Czy można wysłać skan dowodu osobistego i jakie są tego konsekwencje?

Czy można wysłać skan dowodu osobistego?

Samo wykonanie skanu, kserokopii lub zdjęcia dowodu osobistego nie jest w polskim prawie wprost zakazane. O dopuszczalności decyduje legalny cel i podstawa prawna po stronie administratora danych, a także przestrzeganie zasady minimalizacji danych zgodnie z RODO [1][2][3].

Nie każde żądanie przesłania skanu jest uprawnione. Podmiot powinien wykazać, że posiada konkretną podstawę prawną do pozyskania i utrwalania obrazu dokumentu oraz że nie wystarczy jedynie wgląd do dokumentu bez kopiowania [2][3].

Na czym polega różnica między skanem a repliką dokumentu?

Ustawa o dokumentach publicznych penalizuje wytwarzanie, oferowanie, zbywanie lub przechowywanie w celu zbycia replik dokumentów publicznych karą grzywny, ograniczenia wolności albo pozbawienia wolności do 2 lat [7][2]. Replika to odwzorowanie posiadające cechy autentyczności dokumentu publicznego i zwykle mieszczące się w rozmiarze od 75% do 120% oryginału [2].

Typowy skan lub kserokopia dowodu osobistego nie jest uznawany za replikę, gdyż nie odtwarza cech autentyczności dokumentu. Takie stanowisko, przywoływane również w materiałach UODO, oznacza, że samo wykonanie skanu nie powinno podlegać wskazanej sankcji karnej [7][2].

Co jest ważniejsze od samego skanu?

Praktyczne pytanie brzmi nie tyle czy wolno zrobić skan, ile czy wolno go żądać, przyjąć, utrwalać i przechowywać oraz w jakim zakresie. Każdy z tych etapów przetwarzania musi posiadać podstawę prawną i jasno określony cel zgodny z zasadą minimalizacji danych [1][2][3].

Zależność między RODO a ustawą o dokumentach publicznych polega na tym, że nawet jeżeli prawo karne nie zabrania samego skanu, administrator nadal musi zapewnić legalność przetwarzania, celowość i ograniczenie zakresu danych do niezbędnego minimum [1][2][3].

Jakie są konsekwencje wysłania skanu dowodu osobistego?

Konsekwencje wysłania skanu dowodu osobistego dotyczą przede wszystkim ryzyka dalszego i nadmiarowego przetwarzania danych oraz możliwości ich użycia do kradzieży tożsamości i oszustw finansowych. Taki plik zawiera pełen zestaw danych identyfikacyjnych, który może posłużyć do nieuprawnionych działań, a w przypadku wycieku zwiększa ryzyko wyłudzeń i strat finansowych [4][5][6].

Szczególnie wrażliwe z punktu widzenia nadużyć są informacje takie jak imię i nazwisko, numer PESEL, numer dokumentu, wizerunek, daty ważności i cechy identyfikacyjne. Właśnie te elementy najłatwiej wykorzystać do podszycia się pod daną osobę, wyłudzenia pożyczki, otwarcia konta i innych nieautoryzowanych operacji [4][5][6].

Jak działa ryzyko nadużyć związane ze skanem?

Mechanizm ryzyka polega na tym, że pojedynczy plik ze skanem dostarcza oszustowi komplet identyfikacyjny do prób podszycia się pod ofiarę. Zgromadzenie w jednym miejscu danych takich jak PESEL, numer dokumentu i zdjęcie radykalnie ułatwia przeprowadzenie nieuprawnionych transakcji i eskalację szkód [5][6].

Kiedy podmiot może żądać skanu i w jakim zakresie?

Podmiot powinien najpierw sprawdzić, czy wystarczy sam wgląd do dokumentu zamiast kopiowania. Żądanie skanu jest dopuszczalne, jeśli istnieje wyraźna podstawa prawna w przepisie szczególnym lub inna przesłanka z RODO, a zakres danych zostanie ograniczony do tego, co niezbędne do realizacji konkretnego celu [2][3].

W 2026 r. wskazano, że ogólny interes w przeciwdziałaniu oszustwom nie uzasadnia żądania pełnego skanu lub zdjęcia dokumentu bez wyraźnej podstawy prawnej. Podmiot nie może opierać takiego żądania wyłącznie na ogólnej potrzebie weryfikacji ryzyka nadużyć [8].

W sektorach posiadających obowiązki identyfikacyjne żądanie dokumentu może wynikać z przepisów, ale nadal musi być ograniczone do niezbędnego zakresu i spełniać wymogi legalności przetwarzania danych osobowych [8][3].

Jak wygląda proces przetwarzania i gdzie pojawiają się wymogi prawne?

W typowym przebiegu podmiot żąda dokumentu, utrwala jego obraz, a następnie przechowuje lub przekazuje dalej. Każdy etap wymaga odrębnej podstawy prawnej, określonego celu, zastosowania zasady minimalizacji danych i rozliczalności zgodnie z RODO [8][3].

