Kradzież tożsamości po wycieku danych – co zrobić krok po kroku?

Wyciek danych a kradzież tożsamości – kiedy dochodzi do przestępstwa?

Wyciek danych osobowych oznacza sytuację, w której informacje dotyczące osoby zostały ujawnione, udostępnione lub stały się dostępne dla nieuprawnionych podmiotów. Może to nastąpić wskutek cyberataku, błędu pracownika, nieprawidłowego zabezpieczenia bazy danych albo oszustwa internetowego.

Kradzież tożsamości jest potocznym określeniem wykorzystania cudzych danych do podszywania się pod ich właściciela. Nie każde takie zachowanie wypełnia znamiona tego samego przestępstwa.

Do szczególnie niebezpiecznych sytuacji należą:

• wykorzystanie PESEL-u i danych dokumentu do próby zaciągnięcia kredytu lub pożyczki;
• przejęcie konta e-mail albo profilu społecznościowego i wysyłanie wiadomości w imieniu właściciela;
• założenie konta w serwisie internetowym z użyciem cudzych danych;
• podpisanie lub próba zawarcia umowy przez osobę podszywającą się pod pokrzywdzonego;
• wykorzystanie cudzej tożsamości do oszukania znajomych, kontrahentów lub klientów;
• publikowanie fałszywych ogłoszeń i ofert pod nazwiskiem innej osoby.

Podstawowe znaczenie ma art. 190a § 2 Kodeksu karnego. Przepis dotyczy podszywania się pod inną osobę z wykorzystaniem jej wizerunku, danych osobowych albo innych danych umożliwiających publiczną identyfikację, jeżeli sprawca wyrządza przez to szkodę majątkową lub osobistą.

Za przestępstwo z art. 190a § 2 K.k. przewidziana jest kara pozbawienia wolności od 6 miesięcy do 8 lat. Zgodnie z art. 190a § 4 K.k. ściganie następuje na wniosek pokrzywdzonego.

Jeżeli sprawca doprowadza dodatkowo do niekorzystnego rozporządzenia mieniem, może odpowiadać również za oszustwo z art. 286 § 1 K.k. W zależności od sposobu działania mogą mieć zastosowanie przepisy dotyczące bezprawnego uzyskania informacji, oszustwa komputerowego lub fałszowania dokumentów.

Co zrobić natychmiast po wycieku danych? Pierwsze kroki

Krok 1. Sprawdź, jakie informacje zostały ujawnione

Najpierw ustal zakres wycieku. Innego rodzaju zagrożenie stwarza ujawnienie samego adresu e-mail, a innego udostępnienie numeru PESEL wraz ze zdjęciem dowodu osobistego, hasłem albo danymi karty płatniczej.

Jeżeli informację o incydencie przekazała firma lub instytucja, zachowaj otrzymane zawiadomienie i sprawdź, czy wskazuje ono kategorie ujawnionych danych, możliwe następstwa naruszenia, zastosowane środki ochrony oraz sposób kontaktu z administratorem.

Wiadomość o wycieku zweryfikuj przez oficjalną stronę lub znany wcześniej numer kontaktowy administratora. Oszuści wykorzystują fałszywe powiadomienia o naruszeniach bezpieczeństwa, aby nakłonić odbiorcę do podania kolejnych informacji.

Krok 2. Zmień hasła i zabezpiecz dostęp do kont

Jeśli wyciekły hasła albo istnieje ryzyko przejęcia poczty elektronicznej, zmień je z zaufanego urządzenia. W pierwszej kolejności zabezpiecz główny adres e-mail, ponieważ często służy on do odzyskiwania dostępu do bankowości, sklepów i mediów społecznościowych.

Ustaw unikalne hasła, włącz uwierzytelnianie wieloskładnikowe, wyloguj nieznane sesje i sprawdź, czy przestępca nie dodał własnego adresu do odzyskiwania konta. W poczcie zweryfikuj również reguły automatycznego przekazywania wiadomości.

