Omyłkowe podanie danych osobowych – co zrobić?

Omyłkowe wysłanie danych osobowych na zły adres e-mail

Wysłanie wiadomości e-mail na błędny adres może mieć różne skutki. Najpierw trzeba ustalić, czy adres w ogóle istnieje. Jeżeli wiadomość nie została doręczona, zwykle serwer pocztowy odsyła komunikat o błędzie, np. informację o nieistniejącym koncie. Brak takiego komunikatu nie daje jednak pełnej pewności, że ktoś odczytał e-mail.

W praktyce warto wykonać trzy szybkie działania: wysłać do przypadkowego odbiorcy krótką prośbę o usunięcie wiadomości i załącznika, sprawdzić u operatora poczty, czy istnieje możliwość technicznego cofnięcia lub usunięcia wiadomości, oraz zapisać dowody omyłki. Takimi dowodami mogą być: kopia wysłanego e-maila, data i godzina wysyłki, błędny adres, wiadomość z prośbą o usunięcie danych oraz ewentualna odpowiedź odbiorcy.

Trzeba odróżnić sytuację prywatną od sytuacji zawodowej. Jeżeli dane córki wysłała prywatnie osoba fizyczna w ramach czynności osobistych lub domowych, RODO może nie mieć zastosowania z uwagi na art. 2 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, czyli RODO. Jeżeli jednak dane wysłał pracownik firmy, urzędu, szkoły, przychodni albo innego administratora danych, należy ocenić, czy doszło do naruszenia ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO.

Czy prawo jazdy zawiera dane wrażliwe?

W języku potocznym mówi się często o danych wrażliwych, ale prawnie trzeba być precyzyjnym. Kopia prawa jazdy zawiera dane osobowe w rozumieniu art. 4 pkt 1 RODO, ponieważ pozwalają one zidentyfikować konkretną osobę. Nie są to jednak automatycznie szczególne kategorie danych osobowych z art. 9 ust. 1 RODO, takie jak dane o zdrowiu, poglądach politycznych, wyznaniu czy dane biometryczne przetwarzane w celu jednoznacznej identyfikacji osoby.

Nie oznacza to, że sprawę można lekceważyć. Prawo jazdy może zawierać m.in. imię, nazwisko, datę urodzenia, numer dokumentu, fotografię, podpis, kategorie uprawnień i termin ważności dokumentu. W zależności od wzoru dokumentu i daty jego wydania mogą pojawiać się także inne dane identyfikujące. Taki zestaw informacji może ułatwiać podszywanie się pod inną osobę, zwłaszcza jeżeli oszust dysponuje również numerem PESEL lub dodatkowymi informacjami z innych źródeł.

Czy na podstawie kopii prawa jazdy można zaciągnąć pożyczkę?

Co do zasady banki i instytucje pożyczkowe powinny weryfikować tożsamość klienta i nie powinny udzielać finansowania wyłącznie na podstawie przypadkowo przesłanej kopii prawa jazdy. Prawo jazdy nie zastępuje dowodu osobistego w typowych procedurach bankowych. Nie można jednak wykluczyć prób oszustwa, zwłaszcza przy usługach zdalnych, zakupach ratalnych, zakładaniu kont w serwisach internetowych lub przy łączeniu danych z różnych źródeł.

Od 1 czerwca 2024 r. szczególne znaczenie ma zastrzeżenie numeru PESEL. Mechanizm rejestru zastrzeżeń numerów PESEL wynika z rozdziału 3a ustawy z dnia 24 września 2010 r. o ewidencji ludności, w szczególności z art. 23a i nast. tej ustawy. Zastrzeżenia można dokonać elektronicznie w aplikacji mObywatel, przez usługę internetową albo w urzędzie gminy.

Obowiązek sprawdzania zastrzeżenia PESEL przed wybranymi czynnościami finansowymi wynika m.in. z art. 105d ust. 1 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe. Jeżeli więc osoba obawia się, że jej PESEL i dane z dokumentu mogą zostać użyte do wyłudzenia, zastrzeżenie PESEL jest obecnie jednym z najważniejszych działań prewencyjnych.

Co zrobić od razu po wysłaniu danych na błędny adres?

