Przesłanie danych osobowych pod niewłaściwy adres e-mail

Co zrobić od razu po wysłaniu danych na zły adres e-mail?

Najpierw ustal, jakie dane trafiły do wiadomości: sam PESEL, numer dowodu osobistego, NIP, adres zamieszkania, numer telefonu, skan dowodu, skan podpisu czy dokument zawierający kilka takich informacji. Im szerszy zakres danych, tym większe ryzyko wykorzystania ich do podszycia się pod Ciebie.

W praktyce warto wykonać następujące kroki:

• spróbuj cofnąć wiadomość w programie pocztowym, jeśli taka funkcja jest dostępna, choć nie daje ona gwarancji usunięcia wiadomości u odbiorcy;
• wyślij krótką prośbę o usunięcie wiadomości i załączników, bez podawania kolejnych danych; zachowaj kopię tej prośby;
• zachowaj dowody: wysłaną wiadomość, adres odbiorcy, datę, godzinę, ewentualny komunikat niedoręczenia, nagłówki wiadomości oraz zrzuty ekranu;
• zastrzeż numer PESEL, zwłaszcza jeżeli ujawniono PESEL wraz z numerem dowodu, adresem lub podpisem;
• rozważ alerty w BIK lub innych biurach informacji gospodarczej, aby szybciej dowiedzieć się o próbie zaciągnięcia zobowiązania;
• skontaktuj się z bankiem, jeżeli w wiadomości były dane umożliwiające dostęp do bankowości, numer rachunku, zdjęcie dowodu albo podpis.

Zastrzeżenie numeru PESEL jest obecnie jednym z najważniejszych działań prewencyjnych. Rejestr zastrzeżeń numerów PESEL prowadzi minister właściwy do spraw informatyzacji na podstawie art. 23a ust. 1 ustawy z dnia 24 września 2010 r. o ewidencji ludności. Osoba pełnoletnia może zastrzec swój numer PESEL albo cofnąć zastrzeżenie zgodnie z art. 23b ust. 1 tej ustawy. W praktyce można to zrobić m.in. przez aplikację mObywatel, usługę online, w urzędzie gminy albo w wybranych instytucjach finansowych.

Czy samo wysłanie własnych danych jest naruszeniem prawa?

Jeżeli prywatna osoba omyłkowo wysłała swoje własne dane na cudzy adres e-mail, zwykle nie mamy jeszcze do czynienia z przestępstwem po stronie nadawcy ani z obowiązkiem zgłoszenia naruszenia do Prezesa Urzędu Ochrony Danych Osobowych. RODO nie ma zastosowania do przetwarzania danych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze, co wynika z art. 2 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, czyli RODO.

Inaczej należy oceniać sytuację, gdy omyłkową wiadomość wysłał przedsiębiorca, pracownik firmy, urząd, szkoła, przychodnia albo inny administrator danych. Wtedy może dojść do naruszenia ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO, czyli do naruszenia bezpieczeństwa prowadzącego m.in. do nieuprawnionego ujawnienia danych. Administrator musi ocenić ryzyko dla praw i wolności osób fizycznych. Jeżeli naruszenie może powodować takie ryzyko, art. 33 ust. 1 RODO wymaga zgłoszenia naruszenia organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin od stwierdzenia naruszenia. Jeżeli ryzyko jest wysokie, art. 34 ust. 1 RODO może wymagać zawiadomienia osoby, której dane dotyczą. Gdy udostępnienie danych było celowe, a nie przypadkowe, osobno omawiamy konsekwencje udostępniania cudzych danych bez zgody.

Jeżeli więc wysłałeś cudze dane jako pracownik albo w związku z działalnością gospodarczą, nie należy ograniczać się do prośby o usunięcie wiadomości. Trzeba zgłosić sprawę administratorowi danych, inspektorowi ochrony danych albo osobie odpowiedzialnej za bezpieczeństwo informacji w organizacji.

PESEL, numer dowodu i podpis – jakie ryzyko i jakie działania?

Nie każda omyłkowa wiadomość oznacza takie samo ryzyko. Znaczenie ma nie tylko liczba danych, lecz także to, czy odbiorca może połączyć je z dokumentem, skanem podpisu albo innymi informacjami potrzebnymi do zawarcia umowy.

Od 1 czerwca 2024 r. zastrzeżenie numeru PESEL ma praktyczne znaczenie przy zawieraniu wielu umów finansowych. Przykładowo art. 9b ust. 1 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim nakłada na kredytodawcę obowiązek weryfikacji zastrzeżenia numeru PESEL przed zawarciem umowy kredytu konsumenckiego z konsumentem. W sektorze bankowym analogiczne mechanizmy wynikają m.in. z art. 105d ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe. Skutki prawne zignorowania zastrzeżenia zależą jednak od rodzaju czynności i podmiotu, który zawiera umowę, dlatego przy realnej próbie wyłudzenia warto ocenić konkretną dokumentację.

Czy trzeba zgłosić sprawę na policję?

