Podanie danych osobowych przez telefon – co grozi i co zrobić?

Stan prawny: 28 sierpnia 2026 r.

Podałem dane osobowe przez telefon – co zrobić od razu?

Najpierw ustal dokładnie, jakie informacje przekazałeś i czy wykonałeś dodatkową czynność: kliknąłeś link, podałeś kod, zatwierdziłeś operację w aplikacji bankowej, wysłałeś zdjęcie dokumentu albo zainstalowałeś wskazaną aplikację. Zakres działania powinien odpowiadać rzeczywistemu ryzyku.

1. Zapisz numer telefonu, datę i godzinę rozmowy oraz nazwę firmy lub instytucji, za którą podawał się rozmówca.
2. Zachowaj SMS-y, e-maile i dokumenty, które pojawiły się po rozmowie. Mogą być potrzebne przy reklamacji albo zawiadomieniu.
3. Nie oddzwaniaj na numer podany przez rozmówcę i nie korzystaj z przesłanych linków. Jeżeli rozmówca twierdził, że dzwoni z banku, urzędu albo operatora, samodzielnie znajdź oficjalny numer i nawiąż nowe połączenie.
4. Nie wykonuj dalszych poleceń rozmówcy, zwłaszcza instalacji programu do zdalnego pulpitu, przelewu na „bezpieczne konto” lub podania kodu autoryzacyjnego.

Wyświetlany numer telefonu nie potwierdza tożsamości dzwoniącego. W oszustwach typu vishing sprawca może użyć spoofingu, przez co na ekranie pojawia się numer kojarzony z bankiem lub inną zaufaną instytucją.

Co może zrobić oszust, mając imię, nazwisko i adres?

Imię, nazwisko, adres zamieszkania i numer telefonu są danymi osobowymi. Same zazwyczaj nie wystarczają do przejścia wszystkich etapów weryfikacji wymaganych przy kredycie, pożyczce albo dostępie do rachunku. Mogą jednak posłużyć do przygotowania wiarygodniejszej próby oszustwa, podszywania się pod firmę, kierowania spersonalizowanych wiadomości albo dalszego pozyskiwania danych.

W potocznym języku takie informacje bywają nazywane „danymi wrażliwymi”, ale RODO używa pojęcia szczególnych kategorii danych m.in. wobec danych o zdrowiu, poglądach politycznych czy przekonaniach religijnych. Z punktu widzenia wyłudzeń finansowych szczególnie niebezpieczne są natomiast dane identyfikacyjne i autoryzacyjne: PESEL, dane dokumentu tożsamości, dane logowania, kody SMS/BLIK, pełne dane karty i dostęp do skrzynki e-mail lub telefonu.

Jeżeli po rozmowie otrzymasz wiadomość dotyczącą konta, zamówienia albo umowy, której nie zakładałeś lub nie zawierałeś, zachowaj ją i skontaktuj się bezpośrednio z podmiotem, którego nazwa widnieje w wiadomości. Nie korzystaj przy tym z numeru telefonu ani linku przesłanego przez podejrzanego rozmówcę.

Podałem PESEL przez telefon – co zrobić?

Jeżeli nieznany lub podejrzany rozmówca poznał Twój numer PESEL, zastrzeż go możliwie szybko. Możesz to zrobić w aplikacji mObywatel, w serwisie mObywatel.gov.pl albo w urzędzie gminy. Zastrzeżenie jest bezpłatne i można je później cofnąć, gdy planujesz czynność wymagającą sprawdzenia rejestru.

Następnie sprawdź, kto i kiedy weryfikował, czy Twój PESEL jest zastrzeżony, oraz jaką otrzymał odpowiedź. Służy do tego państwowa usługa dostępna przez mObywatel. Nieznana weryfikacja przez bank, firmę pożyczkową lub inny podmiot nie dowodzi jeszcze, że doszło do zawarcia umowy, ale jest sygnałem, który warto wyjaśnić bezpośrednio z tą instytucją.

