dostępny przez aplikację mObywatel, bankowość lub urząd), który blokuje m.in. zaciąganie kredytów i pożyczek na zastrzeżony numer. Po trzecie, powiadom bank i biura informacji kredytowej oraz złóż reklamacje wszelkich zobowiązań zaciągniętych bez twojej wiedzy. Po czwarte, zmień hasła i włącz uwierzytelnianie dwuskładnikowe. Po piąte, zgłoś incydent do Prezesa UODO, jeśli doszło do naruszenia ochrony twoich danych po stronie firmy. Zachowaj całą dokumentację — będzie podstawą zarówno postępowania karnego, jak i roszczeń o odszkodowanie.

Jak chronić dane i ograniczyć ryzyko

Profilaktyka jest tańsza niż naprawa szkód. Stosuj unikalne, mocne hasła do każdego konta i menedżer haseł, a wszędzie, gdzie się da, włącz uwierzytelnianie dwuskładnikowe (2FA). Zachowaj czujność wobec phishingu — banki i urzędy nie proszą o hasła ani kody w e-mailach czy SMS-ach, a linków z nieoczekiwanych wiadomości nie należy otwierać. Regularnie monitoruj rachunki i raporty kredytowe, by wcześnie wychwycić nieautoryzowane operacje. Zastrzeż numer PESEL, jeśli go aktywnie nie potrzebujesz. Ogranicz ilość danych podawanych w sieci i nie publikuj zdjęć dokumentów. Firmy przetwarzające dane klientów mają obowiązek wdrożyć odpowiednie środki bezpieczeństwa (art. 32 RODO) — jako klient masz prawo pytać, jak twoje dane są chronione, oraz żądać ich usunięcia czy sprostowania.