Bank prosi o skan dowodu – brzmi normalnie. Wypożyczalnia samochodów chce zrobić jego zdjęcie – już mniej. Hotel chce zachować kopię dokumentu, sklep internetowy prosi o przesłanie dowodu „w celu weryfikacji”, a aplikacja żąda selfie z dokumentem. Kto faktycznie może tego wymagać? Polskie przepisy są w tej kwestii znacznie bardziej restrykcyjne, niż mogłoby się wydawać.
Najważniejsza zasada jest prosta: to, że firma ma prawo potwierdzić Twoją tożsamość, nie oznacza automatycznie, że ma prawo zachować skan lub zdjęcie Twojego dowodu osobistego.
Może poprosić o okazanie dokumentu. Może mieć prawo spisać określone dane. A jednak nadal może nie mieć podstawy do przechowywania zdjęcia całego dokumentu.
Urząd Ochrony Danych Osobowych od lat przypomina, że kopiowanie dokumentów tożsamości powinno należeć do wyjątków. W sierpniu 2025 r. Prezes UODO nałożył na ING Bank Śląski ponad 18,4 mln zł kary za nadmierne skanowanie dowodów osobistych, a w marcu 2026 r. prawie 5,9 mln zł kary otrzymała spółka prowadząca platformę Glovo za żądanie od użytkowników skanów lub zdjęć dokumentów bez odpowiedniej podstawy prawnej.
Dowód osobisty zawiera więcej danych, niż zwykle potrzebuje firma
Skan dowodu nie jest odpowiednikiem podania imienia i nazwiska. Przekazujemy jednocześnie cały zestaw danych pozwalających na bardzo dokładną identyfikację człowieka: wizerunek, imiona, nazwisko, PESEL, datę urodzenia, obywatelstwo, płeć, numer i serię dokumentu, datę jego wydania oraz ważności.
Dlatego zastosowanie ma jedna z najważniejszych zasad RODO – minimalizacja danych.
Art. 5 ust. 1 lit. c RODO stanowi, że dane osobowe muszą być „adekwatne, stosowne oraz ograniczone do tego, co niezbędne” do celu, w którym są przetwarzane. Dodatkowo administrator musi posiadać jedną z podstaw prawnych przetwarzania określonych w art. 6 RODO. W praktyce oznacza to, że firma nie powinna zbierać całego skanu dowodu tylko dlatego, że „taką ma procedurę”, „system wymaga załącznika” albo „może się kiedyś przydać”.
Jeżeli do wykonania usługi wystarczy imię, nazwisko i data urodzenia, pobranie dodatkowo PESEL-u, zdjęcia, numeru dokumentu i pozostałych informacji może być przetwarzaniem nadmiarowym.
Kto w takim razie może kopiować dowód?
Najważniejszy wyjątek znajduje się w ustawie o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, czyli ustawie AML.
Jej art. 34 ust. 4 mówi wprost, że instytucje obowiązane, na potrzeby stosowania środków bezpieczeństwa finansowego, mogą przetwarzać informacje znajdujące się w dokumentach tożsamości klienta oraz sporządzać ich kopie. To właśnie ten przepis jest podstawą wielu procesów KYC, podczas których bank, fintech czy operator płatności prosi klienta o zdjęcie dowodu, paszportu albo o wykonanie zdjęcia dokumentu wraz z selfie.
Do instytucji obowiązanych należą m.in. banki, SKOK-i, krajowe instytucje płatnicze, krajowe instytucje pieniądza elektronicznego, małe instytucje płatnicze, biura usług płatniczych i agenci rozliczeniowi. Ustawa wymienia również m.in. firmy inwestycyjne, fundusze inwestycyjne oraz określone podmioty sektora ubezpieczeniowego.
Dlatego żądanie skanu dowodu podczas zakładania rachunku bankowego albo konta u regulowanego dostawcy usług płatniczych nie powinno samo w sobie budzić podejrzeń.
Operator płatności może poprosić o skan dowodu. Ale nie dlatego, że pozwala mu na to sama ustawa o usługach płatniczych
To ciekawy i często pomijany szczegół.
Ustawa o usługach płatniczych reguluje działalność takich podmiotów jak krajowe instytucje płatnicze, małe instytucje płatnicze czy instytucje pieniądza elektronicznego. Aktualny tekst jednolity ustawy został ogłoszony w 2026 r.
Jednak podstawą do sporządzenia kopii dokumentu w procesie identyfikacji klienta jest przede wszystkim wspomniana ustawa AML. To ona zalicza m.in. KIP, MIP i inne wskazane podmioty rynku płatniczego do instytucji obowiązanych i pozwala im stosować odpowiednie środki bezpieczeństwa finansowego. Właśnie dlatego operator płatności może w określonych przypadkach poprosić np. właściciela sklepu internetowego o dokument tożsamości podczas weryfikacji jego konta.