Najlepiej działać szybko, ale spokojnie. Nie warto w wiadomości do przypadkowego odbiorcy podawać kolejnych danych ani szczegółowo opisywać, jak można je wykorzystać. Wystarczy krótka prośba o trwałe usunięcie wiadomości i załącznika oraz o potwierdzenie usunięcia.

Przy zastrzeganiu dokumentów i ograniczaniu ryzyka nadużyć pomocne może być także omówienie, jak zabezpieczyć dane przed nadużyciem, zwłaszcza gdy istnieje podejrzenie, że ktoś próbuje pozyskać kolejne informacje przez telefon lub e-mail.

Zastrzeżenie PESEL i dokumentów

Najważniejszym działaniem jest obecnie zastrzeżenie numeru PESEL. Można je cofnąć, gdy dana osoba sama chce zawrzeć umowę wymagającą weryfikacji PESEL. Trzeba jednak pamiętać, że zastrzeżenie nie działa wstecz i nie zabezpiecza przed każdym możliwym nadużyciem, np. przed próbą założenia fałszywego konta w nieuczciwym serwisie internetowym poza procedurami przewidzianymi w polskich ustawach.

Drugim praktycznym rozwiązaniem jest zgłoszenie dokumentu do bankowego systemu Dokumenty Zastrzeżone. Nie jest to to samo co urzędowa wymiana prawa jazdy, ale może mieć znaczenie ostrzegawcze dla instytucji finansowych uczestniczących w systemie. Warto uzyskać potwierdzenie dokonania zastrzeżenia i przechowywać je razem z korespondencją dotyczącą omyłkowego wysłania danych.

Czy trzeba wymienić prawo jazdy?

Samo wysłanie kopii prawa jazdy na błędny adres nie zawsze oznacza konieczność wymiany dokumentu. Wymiana lub wydanie wtórnika prawa jazdy zależy od przesłanek przewidzianych w ustawie z dnia 5 stycznia 2011 r. o kierujących pojazdami. Z art. 18 ust. 1 tej ustawy wynika obowiązek zawiadomienia starosty m.in. o utracie prawa jazdy, jego zniszczeniu w stopniu powodującym nieczytelność albo zmianie stanu faktycznego wymagającego zmiany danych w dokumencie.

Jeżeli dokument fizycznie nie został utracony, lecz wysłano jedynie jego skan lub zdjęcie, urząd może nie potraktować sprawy tak jak utraty dokumentu. Mimo to w sytuacji wysokiego ryzyka, np. gdy dokument trafił do osoby podejrzanej albo pojawiają się próby wyłudzeń, warto zapytać właściwy wydział komunikacji o możliwość wymiany dokumentu i przedstawić prawdziwe okoliczności sprawy. Nie należy zgłaszać nieprawdziwej kradzieży lub utraty dokumentu, ponieważ fałszywe zawiadomienie albo fałszywe zeznania mogą rodzić odpowiedzialność karną, w tym na podstawie art. 233 § 1 Kodeksu karnego.

Kiedy zgłosić sprawę na policję?

Jeżeli na razie doszło wyłącznie do pomyłki adresowej, a nie ma informacji o wykorzystaniu danych, policja może nie wszcząć postępowania karnego. Inaczej będzie, gdy pojawią się konkretne sygnały nadużycia: próba zaciągnięcia pożyczki, wezwanie do zapłaty nieznanego długu, informacja z banku o wniosku kredytowym, fałszywe konto założone na dane córki albo użycie jej podpisu.

W zależności od sposobu działania sprawcy mogą wchodzić w grę m.in. art. 286 § 1 Kodeksu karnego, czyli oszustwo, art. 270 § 1 Kodeksu karnego, czyli podrobienie lub przerobienie dokumentu albo użycie takiego dokumentu jako autentycznego, oraz art. 190a § 2 Kodeksu karnego, czyli podszywanie się pod inną osobę przy wykorzystaniu jej wizerunku, danych osobowych lub innych danych, jeżeli działanie ma na celu wyrządzenie szkody majątkowej lub osobistej.

