Zgodnie z art. 26 ustawy o ochronie danych osobowych każdy administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były przetwarzane zgodnie z prawem, dla określonych celów, merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane oraz przechowywane w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania. Pamiętajmy, że przetwarzanie danych, to jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie. Przetwarzanie danych zgodnie z prawem, czyli zasada legalności, polega na realizacji przynajmniej jednej z przesłanek wynikających z art. 23 ustawy o ochronie danych osobowych. Przetwarzanie danych jest dopuszczalne między innymi wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa lub wtedy, gdy osoba, której dane dotyczą, wyrazi na to zgodę lub też, gdy jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą. Przy tym wszystkim należy wywiązywać się z zasady merytorycznej poprawności, czyli aby dane były zgodne z prawdą, pełne, kompletne i aktualne oraz bardzo ważnej zasady adekwatności, czyli gromadzenia takich danych, jakie są konieczne, niezbędne do realizacji określonego celu lub takich, jakie są wymienione w przepisach szczegółowych. Żadne przepisy prawa natomiast wprost ani nie nakazują kserowania dowodów osobistych, na przykład na potrzeby realizacji umów, ani też nie zakazują takiej praktyki. Większe znaczenie ma zakres i cel zbieranych danych niż forma utrwalania.

Sporadycznie jednak celowym i adekwatnym będzie gromadzenie takich danych, jak wizerunek ze zdjęcia w dowodzie, płeć, wzrost, kolor oczu, nazwisko rodowe czy wzór podpisu. Tak wiele danych jest w dowodach osobistych wydawanych przed 1 marca 2015 roku.

Swego rodzaju wyjątkiem może być art. 112 b ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe, zgodnie, z którym banki mogą przetwarzać dla celów prowadzonej działalności bankowej informacje zawarte w dokumentach tożsamości osób fizycznych. Przepis ten legalizuje zatem pozyskiwanie przez banki danych osobowych zawartych w dowodach osobistych klientów. Natomiast w myśl poglądu wyrażonego w wyroku Naczelnego Sądu Administracyjnego z 19 grudnia 2001 r. (sygn. akt II SA 2869/2000), zgodnie, z którym gromadzenie danych poprzez wykonanie kopii dokumentu zawierającego dane osobowe jest kwestią techniczną; posługiwanie się taką, czy inną techniką utrwalania tych danych (kopiowanie lub przepisywanie) nie przesądza samo przez się o legalności albo nielegalności tego utrwalania (przetwarzania). Teoretycznie więc samo kserowanie dowodów jest w tym przypadku czynnością techniczną, która ze swojej istoty nie jest zakazana przepisami ustawy o ochronie danych osobowych. Wspomniany art. 112b Prawa bankowego odnosi się wprost do informacji zawartych w dokumentach tożsamości osób fizycznych. Stąd skserowanie lub skan dowodu osobistego nie złamie zasady adekwatności.

W większości jednak przepisów zakres danych niezbędnych do określonego celu jest enumeratywnie wyliczony i wskazany. Jest on czasami bardzo szeroki, jak na przykład w Prawie telekomunikacyjnym czy w przepisach prawa pracy, ale nie na tyle, aby uzasadnionym było kopiowanie dowodów tożsamości. Tym samym w teczkach akt osobowych pracownika nie może znajdować się kserokopia dowodu osobistego. Do kwestionariusza osobowego pracownika, czy osoby ubiegającej się o zatrudnienie, zgodnego z aktualnym Rozporządzeniem Ministra Pracy i Polityki Socjalnej w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika, przepisujemy wymagane dane z dokumentu tożsamości.

Zawierając natomiast umowę na usługi telekomunikacyjne nie możemy być przymuszani do wyrażenia zgody na skopiowanie dowodu. GIODO bardzo mocno podkreśla, że przy nawet obowiązkowej już teraz rejestracji telefonicznych kart prepaid (kart SIM) operatorzy nie mają prawa kserować dowodu osobistego. Konieczność rejestracji kart SIM wynika z nowej ustawy antyterrorystycznej. Kupując nową kartę trzeba podać imię, nazwisko, numer PESEL, za okazaniem dowodu osobistego lub paszportu i złożyć swój podpis. I tyle. Sprzedawca ma dane przekazać do operatora, a ten musi informacje składować. Nie może więc być mowy, aby w każdym punkcie sprzedającym takie karty miało się znaleźć ksero dowodu kupującego. Nawiasem mówiąc, to sprzedawcy powinni odbyć szkolenia z ochrony danych osobowych.