Jeżeli podejrzewasz zainfekowanie telefonu lub komputera, przed ponownym logowaniem sprawdź urządzenie i usuń nieautoryzowane aplikacje. Sama zmiana hasła na przejętym urządzeniu może nie wystarczyć.

Krok 3. Zastrzeż PESEL i zabezpiecz dokumenty

Numer PESEL można bezpłatnie zastrzec w aplikacji mObywatel, przez oficjalną usługę gov.pl albo w urzędzie gminy. Zastrzeżenie nie oznacza zmiany numeru i można je później cofnąć.

Od 1 czerwca 2024 r. określone instytucje finansowe są zobowiązane sprawdzać status PESEL przed zawarciem objętych ustawą umów. Naruszenie tych obowiązków może wyłączyć możliwość dochodzenia wobec osoby, której PESEL był zastrzeżony, określonych roszczeń wynikających z takiej umowy.

Ochrona nie działa jednak wstecz i nie dotyczy wszystkich umów zawieranych na rynku. Dlatego samo zastrzeżenie numeru nie zastępuje kontaktu z wierzycielem, gdy do oszustwa już doszło.

Jeżeli fizycznie utraciłeś dowód osobisty, zgłoś jego utratę właściwym organom i zadbaj o unieważnienie dokumentu. Możesz także skorzystać z międzybankowego Systemu Dokumenty Zastrzeżone. Jeżeli wyciekł jedynie skan ważnego dokumentu, ustal z właściwym urzędem lub instytucją, jakie czynności są uzasadnione. Sam wyciek kopii nie oznacza automatycznie unieważnienia dowodu.

Krok 4. Skontaktuj się z bankiem i sprawdź historię kredytową

Jeżeli ujawniono dane finansowe, dane do logowania albo pełne informacje z dokumentu tożsamości, skontaktuj się z bankiem za pośrednictwem oficjalnej infolinii lub aplikacji. W zależności od sytuacji bank może zablokować kartę, zabezpieczyć dostęp do rachunku, zweryfikować podejrzane operacje albo zalecić dodatkowe działania.

Sprawdź historię zobowiązań i zapytań kredytowych w Biurze Informacji Kredytowej. Możesz rozważyć Alerty BIK, które informują o określonych próbach wykorzystania danych w procesach kredytowych. Są one usługą dodatkową i nie zastępują państwowego rejestru zastrzeżeń PESEL.

Warto również sprawdzić historię weryfikacji zastrzeżenia numeru PESEL dostępną przez usługi publiczne. Nietypowe zapytanie może być wskazówką do dalszego wyjaśnienia, ale samo w sobie nie dowodzi zawarcia umowy ani popełnienia przestępstwa.

Gdzie zgłosić kradzież tożsamości i jakie dowody przygotować?

Zawiadomienie Policji lub prokuratury

Jeżeli ktoś faktycznie posługuje się Twoimi danymi, próbuje wyłudzić pieniądze albo przejął Twoje konto, możesz złożyć zawiadomienie o podejrzeniu popełnienia przestępstwa w jednostce Policji lub prokuraturze. Nie musisz znać danych sprawcy ani samodzielnie wskazywać ostatecznej kwalifikacji prawnej.

Zawiadomienie można przekazać pisemnie albo ustnie do protokołu. W przypadku czynu ściganego na wniosek, takiego jak przestępstwo z art. 190a § 2 K.k., zadbaj również o wyraźne złożenie wniosku o ściganie sprawcy.

W zawiadomieniu opisz chronologicznie:

• kiedy i w jaki sposób dowiedziałeś się o wycieku;
• jakie dane mogły trafić do nieuprawnionych osób;
• na czym polegało podszywanie się lub podejrzane działanie;
• jakie instytucje, konta, umowy i transakcje zostały objęte incydentem;
• jaką szkodę majątkową lub osobistą poniosłeś;
• jakie dowody i osoby mogą pomóc w wyjaśnieniu sprawy.

Poproś o potwierdzenie złożenia zawiadomienia i zachowaj sygnaturę sprawy, gdy zostanie nadana. Ułatwi to późniejszą korespondencję z bankiem, firmą pożyczkową lub ubezpieczycielem.