Nie oznacza to jednak, że każda firma obsługująca w jakikolwiek sposób płatności może automatycznie kopiować dowody klientów. Liczy się status danego podmiotu, charakter wykonywanej usługi i rzeczywista podstawa prawna.
Bank również nie może kopiować dowodu przy każdej okazji
To jeden z największych mitów.
Prawo bankowe rzeczywiście przyznaje bankom szerokie uprawnienie. Zgodnie z art. 112b banki mogą przetwarzać dla potrzeb działalności bankowej informacje znajdujące się w dokumentach tożsamości osób fizycznych.
Ale UODO bardzo wyraźnie rozróżnia przetwarzanie informacji z dokumentu od sporządzania jego kopii.
Urząd podkreśla, że art. 112b Prawa bankowego nie oznacza automatycznie prawa do wykonywania kopii dowodu w każdej sytuacji. Prawo do sporządzania kopii wynika m.in. z przepisów AML i musi być związane z rzeczywistą potrzebą zastosowania środków bezpieczeństwa finansowego. To właśnie na tym tle pojawiła się wspomniana kara dla ING. Według ustaleń UODO bank kopiował dokumenty klientów i potencjalnych klientów także w przypadkach, w których nie wykazano, że było to konieczne z punktu widzenia obowiązków AML – np. przy określonych reklamacjach. Organ uznał takie działanie za nadmierne.
Dlatego nawet zdanie: „Jesteśmy bankiem, więc mamy prawo zrobić kopię dowodu” jest zbyt daleko idącym uproszczeniem.
Prawidłowe pytanie brzmi: „Do czego kopia jest potrzebna w tej konkretnej sprawie i z jakiego przepisu wynika możliwość jej wykonania?”
Firmy pożyczkowe i lombardy – również mogą podlegać AML
Lista podmiotów posiadających obowiązki AML jest znacznie szersza niż tylko banki.
W aktualnym brzmieniu ustawy znajdują się w niej również instytucje pożyczkowe oraz przedsiębiorcy wykonujący działalność lombardową. Nie oznacza to jednak, że firma pożyczkowa uzyskuje blankietowe prawo do kopiowania dokumentów wszystkich osób przy każdej czynności.
Ponownie zastosowanie ma ta sama zasada: możliwość sporządzenia kopii dokumentu związana jest ze stosowaniem środków bezpieczeństwa finansowego wynikających z AML.
Podobne zasady mogą obejmować również kantory, niektóre podmioty związane z kryptowalutami, firmy inwestycyjne, określone zakłady ubezpieczeń, pośredników w obrocie nieruchomościami, notariuszy oraz niektórych przedstawicieli zawodów prawniczych i księgowych – ale tylko w zakresie czynności, które ustawa AML obejmuje ich obowiązkami.
To ważne, ponieważ często można spotkać argument: „jesteśmy instytucją obowiązaną AML, więc możemy kopiować wszystko”. Nie. Sama obecność firmy na liście instytucji obowiązanych nie powoduje, że każda wykonywana przez nią czynność uzasadnia skanowanie dowodu.
Co jeśli odmówisz bankowi albo operatorowi płatności?
Tutaj sytuacja jest inna niż np. w hotelu czy wypożyczalni.
Instytucja obowiązana musi być w stanie zidentyfikować klienta i zweryfikować jego tożsamość. Jeżeli nie jest w stanie zastosować wymaganych środków bezpieczeństwa finansowego, art. 41 ustawy AML może zobowiązywać ją m.in. do nienawiązywania stosunków gospodarczych albo nieprzeprowadzania określonej transakcji.
Dlatego odpowiedź „nie zgadzam się na weryfikację, ale proszę otworzyć mi konto” może po prostu nie zadziałać.
Nie oznacza to jednak, że klient traci prawo do zadawania pytań. Możesz zapytać:
- dlaczego wymagana jest kopia całego dokumentu,
- jaka jest podstawa prawna,
- czy wystarczy inna metoda weryfikacji,
- jak długo kopia będzie przechowywana,
- kto będzie miał do niej dostęp.
Jeżeli kopia została pobrana w ramach AML, przepisy przewidują co do zasady pięcioletni okres przechowywania dokumentów i informacji pozyskanych w ramach środków bezpieczeństwa finansowego, liczony od zakończenia relacji z klientem lub wykonania transakcji okazjonalnej. W określonych sytuacjach okres ten może zostać przedłużony.
Hotel może poprosić o dowód. To nie znaczy, że może go skopiować
To idealny przykład różnicy między okazaniem dokumentu a oddaniem jego kopii. Hotel może mieć uzasadniony interes w potwierdzeniu, że osoba meldująca się rzeczywiście jest osobą, na którą dokonano rezerwacji. Recepcjonista może więc poprosić o dokument umożliwiający zweryfikowanie tożsamości.
Z tego nie wynika jednak automatycznie potrzeba fotografowania lub kserowania całego dowodu.
