Dwa lata więzienia za ksero dowodu. Kogo obejmą nowe przepisy?

Praktyka skanowania dowodów osobistych jest powszechna choćby przy wypożyczaniu nart, rowerów albo samochodów. W ten sposób firmy starają się zabezpieczyć przed kradzieżą sprzętu. Sęk w tym, że praktyki takie wielokrotnie krytykowali najpierw generalny inspektor ochrony danych osobowych, a potem Urząd Ochrony Danych Osobowych. Ich zdaniem powielanie dokumentów jest ryzykowne – dzięki temu łatwo przygotować kopię oryginału i wykorzystać ją w przestępstwie, np. wyłudzając pożyczkę.

Wygląda na to, że argumenty te dotarły w końcu do rządu, który postanowił zakazać skanowania. Od 12 lipca firmy będą mogły co najwyżej poprosić o okazanie dowodu i spisać dane niezbędne do weryfikacji osoby, z którą zawierają umowę. Zabronione będzie również tworzenie replik dokumentów, czyli np. dowodów kolekcjonerskich. Za złamanie przepisów będzie grozić kara nawet do dwóch lat pozbawienia wolności. Wciąż nie wiadomo, czy nowe prawo będzie obowiązywać również instytucje finansowe, ubezpieczycieli oraz operatorów telekomunikacyjnych bądź dostawców internetu. Podmioty te mogą upierać się, że mają podstawy prawne do kontynuowania praktyki kopiowania dokumentów.

Agnieszka Sagan-Jeżowska z kancelarii Wierzbowski Eversheds Sutherland wskazuje, że banki oraz ubezpieczalnie powołują się w tym przypadku na dyrektywę w sprawie zapobiegania wykorzystywaniu systemu finansowego do prania pieniędzy oraz rekomendacje Komisji Nadzoru Finansowego.

Skanujesz dowody osobiste swoich klientów? Już niedługo odpowiesz za to karnie

Od 12 lipca za wykonanie kopii dokumentu publicznego, a więc również paszportu, prawa jazdy, karty pojazdu czy legitymacji potwierdzającej np. niepełnosprawność, będzie bowiem grozić kara nawet do dwóch lat więzienia

A wszystko za sprawą wchodzącej właśnie w życie po półrocznym vacatio legis ustawy z 22 listopada 2018 r. o dokumentach publicznych (Dz.U. poz. 53). Wprowadza ona sankcje karne za sporządzanie replik dokumentów publicznych, w tym m.in. dowodów osobistych i paszportów czy prawa jazdy. Sporządzanie repliki, w tym kserokopii lub wydruków, będzie zagrożone karą do dwóch lat pozbawienia wolności. Kopiować dowody osobiste lub paszporty można wyłącznie wówczas, gdy są one wykonane do celów urzędowych, służbowych lub zawodowych określonych na podstawie odrębnych przepisów lub na użytek osoby, dla której dokument został wydany.

Dlaczego kserowanie stanowi problem

Kopiowanie pełnych dowodów osobistych spotyka się najczęściej w sektorach regulowanych, tj. w bankach, firmach ubezpieczeniowych, telekomach, ale zdarza się to również w podmiotach świadczących inne usługi, np. w wypożyczalniach samochodów, sprzętu wodnego i plażowego oraz innego sprzętu transportu prywatnego (hulajnogi, segway’e), a także w zakładach bukmacherskich. Rzecz w tym, że tak sporządzone kopie posiadają pełen zakres informacji umożliwiający sporządzenie repliki dokumentu. Obecnie – do 12 lipca – wytwarzanie tzw. dowodów kolekcjonerskich (czyli kopii wykonanych w celach prywatnych) jest legalne i nie jest obwarowane żadnymi wymogami. Inaczej mówiąc, zasadniczo każdy może zlecić wykonanie kopii dokumentu tożsamości, twierdząc, że zrobił to w celach prywatnych i nie będzie podstawy, by go ukarać, nawet gdyby była to kopia dowodu innej osoby, dopóki nie będzie ona użyta w niewłaściwym celu.

