Kradzież tożsamości nie ma definicji w przepisach prawa. Pojęcie to jest jednak często rozumiane jako podszywanie się pod inną osobę, włamanie się do cudzego konta, wykorzystywanie cudzych danych osobowych, cudzego wizerunku bądź też innych informacji. Czy i w jakich wypadkach kradzież tożsamości jest karalna? Jak zgłosić kradzież dowodu osobistego? Jakie uprawnienia przewiduje RODO? Dowiesz się z poniższego artykułu!
Kradzież tożsamości, czyli podszywanie się pod inną osobę jako przestępstwo
Zgodnie z art. 190a § 2 Kodeksu karnego podszywanie się pod inną osobę poprzez wykorzystanie jej wizerunku, innych danych osobowych lub innych danych, za pomocą których jest ona publicznie identyfikowana, w celu wyrządzenia jej szkody majątkowej lub osobistej, podlega karze pozbawienia wolności od 6 miesięcy do lat 8. Przestępstwo to ścigane jest na wniosek pokrzywdzonego.
Należy zwrócić uwagę, że przypadkowe wykorzystanie wizerunku lub danych innej osoby nie jest karalne w oparciu o ww. przepis. Co więcej, zgodnie z orzecznictwem: „Przestępstwo określone w art. 190a § 2 kk może być popełnione wyłącznie w zamiarze bezpośrednim, tak więc dla realizacji jego znamion nie jest wystarczające, aby sprawca jedynie godził się na wyrządzenie swoim działaniem szkody osobie, pod którą się podszywa, wykorzystując jej wizerunek lub dane osobowe” [wyrok Sądu Najwyższego – Izba Karna z 27 stycznia 2017 roku, V KK 347/16].
Na podobnym stanowisku stanął Sąd Rejonowy w Olsztynie, podkreślając, że: „[…] Ustawa wymaga, aby zachowanie sprawcy było ukierunkowane na określony cel, który w tym przypadku oznacza wyrządzenie szkody majątkowej lub osobistej. Sprawca, podejmując działania, musi mieć wyobrażenie pożądanej dla niego sytuacji, która stanowić ma rezultat jego zachowania. Powyższe ujęcie znamion strony podmiotowej wyklucza możliwość popełnienia tego przestępstwa z zamiarem ewentualnym” [wyrok Sądu Rejonowego w Olsztynie z 21 lipca 2015 roku, II K 497/15].
Kodeks karny przewiduje także typ kwalifikowany powyższego przestępstwa kradzieży tożsamości. Art. 190a § 3 Kodeksu karnego stanowi, że karze od 2 do 12 lat podlega sprawca czynu kradzieży tożsamości, jeżeli następstwem tego czynu jest targnięcie się pokrzywdzonego na własne życie. W tym wypadku przestępstwo ścigane będzie z urzędu.
Warto zauważyć, że Kodeks karny penalizuje również inny czyn związany z podszywaniem się pod kogoś. Zgodnie z art. 267 § 2 kk kto bez uprawnienia uzyskuje dostęp do całości lub części systemu informatycznego, podlega karze grzywny, karze ograniczenia wolności albo pozbawienia wolności do lat 2.
Kradzież tożsamości może być również zrealizowana poprzez przestępstwo phishingu, które penalizowane jest w art. 287 Kodeksu karnego. Zgodnie z tym przepisem kto, w celu osiągnięcia korzyści majątkowej lub wyrządzenia innej osobie szkody, bez upoważnienia, wpływa na automatyczne przetwarzanie, gromadzenie lub przekazywanie danych informatycznych lub zmienia, usuwa albo wprowadza nowy zapis danych informatycznych, podlega karze pozbawienia wolności od 3 miesięcy do lat 5. Wyjątkowo w wypadku mniejszej wagi sprawca podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku.
Warto mieć na uwadze, że: „Przestępstwo z art. 287 § 1 kk dokonane jest już z chwilą wprowadzenia zmian lub innej opisanej w tym przepisie ingerencji w urządzenie lub system do gromadzenia, przetwarzania lub przesyłania informacji za pomocą techniki komputerowej. Efektywna szkoda nie należy zatem do jego znamion. Dla jego bytu obojętny jest także konieczny na gruncie art. 279 § 1 kk zamiar przywłaszczenia” [wyrok Sądu Apelacyjnego w Szczecinie z 14 października 2008 roku, II AKa 120/08].