Jak zabezpieczyć dowody cyfrowe?

W sprawach związanych z kradzieżą tożsamości szczególnie ważne są dane elektroniczne. Zachowaj pełne wiadomości e-mail, podejrzane SMS-y, adresy stron, identyfikatory transakcji, zrzuty ekranu i potwierdzenia operacji. Przydatne mogą być również logi dostępu oraz informacje o urządzeniach i adresach IP, którymi dysponuje dostawca usługi.

Nie edytuj oryginalnych wiadomości i nie usuwaj przejętych kont przed udokumentowaniem incydentu. Jeżeli profil zawiera treści przestępne, zabezpiecz ich kopie i zgłoś konto administratorowi platformy.

Warto wystąpić do banku, serwisu internetowego lub operatora o zabezpieczenie dostępnych danych dotyczących konkretnej operacji. Nie wszystkie informacje zostaną wydane bezpośrednio osobie prywatnej; część może wymagać pozyskania przez organy prowadzące postępowanie.

Kiedy zgłosić incydent do CERT Polska?

Jeżeli wyciek wiąże się z phishingiem, złośliwym oprogramowaniem albo przejęciem konta internetowego, możesz zgłosić incydent do CERT Polska przez formularz incydent.cert.pl. Podejrzane wiadomości SMS można przekazywać na numer 8080.

Zgłoszenie do CERT Polska służy analizie zagrożenia teleinformatycznego. Nie zastępuje zawiadomienia o przestępstwie składanego Policji lub prokuraturze.

Osobnym problemem może być próba wyłudzenia danych osobowych, gdy sprawca dopiero stara się pozyskać informacje umożliwiające późniejsze podszycie się pod inną osobę.

Ktoś zaciągnął kredyt na moje dane – czy muszę go spłacać?

Nie można uznać, że osoba, której dane wykorzystano bez jej wiedzy i zgody, automatycznie stała się stroną ważnej umowy kredytowej. Samo posłużenie się cudzym numerem PESEL lub skanem dowodu nie oznacza skutecznego złożenia oświadczenia woli przez właściciela danych.

Nie oznacza to jednak, że problem rozwiąże się bez podejmowania działań. Instytucja finansowa może początkowo dysponować dokumentacją wskazującą na zawarcie umowy, dlatego trzeba formalnie zakwestionować zobowiązanie.

Jak zakwestionować wyłudzony kredyt lub pożyczkę?

Skontaktuj się niezwłocznie z bankiem lub firmą pożyczkową wskazaną w umowie, wezwaniu do zapłaty albo raporcie kredytowym. Złóż reklamację lub pisemne oświadczenie, w którym:

• zaprzeczysz zawarciu umowy i udzieleniu pełnomocnictwa osobie trzeciej;
• wskażesz, że Twoje dane mogły zostać bezprawnie wykorzystane;
• zażądasz wyjaśnienia sposobu weryfikacji tożsamości i zawarcia umowy;
• zwrócisz się o udostępnienie dostępnej dokumentacji oraz zabezpieczenie dowodów;
• zażądasz wstrzymania nieuzasadnionych działań windykacyjnych oraz weryfikacji danych przekazanych do rejestrów;
• dołączysz potwierdzenie zgłoszenia sprawy organom ścigania, jeżeli już je posiadasz.

Brak potwierdzenia z Policji nie powinien być powodem odkładania reklamacji. Zawiadomienie karne i zakwestionowanie umowy to odrębne działania, które można podejmować równolegle.

Przy ocenie odpowiedzialności finansowej znaczenie mają między innymi sposób zawarcia umowy, skuteczność identyfikacji klienta, status zastrzeżenia PESEL w chwili zawarcia umowy oraz szczególne przepisy dotyczące danego zobowiązania.

Jakie terminy obowiązują przy reklamacji?

Zasadniczo podmiot rynku finansowego powinien odpowiedzieć na reklamację w ciągu 30 dni od jej otrzymania. W szczególnie skomplikowanych przypadkach termin może wynosić maksymalnie 60 dni, przy zachowaniu ustawowych wymogów poinformowania klienta o opóźnieniu.