Zastrzeżenie PESEL chroni w sytuacjach wskazanych w ustawach, ale nie blokuje każdej czynności prawnej ani każdego sposobu wykorzystania danych. Nie przeszkadza m.in. w zwykłym korzystaniu z usług publicznych, realizacji recepty, wizycie u lekarza, wypłacie pieniędzy z bankomatu czy wykonywaniu przelewów.

Podałem numer lub zdjęcie dowodu osobistego – co zrobić?

Samo ujawnienie serii i numeru dowodu albo przesłanie jego zdjęcia trzeba odróżnić od fizycznej utraty lub kradzieży dokumentu. Jeżeli dowód nadal masz i nie ma jeszcze konkretnego sygnału jego wykorzystania, podstawowym krokiem jest zastrzeżenie PESEL, zachowanie dowodów rozmowy i obserwowanie ewentualnych prób wykorzystania danych.

Jeżeli dowód zaginął, zgłoś utratę, aby dokument został unieważniony. Jeżeli został skradziony, zgłoś kradzież Policji; po takim zgłoszeniu nie trzeba dodatkowo zgłaszać tego samego w urzędzie gminy. Kradzież lub zagubienie dowodu warto również zgłosić w dowolnym banku, nawet jeśli nie masz w nim rachunku.

Inna procedura dotyczy sytuacji, w której podejrzewasz nieuprawnione wykorzystanie danych z dowodu i możesz to uprawdopodobnić, np. otrzymałeś informację o umowie zawartej na Twoje dane albo o wycieku obejmującym dane dokumentu. Możesz wtedy zgłosić kradzież tożsamości do organu gminy lub przez usługę elektroniczną. Zgłoszenie prowadzi do unieważnienia dowodu, a w przypadku osoby pełnoletniej także do zastrzeżenia PESEL z urzędu.

Podałem kod SMS, BLIK lub dane logowania – co zrobić natychmiast?

To sytuacja pilniejsza niż samo ujawnienie PESEL. Kod autoryzacyjny, hasło albo zatwierdzenie operacji w aplikacji może umożliwić wykonanie transakcji lub przejęcie dostępu do rachunku. Nie czekaj na kolejną wiadomość od rozmówcy.

1. Przerwij rozmowę i samodzielnie skontaktuj się z bankiem przez numer z oficjalnej strony, aplikacji lub karty.
2. Poinformuj bank, jakie dane zostały ujawnione i wykonaj zalecane blokady dostępu, karty lub innych instrumentów płatniczych.
3. Zmień hasło z zaufanego urządzenia; jeśli to samo hasło było używane w innych serwisach, zmień je także tam.
4. Sprawdź historię operacji i oczekujące dyspozycje. Nieznane transakcje zgłoś bankowi bez zwłoki.
5. Jeżeli doszło do utraty pieniędzy lub przejęcia konta, zachowaj potwierdzenia, wiadomości i numer telefonu oraz rozważ zawiadomienie Policji lub prokuratury.

Zastrzeżenie PESEL może ograniczyć ryzyko powstania niektórych nowych zobowiązań, ale nie cofnie przelewu, wypłaty BLIK ani płatności kartą. Dlatego przy ujawnieniu danych bankowych pierwszym kontaktem powinien być bank.

Czy ktoś może wziąć kredyt na moje dane?

Ryzyko zależy od zakresu danych, sposobu weryfikacji stosowanego przez kredytodawcę oraz tego, czy sprawca ma dostęp do dodatkowych narzędzi, np. telefonu, e-maila, dokumentu albo bankowości elektronicznej. Samo imię, nazwisko i adres zwykle nie wystarczają do prawidłowej weryfikacji klienta, ale nie oznacza to, że próbę wyłudzenia można zignorować.

Od 1 czerwca 2024 r. kredytodawca przed zawarciem umowy o kredyt konsumencki oraz przed zmianą zwiększającą zadłużenie ma obowiązek sprawdzić rejestr zastrzeżeń numerów PESEL. Jeżeli umowę o kredyt konsumencki zawarto w chwili, gdy PESEL konsumenta był zastrzeżony, ustawa przewiduje bardzo istotne skutki dla kredytodawcy: co do zasady nie może on domagać się od konsumenta ani jego następców prawnych zaspokojenia roszczenia z takiej umowy ani zbyć powstałej z niej wierzytelności.

