Czy wysyłanie skan dowodu jest bezpieczne w codziennych sytuacjach?

Nie. Wysyłanie skanu dowodu w codziennych sytuacjach nie jest automatycznie bezpieczne ani konieczne. Ryzyko zależy od tego, kto prosi o dokument, w jakim celu, jaką drogą ma być przesłany i jak długo będzie przechowywany. Zanim udostępnisz skan dowodu osobistego, oceń legalność żądania, niezbędność kopii oraz sposób zabezpieczenia, a w razie wątpliwości wybierz bezpieczniejszą alternatywę.

Czym jest skan dowodu osobistego i dlaczego budzi ryzyko?

Skan dowodu osobistego to cyfrowa kopia dokumentu zawierająca pełny zestaw danych identyfikacyjnych. Obejmuje imię i nazwisko, numer PESEL, numer dokumentu, datę urodzenia, obywatelstwo, wizerunek oraz informacje o samym dokumencie. Taki zakres informacji może posłużyć do kradzieży tożsamości, podszywania się pod właściciela, zawierania umów, prób wyłudzeń kredytów i dalszych oszustw.

Skutki wycieku realnie występują. W IV kwartale 2025 r. zastrzeżono 32,3 tys. dokumentów, czyli średnio około 322 dziennie, a banki udaremniły 3 971 prób wyłudzeń kredytów o wartości 90,8 mln zł. Na koniec 2025 r. Centralna Baza Danych Systemu DOKUMENTY ZASTRZEŻONE obejmowała 2 744 642 dokumenty, a tylko w samym 2025 r. do systemu trafiło 117,8 tys. utraconych dokumentów tożsamości, o 28 procent mniej niż rok wcześniej. W całym 2025 r. udaremniono 15 151 prób.

Kiedy wysyłanie skanu dowodu jest rzeczywiście konieczne?

Zgodnie ze stanowiskiem organu nadzorczego kopiowanie dowodu przez instytucję finansową jest uzasadnione tylko wtedy, gdy jest to niezbędne do realizacji obowiązków związanych z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu. Poza takim obowiązkiem należy stosować zasadę minimalizacji danych i ograniczenia celu. Administrator ma przetwarzać tylko te informacje, które są konieczne do osiągnięcia konkretnego, legalnego i jasno określonego celu. Sama prośba o skan nie stanowi podstawy prawnej do jego pozyskania.

Czy pełny skan jest niezbędny w codziennych sprawach?

W typowych procesach konsumenckich i zawodowych pełny skan nie jest jedynym możliwym rozwiązaniem. Często wystarczy wgląd w dokument bez utrwalania kopii, przekazanie wybranych danych, wykorzystanie oficjalnego formularza lub skorzystanie z państwowych narzędzi identyfikacji, jeśli są dostępne. Każdorazowo trzeba uzasadnić, dlaczego kopia całego dokumentu miałaby być konieczna do danej czynności.

Jak ocenić prośbę o skan krok po kroku?

• Kto dokładnie prosi o dokument oraz w czyim imieniu działa.
• Jaki jest konkretny cel, czy da się go osiągnąć bez kopii dokumentu oraz jaka jest podstawa prawna lub umowna przetwarzania.
• Kto będzie miał dostęp do pliku, jak jest zabezpieczony kanał, jakie są zasady retencji oraz termin usunięcia.
• Czy istnieje bezpieczniejsza alternatywa potwierdzenia tożsamości lub dostarczenia niezbędnej informacji.

Jeżeli odpowiedzi nie są jasne albo odbiorca nie potrafi wykazać podstawy prawnej i konieczności, wysyłanie skanu dowodu jest niezasadne i zwiększa ryzyko nadużyć.

Dlaczego sam bezpieczny kanał nie wystarcza?

Nawet jeśli przesyłasz plik szyfrowanym łączem, problem legalności i niezbędności pozostaje. Bez właściwej podstawy i zgodności z zasadą minimalizacji samo techniczne zabezpieczenie transmisji nie usprawiedliwia kopiowania dokumentu. Dodatkowo plik bywa przechowywany w skrzynkach pocztowych, systemach CRM i kopiach zapasowych, gdzie dostęp może mieć wiele osób przez długi czas, co zwiększa powierzchnię potencjalnego wycieku.