Dla reklamacji dotyczących usług płatniczych obowiązują odrębne terminy: co do zasady 15 dni roboczych, a w szczególnie skomplikowanych przypadkach maksymalnie 35 dni roboczych. Terminy dotyczące reklamacji nie są równoznaczne z terminami zwrotu środków z nieautoryzowanych transakcji.

Jeżeli reklamacja nie przyniesie rozwiązania, możliwe jest zwrócenie się o pomoc do Rzecznika Finansowego po przeprowadzeniu wymaganej procedury reklamacyjnej. Spór dotyczący istnienia zobowiązania może wymagać rozstrzygnięcia przez sąd cywilny.

Co zrobić, gdy przychodzi wezwanie od windykatora albo nakaz zapłaty?

Nie ignoruj korespondencji. W odpowiedzi na wezwanie wskaż, że nie zawierałeś umowy i kwestionujesz istnienie zobowiązania. Zażądaj dokumentów potwierdzających podstawę żądania oraz poinformuj o podejrzeniu wykorzystania cudzej tożsamości.

Jeżeli otrzymasz sądowy nakaz zapłaty, konieczne może być wniesienie właściwego środka zaskarżenia, zwykle sprzeciwu lub zarzutów, zależnie od rodzaju nakazu i postępowania. Termin wynika z przepisów oraz doręczonego pouczenia i w typowych sprawach krajowych wynosi dwa tygodnie od doręczenia. Szczególne sytuacje mogą podlegać innym zasadom.

Samo zawiadomienie Policji nie zatrzymuje biegu terminu do zakwestionowania nakazu. Brak reakcji może doprowadzić do jego uprawomocnienia i powstania podstawy do egzekucji.

Odpowiedzialność firmy za wyciek danych – RODO i odszkodowanie

Jeżeli dane wyciekły z banku, sklepu internetowego, placówki medycznej albo innej organizacji, osobną kwestią jest odpowiedzialność administratora danych za zabezpieczenie i przetwarzanie informacji.

RODO zobowiązuje administratorów do wdrażania środków bezpieczeństwa odpowiednich do ryzyka. Sam fakt wycieku nie przesądza automatycznie o naruszeniu obowiązków ani o obowiązku wypłaty odszkodowania. Konieczne jest zbadanie przyczyn incydentu i okoliczności sprawy.

Jakich informacji można żądać od administratora danych?

Możesz zwrócić się do administratora o wyjaśnienie, czy i jakie Twoje dane zostały objęte incydentem, jakie mogą być konsekwencje naruszenia oraz jakie działania ochronne podjęto. W zależności od sytuacji możesz także wykonywać prawa przewidziane w art. 15–18 RODO, w tym żądać dostępu, sprostowania lub ograniczenia przetwarzania danych.

Administrator co do zasady powinien odpowiedzieć na żądanie dotyczące wykonywania praw wynikających z RODO w ciągu miesiąca. W przewidzianych rozporządzeniem przypadkach termin może zostać przedłużony o kolejne dwa miesiące, przy zachowaniu obowiązku poinformowania o tym osoby zainteresowanej.

Nie każde żądanie usunięcia danych musi zostać uwzględnione. Bank lub inna instytucja może być zobowiązana do zachowania określonych informacji ze względu na przepisy prawa.

Kiedy składa się skargę do Prezesa UODO?

Jeżeli podejrzewasz naruszenie przepisów o ochronie danych, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych na podstawie art. 77 RODO. Gdy problem dotyczy niewykonania Twojego żądania, wcześniej skieruj je bezpośrednio do administratora i zachowaj odpowiedź lub dowód jej braku.

Skarga powinna wskazywać administratora, opis naruszenia, okoliczności sprawy i dostępne dokumenty. Postępowanie przed UODO nie jest postępowaniem karnym przeciwko osobie, która wykorzystała dane do oszustwa.