Pamiętajmy, że kserokopia czy skan dowodu osobistego to naprawdę bardzo cenny dokument, zwłaszcza dla oszustów. Na jego podstawie można założyć konto w banku lub zawrzeć umowę kredytową przez Internet, zwłaszcza w instytucjach para bankowych lub założyć firmę uczestniczącą w wyłudzaniu podatku VAT, oczywiście bez wiedzy właściciela tego dokumentu. Oszust, cyberprzestępca, znając wszystkie czyjeś dane, może założyć fałszywy sklep internetowy, dokonywać zakupów na duże kwoty w serwisach aukcyjnych czy innych sklepach internetowych. Wachlarz możliwości jest bardzo duży, gdy szczegółowe dane, szczególnie w postaci kserokopii lub skanu dowodu osobistego, dostaną się w niepowołane ręce. W każdy możliwy sposób trzeba chronić dokumenty tożsamości, aby zabezpieczyć je przed ich nieuprawnionym wykorzystaniem, co jest szczególnie istotne w obliczu narastającego problemu kradzieży tożsamości. Pozostawianie kserokopii lub skanów dowodów w różnych firmach znacząco tą ochronę obniża. Z punktu więc widzenia osoby, której dane dotyczą, bezpieczniej dla niej jest okazanie dokumentu w celu potwierdzenia tożsamości i nawet spisania z niego odpowiednich danych, a nie jego kserowanie czy skanowanie. Przytoczony powyżej wyrok NSA jest sprzed kilkunastu lat. Warunki, łącznie z prawnymi, istotnie się w między czasie zmieniły. Kradzież tożsamości i oszustwa z tym związane mają teraz miejsce na bardzo dużą skalę. Popularną ostatnio metodą wyłudzania danych są fałszywe ogłoszenia o pracę, które wymagają nie tylko CV, ale również kserokopii dowodu osobistego. W ostatnim czasie Policja w kilku miastach rozbijała szajki zajmujące się takim procederem. Oszuści albo bardzo opłacalnie sprzedają tak pozyskane dane kolejnym przestępcom, albo dzięki nim wyłudzają dziesiątki i setki tysięcy złotych w imieniu ofiary. Jako osoby, których dane dotyczą nie pozwalajmy więc na kopiowanie naszych dowodów osobistych, a jako administratorzy danych nie przekraczajmy zasady adekwatności i celowości. Tam natomiast gdzie pozyskanie kserokopii jest prawnie uzasadnione należałoby pamiętać i starać się częściowo zamazywać zbędne dane lub napisać na obrazie kopii dowodu datę i cel jej wykonania.

25 maja 2018 roku wejdzie w życie już uchwalone ogólne rozporządzenie UE o ochronie danych osobowych. Nakłada ono na administratorów danych jeszcze większe obowiązki i odpowiedzialność za gromadzenie jedynie niezbędnych danych osobowych oraz ich ochronę.  Te niespełna dwa lata, zanim rozporządzenie będzie bezpośrednio obowiązywać wszystkie kraje członkowskie, mają być poświęcone na dostosowanie do niego polskiego prawa oraz zasad i procedur administratorów danych. Może więc będzie to dobry moment, aby problem kserowania dowodów osobistych rozwiązać na poziomie legislacyjnym. Administratorzy danych już teraz powinni zaprzestać takiej praktyki.

Cytując obecnego Generalnego Inspektora Ochrony Danych Osobowych, Panią dr Edytę Bielak-Jamaa, jeśli sądy na podstawie obecnego prawa uznają kserowanie czy skanowanie dowodu osobistego za dopuszczalne, to być może nadszedł czas, by to prawo zmienić. Natomiast bez dodatkowych zmian i tak bezwzględnie trzeba wiedzieć, że dowód osobisty czy paszport nie może być gdziekolwiek przedmiotem jakiegokolwiek zastawu. Zgubione natomiast dokumenty zastrzegajmy w banku czy w Biurze Informacji Kredytowej.

Piotr Glen

Administrator bezpieczeństwa informacji

Audytor systemów zarządzania bezpieczeństwem informacji