Co zrobić, gdy „wypłynęły” dane z dowodu osobistego?
Jeżeli podejrzewasz, że Twoje dane z dowodu osobistego mogą służyć do podszywania się pod Twoją tożsamość – możesz zastrzec dowód tożsamości.
Posiadacz dowodu osobistego w przypadku podejrzenia nieuprawnionego wykorzystania jego danych osobowych może zgłosić osobiście ten fakt organowi dowolnej gminy w celu unieważnienia posiadanego dowodu osobistego.
Dokonuje się tego na formularzu zgłoszenia podejrzenia nieuprawnionego wykorzystania danych osobowych. Można to zrobić na piśmie utrwalonym w postaci elektronicznej, po opatrzeniu kwalifikowanym podpisem elektronicznym albo podpisem zaufanym, w organie gminy, który wydał dowód osobisty.
Zgłoszenia posiadacza dowodu osobistego nieposiadającego zdolności do czynności prawnych lub posiadającego ograniczoną zdolność do czynności prawnych dokonuje jedno z rodziców, opiekun lub kurator.
Może to zrobić także pełnomocnik, składając pełnomocnictwo szczególne do dokonania zgłoszenia. Do zgłoszenia podejrzenia nieuprawnionego wykorzystania danych osobowych składanego przez pełnomocnika na piśmie utrwalonym w postaci elektronicznej załącza się:
- pełnomocnictwo szczególne do dokonania zgłoszenia sporządzone na piśmie utrwalonym w postaci elektronicznej opatrzonym przez wnioskodawcę kwalifikowanym podpisem elektronicznym, podpisem zaufanym bądź podpisem osobistym, albo
- odwzorowanie cyfrowe pełnomocnictwa szczególnego do dokonania zgłoszenia opatrzone przez pełnomocnika kwalifikowanym podpisem elektronicznym, podpisem zaufanym albo podpisem osobistym.
W celu dokonania zgłoszenia konieczne będzie podanie danych takich jak:
- numer PESEL,
- nazwisko i imię (imiona),
- nazwisko rodowe,
- imię ojca,
- imię i nazwisko rodowe matki,
- data i miejsce urodzenia,
- seria i numer dowodu osobistego,
- data wydania dowodu osobistego.
Do zgłoszenia dokonanego na piśmie utrwalonym w postaci elektronicznej można załączyć dokument elektroniczny uprawdopodobniający podejrzenie nieuprawnionego wykorzystania danych osobowych albo odwzorowanie cyfrowe tego dokumentu.
Zgłoszenie naruszenia do PUODO
Zgodnie z motywem 85. do RODO przy braku odpowiedniej i szybkiej reakcji naruszenie ochrony danych osobowych może skutkować powstaniem szkód majątkowych lub niemajątkowych u osób fizycznych, takich jak utrata kontroli nad własnymi danymi osobowymi, a także kradzież lub sfałszowanie tożsamości. Dlatego też natychmiast po stwierdzeniu naruszenia ochrony danych osobowych administrator ma obowiązek zgłosić je organowi nadzorczemu bez zbędnej zwłoki, jeżeli to wykonalne, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia, chyba że administrator jest w stanie wykazać zgodnie z zasadą rozliczalności, że jest mało prawdopodobne, by naruszenie to mogło powodować ryzyko naruszenia praw lub wolności osób fizycznych. Jeżeli nie można dokonać zgłoszenia w terminie 72 godzin, zgłoszeniu powinno towarzyszyć wyjaśnienie przyczyn opóźnienia, a informacje mogą być przekazywane stopniowo, bez dalszej zbędnej zwłoki. Administrator, który nie zastosuje się do powyższego obowiązku, naraża się na wysoką karę pieniężną.
Ponadto każda osoba prawna lub fizyczna ma prawo do skutecznego środka ochrony prawnej przed sądem przeciwko prawnie wiążącej decyzji organu nadzorczego jej dotyczącej, jak również przeciwko administratorowi lub podmiotowi przetwarzającemu.