Nie jest to jednak mechanizm absolutny. Ustawa przewiduje określone wyjątki, m.in. dla niektórych kredytów udzielanych w ramach umów o charakterze ciągłym po spełnieniu szczególnych warunków, a także reguły na wypadek niedostępności systemu. Zastrzeżenia PESEL nie należy więc przedstawiać jako automatycznego unieważnienia lub zablokowania każdej możliwej umowy.

Jeżeli w historii weryfikacji PESEL widzisz podmiot, którego nie rozpoznajesz, skontaktuj się z nim przez oficjalne dane kontaktowe i zapytaj, w związku z jaką czynnością dokonano sprawdzenia. Sama historia weryfikacji pokazuje sprawdzenie statusu PESEL, a nie przesądza o zawarciu kredytu lub pożyczki.

Czy umowa zawarta przez telefon jest ważna?

Samo podanie danych podczas rozmowy nie oznacza zawarcia umowy. Jeżeli przedsiębiorca kontaktuje się z konsumentem przez telefon w celu zawarcia umowy na odległość, na początku rozmowy powinien poinformować o tym celu oraz podać dane identyfikujące siebie i osobę, w imieniu której telefonuje.

Jeżeli przedsiębiorca proponuje konsumentowi zawarcie umowy przez telefon, art. 20 ustawy o prawach konsumenta wymaga potwierdzenia treści proponowanej umowy na papierze lub innym trwałym nośniku. Oświadczenie konsumenta o zawarciu umowy jest skuteczne, jeżeli zostało utrwalone na papierze lub innym trwałym nośniku po otrzymaniu tego potwierdzenia.

Trwałym nośnikiem może być np. papier, e-mail lub plik pozwalający zachować treść i odtworzyć ją w przyszłości. W sytuacji objętej art. 20 ust. 2 samo ustne „tak” wypowiedziane podczas rozmowy, zanim konsument otrzyma potwierdzenie oferty na trwałym nośniku, nie spełnia tych wymogów.

Prawo odstąpienia od umowy po rozmowie lub pokazie

Jeżeli doszło do skutecznego zawarcia umowy na odległość lub poza lokalem przedsiębiorstwa, konsumentowi co do zasady przysługuje prawo odstąpienia bez podawania przyczyny, z zastrzeżeniem ustawowych wyjątków. Standardowy termin wynosi 14 dni. Termin 30 dni dotyczy umów zawartych podczas nieumówionej wizyty przedsiębiorcy w miejscu zamieszkania lub zwykłego pobytu konsumenta albo podczas wycieczki.

Początek terminu zależy od rodzaju umowy. Przy sprzedaży towaru co do zasady liczy się go od objęcia towaru w posiadanie, a przy innych umowach – od dnia zawarcia umowy. Jeżeli przedsiębiorca nie poinformował o prawie odstąpienia, uprawnienie może ulec przedłużeniu na zasadach określonych w ustawie, maksymalnie o 12 miesięcy od końca podstawowego terminu.

Nie każdy „pokaz” daje automatycznie 30 dni na odstąpienie. Szczególne 30 dni wynikają z nieumówionej wizyty domowej albo wycieczki. Jednocześnie ustawa wprowadza dodatkową ochronę na pokazach i wycieczkach: umowa dotycząca usług finansowych nie może być tam zawarta, a zakaz obejmuje również finansowanie bezpośrednio związane z ofertą sprzedaży złożoną podczas pokazu lub wycieczki. Umowa zawarta z naruszeniem tego zakazu jest nieważna. Wyjątek dotyczy pokazu w miejscu zamieszkania lub zwykłego pobytu konsumenta zorganizowanego na jego wyraźne zaproszenie.

Jeżeli po rozmowie lub pokazie otrzymałeś umowę, wezwanie do zapłaty albo towar, którego nie zamawiałeś, nie podpisuj dokumentów pod presją i zachowaj całą korespondencję. Przy sporze znaczenie ma to, czy umowa rzeczywiście została zawarta, gdzie i w jaki sposób, czego dotyczyła oraz czy zachowano obowiązki informacyjne przedsiębiorcy.