Samo omyłkowe wysłanie własnych danych do nieznanego odbiorcy najczęściej nie wystarcza do wszczęcia postępowania karnego, bo nie ma jeszcze sprawcy konkretnego czynu zabronionego ani szkody. Zgłoszenie na policję może jednak mieć sens, gdy pojawią się dodatkowe okoliczności: ktoś odpowiada na wiadomość w podejrzany sposób, żąda pieniędzy, grozi ujawnieniem danych, zakłada konto na Twoje dane, składa wniosek kredytowy albo kontaktuje się z Tobą rzekomy wierzyciel.

Wykorzystanie danych może w zależności od okoliczności wypełniać znamiona różnych przestępstw. Podszywanie się pod inną osobę z wykorzystaniem jej danych osobowych w celu wyrządzenia jej szkody majątkowej lub osobistej jest penalizowane w art. 190a § 2 ustawy z dnia 6 czerwca 1997 r. – Kodeks karny. Wyłudzenie pieniędzy lub usługi może stanowić oszustwo z art. 286 § 1 Kodeksu karnego. Przedłożenie podrobionego, przerobionego, nierzetelnego albo poświadczającego nieprawdę dokumentu w celu uzyskania kredytu, pożyczki, gwarancji lub podobnego świadczenia może podlegać art. 297 § 1 Kodeksu karnego. Podrobienie podpisu albo użycie dokumentu z podrobionym podpisem może być przestępstwem z art. 270 § 1 Kodeksu karnego.

W zawiadomieniu o podejrzeniu popełnienia przestępstwa należy opisać fakty, a nie przypuszczenia jako pewniki. Dołącz kopię omyłkowego e-maila, potwierdzenia zastrzeżenia PESEL, korespondencję z bankiem i każdą informację o próbie zawarcia umowy na Twoje dane.

Czy można zgłosić utratę dowodu osobistego, jeśli wysłano tylko jego dane?

Nie należy zgłaszać utraty dowodu osobistego, jeżeli dokument nadal jest w Twoim posiadaniu i nie został skradziony ani zgubiony. Art. 47 ust. 1 ustawy z dnia 6 sierpnia 2010 r. o dowodach osobistych dotyczy zgłoszenia utraty lub uszkodzenia dowodu osobistego, a nie samego ujawnienia danych z dokumentu. Złożenie fałszywego oświadczenia może narazić na odpowiedzialność karną, zwłaszcza gdy organ lub formularz zawiera pouczenie o odpowiedzialności. Fałszywe zeznania i fałszywe oświadczenia składane w warunkach przewidzianych ustawą są penalizowane w art. 233 § 1 i § 6 Kodeksu karnego.

Jeżeli jednak dowód osobisty faktycznie został utracony, należy niezwłocznie zgłosić ten fakt w urzędzie gminy, przez usługę elektroniczną albo w konsulacie, gdy przebywasz za granicą. Wtedy dokument zostanie unieważniony, a Ty możesz wystąpić o nowy dowód.

Co zrobić, gdy ktoś zaciągnie pożyczkę lub zawrze umowę na Twoje dane?

Nie czekaj na komornika. Jeżeli otrzymasz wezwanie do zapłaty, informację o pożyczce, fakturę, pismo z firmy windykacyjnej albo pozew, reaguj pisemnie i zachowuj potwierdzenia nadania. W reklamacji wskaż, że nie zawierałeś umowy, nie składałeś wniosku, nie podpisywałeś dokumentów i żądasz przedstawienia pełnej dokumentacji, w tym adresu IP, nagrań, logów, skanów dokumentów oraz sposobu weryfikacji tożsamości.

Jeżeli sprawa trafi do sądu i otrzymasz nakaz zapłaty, co do zasady trzeba wnieść sprzeciw albo zarzuty w terminie wskazanym w pouczeniu. W postępowaniu upominawczym art. 502 § 1 ustawy z dnia 17 listopada 1964 r. – Kodeks postępowania cywilnego przewiduje dwutygodniowy termin na zaspokojenie roszczenia albo wniesienie sprzeciwu od doręczenia nakazu zapłaty. W elektronicznym postępowaniu upominawczym zastosowanie mają przepisy art. 505(28) i następne Kodeksu postępowania cywilnego, a sposób zaskarżenia zależy od doręczenia i treści pouczenia.

W szczególnych sytuacjach można też rozważyć powództwo o ustalenie nieistnienia zobowiązania. Podstawą jest art. 189 Kodeksu postępowania cywilnego, zgodnie z którym powód może żądać ustalenia przez sąd istnienia lub nieistnienia stosunku prawnego albo prawa, gdy ma w tym interes prawny.

FAQ

Źródła

• Art. 2 ust. 2 lit. c, art. 4 pkt 12, art. 6 ust. 1, art. 33 ust. 1 i art. 34 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. – RODO.
• Art. 23a ust. 1 i art. 23b ust. 1 ustawy z dnia 24 września 2010 r. o ewidencji ludności.
• Art. 47 ust. 1 ustawy z dnia 6 sierpnia 2010 r. o dowodach osobistych.
• Art. 9b ust. 1 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim.
• Art. 105d ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe.
• Art. 190a § 2, art. 270 § 1, art. 286 § 1, art. 297 § 1 oraz art. 233 § 1 i § 6 ustawy z dnia 6 czerwca 1997 r. – Kodeks karny.
• Art. 189, art. 502 § 1 oraz art. 505(28) i następne ustawy z dnia 17 listopada 1964 r. – Kodeks postępowania cywilnego.