Termin 72 godzin z art. 33 RODO dotyczy zgłaszania przez administratora określonych naruszeń ochrony danych organowi nadzorczemu. Nie jest to termin na złożenie skargi przez osobę, której dane dotyczą. Administrator ma także obowiązek powiadomienia zainteresowanych osób bez zbędnej zwłoki, jeżeli naruszenie może powodować wysokie ryzyko naruszenia ich praw lub wolności, z uwzględnieniem przewidzianych wyjątków.

Czy za wyciek danych przysługuje odszkodowanie?

Art. 82 RODO przewiduje możliwość dochodzenia odszkodowania za szkodę majątkową i niemajątkową wynikającą z naruszenia rozporządzenia.

Nie wystarczy jednak wykazać, że doszło do wycieku. Trzeba ustalić naruszenie przepisów, rzeczywistą szkodę i związek przyczynowy między nimi. Administrator lub podmiot przetwarzający może uwolnić się od odpowiedzialności na zasadach określonych w art. 82 ust. 3 RODO.

Roszczenie może dotyczyć na przykład udokumentowanych strat finansowych albo rzeczywistej krzywdy związanej z utratą kontroli nad danymi i obawą przed ich nadużyciem. Ocena zależy od charakteru danych, okoliczności incydentu i wykazanych następstw. Nie istnieje automatyczna, stała kwota odszkodowania za każdy wyciek.

Skargę do UODO oraz dochodzenie odszkodowania należy rozróżniać. Organ nadzorczy może podejmować środki administracyjne, natomiast indywidualne roszczenie odszkodowawcze zasadniczo rozstrzyga właściwy sąd.

Jakie prawa ma pokrzywdzony w postępowaniu karnym?

Osoba, której dobro prawne zostało bezpośrednio naruszone lub zagrożone przestępstwem, może uzyskać status pokrzywdzonego w rozumieniu art. 49 Kodeksu postępowania karnego. W postępowaniu przygotowawczym pokrzywdzony jest stroną i może korzystać z przysługujących mu uprawnień.

Może w szczególności składać wnioski dowodowe, ustanowić pełnomocnika, wnosić o dostęp do akt na zasadach określonych w przepisach oraz zaskarżać określone decyzje procesowe.

Jeżeli organ odmówi wszczęcia postępowania albo umorzy postępowanie przygotowawcze, pokrzywdzonemu może przysługiwać zażalenie na podstawie art. 306 K.p.k. Termin do jego wniesienia wynosi co do zasady 7 dni od doręczenia postanowienia. Zakres uprawnienia, właściwy organ i sposób wniesienia środka wynikają z rodzaju decyzji oraz pouczenia.

Jeżeli sprawa trafi do sądu, pokrzywdzony może, po spełnieniu warunków procesowych, działać jako oskarżyciel posiłkowy. W odpowiednim terminie może również złożyć wniosek o orzeczenie obowiązku naprawienia szkody na podstawie art. 46 K.k.

Nie należy utożsamiać szkody poniesionej przez bank, oszukanych kontrahentów i osobę, której dane wykorzystano. Każdy z tych podmiotów może doznać innego rodzaju uszczerbku, a ustalenie bezpośrednio pokrzywdzonego wymaga analizy konkretnego czynu.

W niektórych przypadkach przestępca wykorzystuje przejęte konto lub prywatne materiały do szantażowania właściciela. Jeżeli pojawiają się groźby rozpowszechnienia intymnych treści, dodatkowe zagadnienia wyjaśnia poradnik szantaż nagraniem intymnym. Takie zachowanie może wymagać odrębnej kwalifikacji prawnej.

Jak długo kontrolować sytuację po kradzieży tożsamości?

Nie istnieje jeden ustawowy okres obserwowania swoich danych po wycieku. Zagrożenie może utrzymywać się długo, zwłaszcza gdy ujawnione informacje nie zmieniają się, jak imię, nazwisko, data urodzenia czy numer PESEL.

W kolejnych tygodniach i miesiącach kontroluj nieznane operacje finansowe, zapytania kredytowe, korespondencję dotyczącą nowych umów oraz powiadomienia o próbach logowania. Aktualizuj dane odzyskiwania kont i sprawdzaj, czy po zmianie haseł nie doszło do kolejnych nieautoryzowanych sesji.