Marketing telefoniczny bez zgody

Telemarketer i oszust to nie to samo. Telemarketer może reprezentować rzeczywiście istniejącego przedsiębiorcę, ale jego kontakt marketingowy musi spełniać wymogi prawa. Oszust podszywa się pod osobę lub instytucję po to, aby wyłudzić dane, pieniądze lub skłonić do niebezpiecznej czynności.

Zgodnie z art. 398 Prawa komunikacji elektronicznej zakazane jest używanie automatycznych systemów wywołujących oraz telekomunikacyjnych urządzeń końcowych do przesyłania informacji handlowej, w tym marketingu bezpośredniego, do abonenta lub użytkownika końcowego, chyba że wcześniej wyraził on na to zgodę. Sam fakt, że numer telefonu jest publicznie dostępny albo został kiedyś podany w innym celu, nie oznacza automatycznie zgody na marketing telefoniczny.

Jeżeli kontakt ma charakter marketingowy, możesz cofnąć zgodę, a w zakresie przetwarzania danych osobowych wnieść sprzeciw wobec marketingu bezpośredniego. Jeżeli natomiast rozmówca wyłudza kody, hasła albo pieniądze, nie traktuj tego jako zwykłego sporu marketingowego – przerwij kontakt i zastosuj działania właściwe dla próby oszustwa.

Jak skorzystać z praw wynikających z RODO?

Jeżeli znasz administratora danych, możesz zwrócić się do niego o informacje dotyczące przetwarzania. W zależności od sytuacji warto zapytać m.in.:

• jakie dane o Tobie przetwarza i w jakim celu,
• na jakiej podstawie prawnej je wykorzystuje,
• skąd pozyskał dane, jeżeli nie otrzymał ich bezpośrednio od Ciebie,
• komu dane zostały ujawnione lub jakie są kategorie odbiorców,
• jak długo będą przechowywane,
• czy są wykorzystywane do profilowania lub marketingu.

Prawo do usunięcia danych nie działa bezwarunkowo. Administrator ma obowiązek usunąć dane, gdy zachodzi jedna z przesłanek z art. 17 RODO, np. dane nie są już potrzebne, cofnięto zgodę i nie ma innej podstawy przetwarzania, dane są przetwarzane niezgodnie z prawem albo skutecznie wniesiono sprzeciw w sytuacji przewidzianej w RODO.

W przypadku marketingu bezpośredniego ochrona jest szczególnie silna. Możesz w dowolnym momencie wnieść sprzeciw wobec przetwarzania danych do takich celów; po skutecznym sprzeciwie danych nie wolno dalej przetwarzać na potrzeby marketingu bezpośredniego.

Administrator powinien odpowiedzieć na żądanie bez zbędnej zwłoki, zasadniczo najpóźniej w ciągu miesiąca. W sprawach skomplikowanych termin może zostać przedłużony o kolejne dwa miesiące, ale administrator powinien poinformować o przedłużeniu i jego przyczynach. Jeżeli żądanie zostanie zignorowane albo odpowiedź jest niewystarczająca, można złożyć skargę do Prezesa UODO.

Kiedy zgłosić sprawę Policji, UODO lub innej instytucji?

Nie każde podanie danych przez telefon wymaga zawiadomienia organów ścigania. Wybór adresata zależy od tego, co rzeczywiście się wydarzyło:

• Bank, firma pożyczkowa lub operator płatności – kontaktuj się niezwłocznie, gdy widzisz nieznaną transakcję, wniosek kredytowy, umowę lub inne użycie danych. Złóż reklamację lub zgłoszenie nadużycia i poproś o zabezpieczenie dokumentacji.
• Policja lub prokuratura – gdy są konkretne oznaki oszustwa, kradzieży tożsamości, podszywania się, użycia dokumentu, wyłudzenia pieniędzy albo próby zaciągnięcia zobowiązania na Twoje dane.
• Prezes UODO – gdy problem dotyczy niezgodnego z prawem przetwarzania Twoich danych, a administrator nie realizuje przysługujących Ci praw. Co do zasady najpierw skieruj odpowiednie żądanie do administratora.
• Prezes UKE – gdy problem dotyczy używania urządzeń telekomunikacyjnych do marketingu bez uprzedniej zgody w rozumieniu art. 398 Prawa komunikacji elektronicznej.
• Miejski lub powiatowy rzecznik konsumentów – gdy spór dotyczy umowy konsumenckiej, odstąpienia, płatności albo praktyk sprzedawcy. W sprawach praktyk naruszających zbiorowe interesy konsumentów kompetencje ma UOKiK.

Do każdego zgłoszenia zachowaj chronologię zdarzeń, numery telefonów, wiadomości, potwierdzenia transakcji, dokumenty i odpowiedzi przedsiębiorcy. Nie przesyłaj jednak ponownie pełnych danych dokumentu tam, gdzie nie jest to konieczne.

FAQ

Czy historia weryfikacji PESEL oznacza, że ktoś wziął kredyt?

Nie. Historia pokazuje, kto i kiedy sprawdzał status zastrzeżenia PESEL oraz jaką otrzymał odpowiedź. Nie przesądza, że zawarto umowę. Nieznaną weryfikację warto jednak wyjaśnić bezpośrednio z podmiotem, który jej dokonał.

Czy samo ujawnienie numeru dowodu oznacza, że muszę wymienić dokument?

Nie automatycznie. Inaczej postępuje się przy utracie lub kradzieży dowodu, a inaczej przy samym ujawnieniu danych. Jeżeli możesz uprawdopodobnić, że dane dowodu zostały wykorzystane bez Twojej zgody, możesz zgłosić kradzież tożsamości; takie zgłoszenie prowadzi do unieważnienia dowodu i konieczności uzyskania nowego dokumentu.

Czy muszę płacić za przesyłkę, której nie zamawiałem?

Samo otrzymanie niezamówionego świadczenia co do zasady nie nakłada na konsumenta obowiązku zapłaty, a brak odpowiedzi nie oznacza zgody na zawarcie umowy. Jeżeli przedsiębiorca twierdzi inaczej, zażądaj wskazania podstawy zawarcia umowy i zachowaj korespondencję.

Co zrobić, gdy firma dzwoni dalej mimo sprzeciwu wobec marketingu?

Zachowaj informacje o kolejnych kontaktach i ponownie wskaż, że sprzeciw dotyczy marketingu bezpośredniego. Jeżeli administrator nadal przetwarza dane do tego celu, możesz po wcześniejszym skorzystaniu ze swoich praw rozważyć skargę do Prezesa UODO. Niezależnie od tego kontakt telefoniczny bez wymaganej uprzedniej zgody może podlegać ocenie na gruncie art. 398 Prawa komunikacji elektronicznej.

Źródła

• Ustawa z dnia 30 maja 2014 r. o prawach konsumenta, w szczególności art. 5, art. 7ab, art. 20 oraz art. 27–30 – tekst ujednolicony w systemie ELI.
• UOKiK, Prawa konsumenta – umowa proponowana przez telefon i zakaz umów finansowych podczas pokazów lub wycieczek.
• UOKiK, Prawa konsumenta – terminy odstąpienia od umowy.
• Ustawa z dnia 12 maja 2011 r. o kredycie konsumenckim, w szczególności art. 9b – tekst jednolity w systemie ELI.
• Gov.pl – zastrzeżenie numeru PESEL oraz sprawdzenie, kto weryfikował zastrzeżenie PESEL.
• Gov.pl – zgłoszenie nieuprawnionego wykorzystania danych i unieważnienie dowodu.
• Ustawa z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej, w szczególności art. 398 – akt obowiązujący w systemie ELI.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), w szczególności art. 15, 17 i 21 – tekst w EUR-Lex.
• Urząd Ochrony Danych Osobowych – prawa osoby, której dane dotyczą oraz informacje o składaniu skargi do Prezesa UODO.
• Komisja Nadzoru Finansowego – vishing i spoofing numeru telefonu.