A co można zrobić z takim podrobionym dowodem osobistym? Na przykład ukraść tożsamość prawowitego właściciela podrabianego dokumentu i wziąć pożyczkę krótkoterminową, którą obecnie załatwimy nawet przez internet. Finezja przestępców sięga jednak zdecydowanie dalej. Rok temu Niebezpiecznik.pl informował o wykorzystywaniu skopiowanych dowodów osobistych do wyrabiania duplikatu karty SIM, za pomocą której kradziono pieniądze poprzez systemy bankowości elektronicznej. Dlatego od długiego czasu różne środowiska podkreślały konieczność zakazania wytwarzania i posługiwania się repliką dowodu osobistego.

Niezgodność z RODO

Także organ ochrony danych osobowych od wielu lat konsekwentnie podkreślał konieczność ochrony informacji zawartych w naszych dowodach osobistych, w szczególności stał na stanowisku, że co do zasady kopiowanie dowodów osobistych jest niedozwolone ze względu na naruszenie zasady adekwatności (obecnie: minimalizacji danych osobowych). Co istotne, organ ten nie kwestionuje samej potrzeby weryfikacji danych potwierdzających tożsamość osób fizycznych czy przetwarzania danych z dowodu. Kwestionowany jest natomiast zakres przetwarzania tych danych i sposób ich powielania. Mimo że kampanie edukacyjne i działania nadzorcze są podejmowane od wielu lat, niektóre podmioty wciąż stosują praktykę kopiowania całych tych dokumentów wraz ze wszystkimi danymi w nich zawartymi. Tymczasem dla potwierdzenia tożsamości osoby, czyli zrealizowania celu przetwarzania informacji z dowodów osobistych, wystarczający jest zazwyczaj sam wgląd do dokumentu, ewentualnie skopiowanie lub odnotowanie wyłącznie wybranych informacji, które w razie potrzeby posłużą później przedsiębiorcy do dochodzenia roszczeń (czyli w praktyce – numeru dowodu osobistego).

Oczywiście podmioty z niektórych sektorów mogą mieć potrzebę, a czasami wręcz obowiązek przetwarzania szerszych informacji z dowodu, np. w ramach zapobiegania praniu pieniędzy, ale wówczas to wprost z przepisów prawa wprost wynika, jakie informacje należy pozyskać i potwierdzić. Przy czym i wtedy nie ma uzasadnienia dla kopiowania całego dowodu osobistego wraz z informacjami niewskazanymi w przepisach.

Jednak ważniejszym powodem tak zaostrzonego podejścia do kopiowania dowodów osobistych są konsekwencje, jakie to za sobą pociąga, a na gruncie RODO – ryzyka dla praw i wolności osób, których dane dotyczą. Samo bowiem nadmiarowe przetwarzanie danych osobowych stanowi naruszenie praw osób fizycznych, jednak to naruszenia w zakresie bezpieczeństwa, czyli wycieki danych, są zagrożeniem najdalej idącym w skutki. I tutaj widać ogromną różnicę pomiędzy wyciekiem tylko wybranych informacji z dowodów osobistych a wyciekiem pełnych ich kopii. Jeżeli wyciekł cały obraz dokumentu, to sporządzenie jego repliki jest banalnie proste.