Na co uważać? Sygnały ostrzegawcze?

• Presja czasu lub groźba odrzucenia wniosku za brak natychmiastowej kopii.
• Brak pełnej informacji o administratorze danych i podstawie przetwarzania.
• Prośba o wysyłkę na prywatny adres lub przez komunikator, bez oficjalnego portalu.
• Brak wyjaśnienia celu, zakresu potrzebnych danych i okresu przechowywania.
• Żądanie dodatkowych danych niewynikających z celu, takich jak selfie, kody SMS lub dane logowania.

Jak bezpieczniej potwierdzić tożsamość bez skanu?

Bezpieczniejszą praktyką jest okazanie dokumentu do wglądu, ograniczenie zakresu udostępnianych informacji do absolutnego minimum, użycie oficjalnych formularzy z kontrolą dostępu albo dostępnych państwowych narzędzi identyfikacji, zamiast udostępniania pełnej kopii dokumentu. Te metody lepiej realizują zasadę minimalizacji i ograniczenia celu.

Jeśli jednak kopia jest wymagana, jak ograniczyć ryzyko?

• Dodaj czytelne oznaczenie na obrazie, na przykład Kopia wyłącznie dla nazwa podmiotu, cel i data. To nie gwarantuje ochrony, lecz utrudnia wtórne użycie.
• Przekazuj plik wyłącznie przez oficjalny, szyfrowany portal z uwierzytelnianiem i kontrolą dostępu. Zwykła wiadomość e mail nie zapewnia, że dotrze wyłącznie do właściwego adresata.
• Potwierdź adres odbiorcy niezależnym kanałem, na przykład przez oficjalną infolinię lub stronę podmiotu.
• Zażądaj informacji o okresie retencji i procedurze usunięcia oraz potwierdzenia, że odbiorca stosuje zasadę minimalizacji.
• Po zakończeniu sprawy usuń plik z wysłanych, kosza i chmury oraz zachowaj dowód komu, kiedy i w jakim celu przekazałeś dokument.

Jakie są obowiązki administratora danych?

Administrator danych decyduje o celach i sposobach przetwarzania. Musi wykazać legalną podstawę, konieczność utrwalenia kopii i zgodność z zasadami minimalizacji oraz ograniczenia celu. Powinien też określić okres przechowywania, ograniczyć dostęp, stosować adekwatne zabezpieczenia i usuwać dane, gdy nie są już potrzebne w świetle obowiązków prawnych. Osoba, której dane dotyczą, ma prawo pytać o zakres, podstawę, retencję i żądać usunięcia po ustaniu celu.

Co zrobić po incydencie lub utracie danych?

Jeżeli podejrzewasz, że kopia dokumentu trafiła do nieuprawnionych osób albo doszło do utraty dokumentu, niezwłocznie zastrzeż dokument i skontaktuj się z właściwymi instytucjami. ZBP prowadzi System DOKUMENTY ZASTRZEŻONE, który ogranicza możliwość wykorzystania utraconych dokumentów w sektorze finansowym. Skuteczność takich działań potwierdzają dane. W IV kwartale 2025 r. banki udaremniły 3 971 prób wyłudzeń kredytów, a baza systemu obejmowała 2 744 642 dokumenty na koniec roku. W samym 2025 r. do systemu zgłoszono 117,8 tys. utraconych dokumentów, co oznacza spadek o 28 procent rok do roku. W całym 2025 r. udaremniono 15 151 prób. W razie ryzyka rozważ również zastrzeżenie numeru PESEL i poinformowanie banku o potencjalnym nadużyciu.

Podsumowanie. Czy wysyłanie skanu dowodu jest bezpieczne?

Wysyłanie skanu dowodu w codziennych czynnościach z zasady nie jest bezpieczne ani niezbędne. Kopia dokumentu zawiera komplet wrażliwych danych, które mogą zostać użyte do kradzieży tożsamości i wyłudzeń. Jeśli nie istnieje wyraźna podstawa prawna i realna konieczność wynikająca z konkretnego celu, wybierz alternatywy zgodne z zasadą minimalizacji, a przy wymaganej kopii stosuj środki ograniczające ryzyko. Statystyki nadużyć i skala zastrzeganych dokumentów pokazują, że ostrożność nie jest nadmierna, lecz uzasadniona.