Kopiowanie pełnych dowodów osobistych dotyczy w głównej mierze sektorów regulowanych, tj. w banków, ubezpieczycieli, telekomów, ale zdarza się to również w podmiotach świadczących inne usługi, np. w wypożyczalniach samochodów, sprzętu wodnego i plażowego, w miejskich wypożyczalniach skuterów i innego sprzętu transportu prywatnego typu hulajnoga, segway czy w zakładach bukmacherskich. A sporządzone kopie posiadają pełen zakres umożliwiający sporządzenie repliki dokumentu.

Od długiego czasu różne środowiska podkreślały konieczność zakazania wytwarzania i posługiwania się repliką dowodu osobistego. Obecnie – do 12 lipca – wytwarzanie tzw. dowodów kolekcjonerskich jest legalne i nie jest obwarowane żadnymi wymogami, a ogłoszenia oferujące wykonanie takiej usługi znajdziemy na aukcjach internetowych - koszt oscyluje w okolicach kilkuset złotych. A co można zrobić z takim podrobionym dowodem osobistym? Ukraść tożsamość prawowitego właściciela podrabianego dowodu i np. wziąć pożyczkę krótkoterminową, którą obecnie załatwimy nawet przez Internet. Finezja przestępców bazujących na kradzieży tożsamości sięga jednak zdecydowanie dalej.

Rok temu niebezpiecznik.pl informował o wykorzystywaniu skopiowanych dowodów osobistych do wyrabiania duplikatu karty SIM, za pomocą której kradziono pieniędze poprzez systemy bankowości elektronicznej, w których autoryzacja przelewów polega na wpisaniu kodu otrzymanego SMS-em. Tym samym przestępcy, którzy wcześniej posiedli dane niezbędne do logowania, za pomocą podrobionego dowodu osobistego otrzymywali również kartę SIM i w ten sposób mieli pełne dane autoryzacyjne umożliwiające zrobienie przelewów z cudzego konta.

Aby kradzież tożsamości była skuteczna, niezbędne jest posiadanie informacji o danych, które powinny znaleźć się w podrabianym dowodzie. Z tego powodu organ ochrony danych osobowych od wielu lat konsekwentnie podkreślał konieczność ochrony informacji zawartych w naszych dowodach osobistych, w szczególności stał na stanowisku, zgodnie z którym, co do zasady, kopiowanie dowodów osobistych jest niedozwolone ze względu na naruszenie zasady adekwatności, obecnie minimalizacji danych osobowych. Organ nadzoru nie kwestionuje samej potrzeby weryfikacji danych potwierdzających tożsamość osób fizycznych czy przetwarzania danych z dowodu osobistego. Kwestionowany jest natomiast zakres przetwarzanych danych i sposób ich powielania. Mimo że kampanie edukacyjne i działania nadzorcze są podejmowane od wielu, wielu lat, niektóre podmioty nadal stosują praktykę kopiowania całych dowodów osobistych wraz z wszystkimi danymi w nich zawartymi. Tymczasem dla potwierdzenia tożsamości osoby, czyli zrealizowania celu przetwarzania informacji z dowodów osobistych, zazwyczaj wystarczający jest wgląd do dowodu osobistego, ewentualnie skopiowanie lub odnotowanie wyłącznie wybranych informacji, które w razie potrzeby posłużą nam później do dochodzenia roszczeń, czyli numeru dowodu osobistego. Jeżeli jesteśmy podmiotem z określonego sektora, możemy mieć potrzebę, a czasami wręcz obowiązek przetwarzania szerszych informacji z dowodu, np. w zakresie prania pieniędzy i wówczas to wprost z przepisów prawa wynika, jakie informacje mamy pozyskać i potwierdzić. Nie ma natomiast uzasadnienia dla kopiowania całego dowodu osobistego wraz z informacjami niewskazanymi w przepisach prawa.

Jednak ważniejszym powodem tak zaostrzonego podejścia do kopiowania dowodów osobistych są konsekwencje, jakie to za sobą pociąga, a na gruncie RODO – ryzyka dla praw i wolności osób, których dane dotyczą. Samo bowiem nadmiarowe przetwarzanie danych osobowych stanowi naruszenie praw osób fizycznych, jednak to naruszenia w zakresie bezpieczeństwa, czyli wycieki danych, są zagrożeniem najdalej idącym w skutki. I tutaj widzimy ogromną różnicę pomiędzy wyciekiem tylko wybranych informacji a wyciekiem pełnych kopii dowodów osobistych. Jeżeli wyciekł cały obraz dowodu osobistego, sporządzenie jego repliki jest banalnie proste.

Ustawa reguluje zarówno wytwarzanie replik dokumentów publicznych, jak i ich kopiowanie. Definicja repliki określa wprost, że jest nią odwzorowanie lub kopia wielkości od 75% do 120% oryginału o cechach autentyczności, z wyłączeniem kserokopii lub wydruku komputerowego dokumentu publicznego wykonanego dla celów urzędowych, służbowych lub zawodowych określonych na podstawie odrębnych przepisów lub na użytek osoby, której dane dotyczą. Oznacza to, że kserokopia sporządzona dla celów, które nie zostały określone na podstawie odrębnych przepisów, będzie stanowiła replikę dokumentu publicznego, a jej wytwarzanie, oferowanie, zbywanie lub przechowywanie w celu zbycia podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2.

Regulując prawo do wykonywania kopii dowodów osobistych, ustawa reguluje tym samym przetwarzanie danych osobowych w nich zawartych. Jednak teraz powstaje wątpliwość interpretacyjna celów urzędowych, służbowych i zawodowych określonych na podstawie odrębnych przepisów, dla których sporządzanie pełnych kopii dowodów osobistych jest dozwolone i jak do tego przyłożymy zasadę minimalizacji danych. RODO bowiem, jako akt wyższej rangi, powinno być bowiem stosowane i nawet, jeśli cele są określone w ustawie, nadal możemy przetwarzać tylko taki zakres danych osobowych, jaki jest nam niezbędny do osiągnięcia określonych celów, a przetwarzanie wszystkich danych z dowodu osobistego, czyli sporządzanie pełnej kopii dowodu, nadal będzie naruszało zasadę minimalizacji danych.

Ustawa jest ogromnym krokiem zapobiegawczym przestępstwu kradzieży tożsamości, w szczególności poprzez delegalizację wykonywania replik dowodów osobistych. Jednak w zakresie ograniczenia kopiowania całych dowodów osobistych będziemy musieli poczekać na pierwsze interpretacje organu nadzoru.