Zgodnie z art. 304 § 1 Kodeksu postępowania karnego każdy, dowiedziawszy się o popełnieniu przestępstwa ściganego z urzędu, ma społeczny obowiązek zawiadomić prokuratora lub policję. W praktyce zawiadomienie ma sens wtedy, gdy można wskazać konkretne okoliczności świadczące o nadużyciu, a nie wyłącznie samą obawę.

Obowiązki administratora danych przy naruszeniu RODO

Jeżeli omyłkowe wysłanie danych nastąpiło w ramach działalności administratora, np. przez pracownika firmy, szkoły, urzędu, banku lub placówki medycznej, sprawa powinna zostać oceniona jako potencjalne naruszenie ochrony danych osobowych. Art. 33 ust. 1 RODO nakłada na administratora obowiązek zgłoszenia naruszenia Prezesowi Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.

Jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osoby, której dane dotyczą, administrator powinien zawiadomić tę osobę o naruszeniu na podstawie art. 34 ust. 1 RODO. Osoba, której dane dotyczą, może też skorzystać z prawa do żądania usunięcia danych na podstawie art. 17 RODO, jeżeli istnieją przesłanki z tego przepisu, oraz z prawa wniesienia skargi do organu nadzorczego na podstawie art. 77 ust. 1 RODO.

FAQ

Czy przypadkowy odbiorca musi odpowiedzieć na moją wiadomość?

Osoba prywatna, która omyłkowo otrzymała e-mail, zwykle nie ma ogólnego obowiązku odpowiadania na korespondencję. Brak odpowiedzi nie oznacza automatycznie złej wiary. Warto jednak zachować wysłaną prośbę o usunięcie danych jako dowód podjęcia działań.

Czy samo wysłanie kopii prawa jazdy jest przestępstwem?

Zwykła pomyłka adresowa co do zasady nie jest przestępstwem. Przestępstwem może być dopiero późniejsze wykorzystanie danych, np. do oszustwa z art. 286 § 1 Kodeksu karnego, podrobienia dokumentu z art. 270 § 1 Kodeksu karnego albo podszywania się z art. 190a § 2 Kodeksu karnego.

Czy zastrzeżenie PESEL blokuje wszystkie wyłudzenia?

Nie. Zastrzeżenie PESEL znacząco ogranicza ryzyko w czynnościach, w których instytucja ma ustawowy obowiązek sprawdzić rejestr zastrzeżeń, ale nie eliminuje każdego możliwego nadużycia. Nadal warto monitorować korespondencję, rachunki, alerty BIK i informacje z firm, z którymi dana osoba nie zawierała umów.

Czy trzeba zgłosić sprawę do UODO?

Jeżeli dane wysłano prywatnie, skarga do UODO zwykle nie będzie właściwą pierwszą drogą. Jeżeli jednak dane wysłał administrator, np. firma, urząd lub szkoła, osoba, której dane dotyczą, może żądać wyjaśnień, a w razie naruszenia jej praw wnieść skargę na podstawie art. 77 ust. 1 RODO.

Czy warto wymienić prawo jazdy po wysłaniu skanu?

To zależy od ryzyka. Samo wysłanie skanu nie zawsze spełnia przesłanki utraty dokumentu z art. 18 ustawy o kierujących pojazdami. Jeżeli jednak pojawiają się próby nadużyć albo dokument trafił do osoby podejrzanej, warto skontaktować się z wydziałem komunikacji i zapytać o możliwość wymiany dokumentu.

Źródła

• Art. 2 ust. 2 lit. c, art. 4 pkt 1, art. 4 pkt 12, art. 9 ust. 1, art. 17, art. 33 ust. 1, art. 34 ust. 1 i art. 77 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, czyli RODO.
• Rozdział 3a, w szczególności art. 23a i nast. ustawy z dnia 24 września 2010 r. o ewidencji ludności.
• Art. 105d ust. 1 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe.
• Art. 18 ust. 1 ustawy z dnia 5 stycznia 2011 r. o kierujących pojazdami.
• Art. 190a § 2, art. 270 § 1, art. 286 § 1 i art. 233 § 1 ustawy z dnia 6 czerwca 1997 r. – Kodeks karny.
• Art. 304 § 1 ustawy z dnia 6 czerwca 1997 r. – Kodeks postępowania karnego.