Od 75 do 120 proc. oryginału

Dlatego ustawa reguluje zarówno wytwarzanie replik dokumentów publicznych, jak i ich kopiowanie. Mianowicie, zgodnie z art. 58 o dokumentach publicznych, „Kto wytwarza, oferuje, zbywa lub przechowuje w celu zbycia replikę dokumentu publicznego, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2”. Przy czym definicja repliki dokumentu publicznego zawarta w art. 2 ust. 1 pkt 6 ww. ustawy określa wprost, że jest nią „odwzorowanie lub kopia wielkości od 75 proc. do 120 proc. oryginału o cechach autentyczności, z wyłączeniem kserokopii lub wydruku komputerowego dokumentu publicznego wykonanego dla celów urzędowych, służbowych lub zawodowych określonych na podstawie odrębnych przepisów lub na użytek osoby, której dane dotyczą”. A zatem oznacza to, że kserokopia sporządzona dla celów, które nie zostały określone na podstawie odrębnych przepisów, będzie stanowiła zakazaną replikę dokumentu publicznego.
Katalog jest o wiele szerszy

Zabronione będzie nie tylko kopiowanie dowodu osobistego. Ustawa o dokumentach publicznych idzie zdecydowanie dalej, obejmując swoim zakresem szerokie spektrum dokumentów. Ustawowe regulacje dzielą dokumenty publiczne na trzy kategorie ze względu na ich znaczenie dla bezpieczeństwa państwa, przy czym enumeratywny wykaz tej pierwszej kategorii znalazł się bezpośrednio w ustawie. Na wykazy dokumentów drugiej i trzeciej kategorii będziemy musieli poczekać, bowiem zgodnie z delegacją – ustawową zawartą w art. 6 – zostaną one określone w drodze rozporządzenia przez Radę Ministrów. Jednak już wykaz kategorii pierwszej zawiera aż 32 punkty, które obejmują nie tylko dokumenty potwierdzające tożsamość (tj. dowód osobisty i paszport), ale także cały szereg innych, w szczególności: prawo jazdy, dowód rejestracyjny i kartę pojazdu, legitymację potwierdzającą niepełnosprawność, niektóre dokumenty wydawane cudzoziemcom, odpisy z aktów stanu cywilnego, tytuły wykonawcze wydawane przez sądy i referendarzy sądowych i odpisy prawomocnych orzeczeń sądów, prawo wykonywania zawodu lekarza i lekarza dentysty, legitymacje służbowe służb ochrony państwa, osób zatrudnionych w Krajowej Administracji Skarbowej.

A zatem każdy przedsiębiorca kopiujący nie tylko dowody osobiste, lecz jakiekolwiek dokumenty powinien dokonać weryfikacji zgodności kopiowania pod kątem nowej ustawy. Jest to o tyle istotne, że po tym, jak kwestia kopiowania dowodów osobistych była często podnoszona przez organ nadzoru ochrony danych osobowych (prezesa Urzędu Ochrony Danych Osobowych, a wcześniej przez generalnego inspektora ochrony dnach osobowych), w punktach usługowych zaczęto wprawdzie odstępować od kopiowania dowodów, ale jednocześnie pojawiło się zjawisko kopiowania innych dokumentów, np. praw jazdy czy rozmaitych legitymacji.

W celach służbowych, czyli jakich

Ustawę należy ocenić pozytywnie: jest ona bowiem ogromnym krokiem w zapobieganiu przestępstwom kradzieży tożsamości i fałszerstwa dokumentów, w szczególności poprzez delegalizację wykonywania replik dowodów kolekcjonerskich. Jest również pierwszą próbą uregulowania wykonywania kopii dokumentów, a tym samym zakresu danych osobowych przetwarzanych przy tej okazji przez przedsiębiorców. Do tej pory organ nadzoru był jedynym, który, wychodząc z zasady adekwatności, a obecnie minimalizacji danych, wywodził brak legalnych podstaw do kopiowania dokumentów w całości. Wprowadzenie odrębnej ustawy wraz z sankcjami karnymi z pewnością umocni pozycję organu nadzoru oraz specjalistów odpowiedzialnych za obszar RODO w zapobieganiu przetwarzania danych nadmiarowych w kopiach dokumentów.