Dlaczego zasada minimalizacji danych jest kluczowa?

Zasada minimalizacji danych oznacza, że wolno przetwarzać wyłącznie te informacje, które są niezbędne do realizacji oznaczonego celu. Z tego wynika obowiązek ograniczenia zakresu żądanych danych oraz preferowanie wglądu do dokumentu zamiast kopiowania, o ile pozwala na to przepis i potrzeby celu [3][2].

Co wynika z ustawy o dokumentach publicznych w praktyce?

Penalizacja dotyczy replik dokumentów posiadających cechy autentyczności, a nie typowego skanu lub kserokopii. Sankcją za wytwarzanie, oferowanie, zbywanie lub przechowywanie w celu zbycia repliki jest grzywna, ograniczenie wolności lub pozbawienie wolności do 2 lat. Replika zwykle mieści się w przedziale 75–120 procent rozmiaru oryginału i naśladuje jego cechy bezpieczeństwa [7][2].

W materiałach UODO podkreślono, że skan dowodu osobistego nie jest repliką dokumentu publicznego, co wyklucza automatyczne stosowanie wskazanej odpowiedzialności karnej za sam fakt wykonania skanu [2].

Co zrobić, gdy skan zażądano bez podstawy prawnej?

Żądanie przesłania pełnego skanu dowodu bez wyraźnej podstawy prawnej oraz bez wykazania niezbędności może naruszać zasady ochrony danych osobowych, w tym legalności, celowości i minimalizacji. Podmiot nie może uzasadniać takiego przetwarzania samym ogólnym interesem w przeciwdziałaniu oszustwom [8][3].

Jak odpowiedzialnie decydować o udostępnieniu skanu?

• Weryfikuj, czy istnieje konkretna podstawa prawna do żądania skanu oraz czy wgląd do dokumentu nie wystarcza do osiągnięcia celu [2][3].
• Domagaj się ograniczenia zakresu danych do niezbędnego minimum zgodnie z zasadą minimalizacji i celem przetwarzania [3].
• Miej świadomość, że pojedynczy plik ze skanem może posłużyć do kradzieży tożsamości i oszustw finansowych, co generuje ryzyko wyłudzeń, nieautoryzowanych kredytów i strat finansowych [5][6].
• Pamiętaj, że przeciwdziałanie oszustwom bez wskazania wyraźnej podstawy nie usprawiedliwia żądania pełnego skanu dokumentu [8].

Podsumowanie

Można wysłać skan dowodu osobistego, ale decydujące są przesłanki z RODO i przepisów szczególnych. Skan co do zasady nie jest repliką, więc nie podlega sam w sobie sankcji karnej przewidzianej dla replik dokumentów publicznych. Największe ryzyko dotyczy dalszego przetwarzania i nadużyć wynikających z dostępu do pełnego zestawu danych identyfikacyjnych, w tym PESEL, numeru dokumentu i wizerunku. Przed wysłaniem skanu należy ustalić podstawę prawną, cel i niezbędny zakres danych oraz rozważyć, czy nie wystarczy sam wgląd do dokumentu. Żądanie pełnego skanu wyłącznie w imię przeciwdziałania oszustwom, bez wyraźnej podstawy prawnej, narusza zasady ochrony danych [7][1][2][8][3][4][5][6].

Wykorzystane materiały

1. https://www.prawo.pl/biznes/ksero-dowodu-dozwolone-przetwarzanie-danych-nie,441907.html
2. https://www.prawo.pl/biznes/karanie-za-skanowanie-dokumentow-tozsamosci-stanowisko-uodo,444528.html
3. https://prawniczka.com/kserowanie-i-skanowanie-dowodu-osobistego-co-mowi-prawo-i-jak-chronic-swoje-dane/
4. https://leczymytarczyce.pl/jakie-zagrozenia-niesie-udostepnianie-skanu-dowodu-osobistego/
5. https://e-myszkow.pl/skan-dowodu-osobistego-zagrozenia-i-jak-je-minimalizowac
6. https://forsal.pl/praca/aktualnosci/artykuly/8677919,robisz-zdjecie-dowodu-osobistego-mozesz-stracic-duze-pieniadze.html
7. https://lbkp.pl/odpowiedzialnosc-karna-za-ksero-lub-skan-dokumentu/
8. https://legalis.pl/zadanie-skanu-dowodu-osobistego-przez-platforme-do-zamawiania-uslug-bez-podstawy-prawnej-narusza-rodo/

CyberThreat.pl

CyberThreat.pl to zespół pasjonatów i ekspertów cyberbezpieczeństwa, którzy przekładają skomplikowane zagadnienia na praktyczne porady i rzetelne analizy. Wierzymy, że wiedza i świadomość to najlepsza ochrona przed zagrożeniami cyfrowego świata. Nasze treści tworzymy z myślą o wszystkich użytkownikach internetu, dbając o wiarygodność, przejrzystość oraz edukację. CyberThreat.pl – szyfrujemy Twoją ciekawość!