Jeżeli ktoś rozpoczął podszywanie się pod Ciebie przed zabezpieczeniem kont, pamiętaj, że usunięcie dostępu sprawcy nie usuwa automatycznie skutków wcześniej zawartych umów, opublikowanych ogłoszeń albo wysłanych wiadomości.

Przy większym incydencie dobrze jest prowadzić jedną chronologiczną dokumentację obejmującą zawiadomienia, numery spraw, reklamacje, odpowiedzi instytucji i podejmowane czynności. Pozwoli to wykazać, kiedy dowiedziałeś się o nadużyciu i jak szybko na nie zareagowałeś.

Najczęstsze pytania o kradzież tożsamości po wycieku danych

Czy sam wyciek numeru PESEL oznacza, że muszę zgłosić przestępstwo?

Nie zawsze. Samo ujawnienie numeru PESEL nie dowodzi, że ktoś wykorzystał go do popełnienia przestępstwa. Jeżeli jednak istnieją okoliczności wskazujące na bezprawne pozyskanie danych, przejęcie konta albo próbę oszustwa, możesz zawiadomić organy ścigania. Niezależnie od tego warto od razu zastrzec PESEL.

Czy można zmienić numer PESEL po jego wycieku?

Sam wyciek lub wykorzystanie numeru do oszustwa nie stanowi ogólnej podstawy do nadania nowego PESEL-u. Zmiana numeru jest dopuszczalna w szczególnych przypadkach przewidzianych ustawą o ewidencji ludności, na przykład przy określonych zmianach lub sprostowaniach danych identyfikacyjnych. Standardowym środkiem ochrony przed wyłudzeniem jest zastrzeżenie numeru.

Czy warto zgłosić fałszywy profil w mediach społecznościowych?

Tak. Zgłoszenie administratorowi serwisu może doprowadzić do ograniczenia dostępu do profilu lub jego usunięcia. Najpierw zabezpiecz jednak dowody identyfikujące konto, jego adres, treść publikacji i komunikację ze sprawcą. Jeżeli doszło do wyrządzenia szkody lub oszustwa, rozważ również zawiadomienie Policji.

Czy trzeba zapłacić za zastrzeżenie PESEL lub zawiadomienie Policji?

Nie. Zastrzeżenie PESEL w państwowym rejestrze oraz złożenie zawiadomienia o podejrzeniu popełnienia przestępstwa są bezpłatne. Odrębne opłaty mogą występować przy korzystaniu z komercyjnych usług monitorowania danych, uzyskiwaniu niektórych dokumentów lub pomocy profesjonalnego pełnomocnika.

Co zrobić, jeśli oszust wykorzystał dane mojego dziecka?

Należy zabezpieczyć informacje i konta dziecka, zawiadomić właściwe instytucje oraz rozważyć zgłoszenie przestępstwa. Rodzic lub opiekun prawny może podejmować czynności w granicach swojej reprezentacji ustawowej. Zastrzeganie PESEL osoby małoletniej odbywa się według szczególnych zasad przewidzianych dla uprawnionych przedstawicieli.

Czy sprawca musi zostać skazany, żebym mógł kwestionować wyłudzony kredyt?

Nie. Istnienie zobowiązania cywilnego można kwestionować niezależnie od tego, czy ustalono i skazano sprawcę przestępstwa. Bank lub sąd cywilny oceniają dokumenty i okoliczności zawarcia umowy. Postępowanie karne może dostarczyć ważnych dowodów, ale prawomocny wyrok skazujący nie jest automatycznym warunkiem zgłoszenia reklamacji lub obrony przed roszczeniem.

Po kradzieży tożsamości najbezpieczniej prowadzić równolegle trzy działania: ograniczać możliwość dalszego użycia danych, zabezpieczać materiał dowodowy i wyjaśniać każde wykryte zobowiązanie bezpośrednio z właściwą instytucją. Jeśli pojawi się pismo sądowe, termin do reakcji powinien mieć pierwszeństwo przed oczekiwaniem na wynik postępowania karnego.