Jednak regulacja nie usuwa wątpliwości co do granic dozwolonego kopiowania całych dokumentów. Powstaje bowiem wątpliwość interpretacyjna pojęcia „celów urzędowych, służbowych i zawodowych”, które to cele legalizują dokonywanie kserokopii i skanów dokumentów publicznych. O ile bowiem nie mamy wątpliwości, że do wypożyczenia sprzętu sportowego nie jest niezbędne pozyskanie kopii naszego dowodu osobistego, o tyle najczęściej dowody osobiste są kopiowane przez podmioty sektorów regulowanych, które stoją na stanowisku, że konieczność pozyskiwania ich pełnych kopii wynika wprost z przepisów prawa, (np. banki, zakłady ubezpieczeń, telekomy). A jak to uzasadniają? W tych obszarach weryfikacja tożsamości i pozyskiwanie określonych w przepisach danych indentyfikacyjnych z dokumentów tożsamości wynika wprost np. z wymogów dyrektywy AML4 (dyrektywy Parlamentu Europejskiego i Rady UE nr 2015/849 z 20 maja 2015 r. w sprawie zapobiegania wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu; Dz.Urz. UE z 2015 r. L 141 s. 73 ), a bezpośrednio z art. 36 ust. 1 lit. a-d ustawy z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (t.j. Dz.U. z 2019 r. 1115). Obowiązkiem tym objęte jest ustalenie (potwierdzenie) na podstawie dokumentu tożsamości osoby fizycznej i udokumentowanie ustalenia danych wprost wskazanych w ww. art. 36 ust. 1 lit. a–d, co jest przez rynek interpretowane jako obowiązek skopiowania dokumentu potwierdzającego tożsamość. Ale też możemy spodziewać się argumentacji daleko dalej idących, zgodnie z którymi już sama potrzeba identyfikacji dla celów służbowych czy zawodowych również jest określona w odrębnych przepisach, bowiem każdy pracodawca musi zidentyfikować osobę wchodzącą na teren objęty przepisami bhp, za których przestrzeganie odpowiada, albo że każdy przedsiębiorca zawierający umowę cywilnoprawą posiada cel określony w kodeksie cywilnym polegający na dochodzeniu ewentualnych roszczeń z tej umowy. W ten sposób przepisy te mogą być wykorzystywane do prób interpretowania ich na własną korzyść.

Przesądzi UODO oraz orzecznictwo

Również sama definicja repliki dokumentu publicznego pozostawia pole do nadużyć w zakresie sporządzania kserokopii i skanów. Biorąc pod uwagę jej brzmienie, należy przyjąć, że kopia w skali 70 proc. czy 130 proc. nie będzie już stanowiła repliki dokumentu publicznego w rozumieniu ustawy i nie będzie obwarowana sankcjami z niej wynikającymi. A więc o ile ustawa o dokumentach publicznych jest skuteczną odpowiedzią na zjawisko obrotu dowodami kolekcjonerskimi, o tyle wydaje się, że nie w pełni pomoże w walce z wykonywaniem kserokopii i skanów tych dokumentów. Tym samym nadal głównym ograniczeniem dla nadmiarowości przetwarzanych danych osobowych pozostanie zasada minimalizacji określona w art. 5 ust. 1 lit. c RODO (RODO bowiem jako akt wyższej rangi powinno być stosowane). I trzeba przyjąć, że nawet jeśli jakieś cele są określone w innej ustawie, nadal możemy przetwarzać tylko taki zakres danych osobowych, jaki jest nam niezbędny do osiągnięcia określonych celów. Idąc dalej, przetwarzanie wszystkich danych z dowodu osobistego, czyli sporządzanie pełnej kopii dowodu, wciąż będzie naruszało zasadę minimalizacji danych w przypadkach, w których przetwarzanie wszystkich danych zawartych w dowodzie osobistym nie jest niezbędne do osiągnięcia celu ich przetwarzania. A pytanie o granice dozwolonego kopiowania całości dowodów osobistych pozostanie otwarte i uznaniowe. Pozostaje nam czekać na pierwsze stanowiska i interpretacje organów nadzoru i orzecznictwo.