Jeżeli do realizacji umowy potrzebne są określone dane klienta, powinny być pozyskiwane tylko w niezbędnym zakresie. Zasada minimalizacji z art. 5 RODO obowiązuje hotel dokładnie tak samo jak każdego innego administratora danych.
Hasło „potrzebujemy do meldunku” samo w sobie nie jest przepisem uprawniającym do przechowywania pełnego skanu dowodu.
Wypożyczalnia samochodów albo sprzętu? Zachowaj szczególną ostrożność
Wypożyczalnie mają oczywisty interes w tym, aby wiedzieć, komu powierzają samochód, rower, sprzęt budowlany czy elektronikę.
To nadal nie oznacza automatycznego prawa do wykonania kopii całego dowodu.
UODO w swoich materiałach wręcz wskazuje wypożyczanie sprzętu jako przykład sytuacji, w której nie powinniśmy bezrefleksyjnie zgadzać się na kopiowanie dokumentu. Urząd zwraca uwagę, że wszystkie dane znajdujące się w dokumencie nie są potrzebne do realizacji celu wypożyczenia, a utrata kontroli nad kopią dokumentu zwiększa ryzyko kradzieży tożsamości.
Wypożyczalnia może potrzebować danych potrzebnych do zawarcia umowy, dochodzenia roszczeń czy zweryfikowania prawa jazdy kierowcy.
To coś innego niż zachowanie zdjęcia całego dokumentu na firmowym komputerze.
Sklep internetowy, aplikacja i kurier nie dostają automatycznie prawa do Twojego dowodu
Dobrym przykładem jest sprawa Glovo. Platforma żądała skanów lub zdjęć dokumentów m.in. w przypadku podejrzenia oszustwa, użycia fałszywych pieniędzy czy niezgodności danych karty z danymi użytkownika. Spółka argumentowała, że działa w ramach prawnie uzasadnionego interesu, czyli art. 6 ust. 1 lit. f RODO. UODO uznał, że to za mało.
Według organu kopiowanie dokumentów tożsamości powinno następować tylko wyjątkowo, przez podmioty posiadające do tego odpowiednią podstawę prawną. Kara wyniosła 5 898 064 zł.
To istotny sygnał dla całego rynku internetowego. Sklep nie może zakładać, że skoro podejrzewa klienta o oszustwo albo chce „dla bezpieczeństwa” potwierdzić jego tożsamość, najprostszym rozwiązaniem jest zażądanie zdjęcia dowodu.
Operator telekomunikacyjny również nie powinien automatycznie kopiować dokumentu
Operator musi potrafić zidentyfikować osobę zawierającą umowę. Nie należy jednak utożsamiać tego z koniecznością zachowania pełnej kserokopii dokumentu.
UODO wskazywał już wcześniej, że z przepisów regulujących usługi telekomunikacyjne nie wynika generalna konieczność sporządzania kopii dowodu klienta, a wykonanie kopii powoduje zebranie dodatkowych danych, w tym wizerunku.
Podobnie kurier dostarczający umowę może mieć obowiązek zweryfikowania odbiorcy, ale nie oznacza to, że jego wewnętrzna procedura może bez odpowiedniej podstawy prawnej stworzyć obowiązek wykonania kopii dokumentu.
A pracodawca?
Pracodawca może żądać od pracownika określonych informacji przewidzianych przez przepisy prawa pracy oraz w uzasadnionych przypadkach poprosić o dokument pozwalający je zweryfikować.
Czym innym jest jednak okazanie dokumentu, a czym innym umieszczenie pełnego skanu dowodu osobistego w aktach pracownika.
W zwykłym procesie zatrudnienia pracodawca nie powinien zbierać danych „na zapas”. Jeżeli określona informacja może zostać skutecznie potwierdzona poprzez okazanie dokumentu i odnotowanie potrzebnych danych, trudno uzasadnić konieczność przechowywania wszystkich informacji widocznych na dowodzie.
Wyjątki mogą wynikać z konkretnych przepisów dotyczących określonych procedur czy kategorii pracowników, dlatego zawsze należy patrzeć na cel i podstawę prawną konkretnego żądania.
„Ale przecież wyraziłeś zgodę”. Czy zgoda załatwia problem?
Nie.
Jednym z największych mitów związanych z RODO jest przekonanie, że jeżeli firma otrzyma zgodę klienta, może przetwarzać praktycznie dowolne dane.
Zgoda jest jedną z podstaw przetwarzania wymienionych w art. 6 RODO, ale nie wyłącza pozostałych zasad rozporządzenia. Nadal obowiązuje m.in. minimalizacja danych i ograniczenie celu. Nie można więc napisać w regulaminie: „Klient wyraża zgodę na przesłanie kopii dowodu” i uznać, że problem prawny został rozwiązany. Jeżeli pełna kopia dokumentu nie jest potrzebna do realizacji danego celu, administrator nadal może przetwarzać nadmierny zakres danych.
Dodatkowo zgoda musi być dobrowolna. Jeżeli przedsiębiorca mówi: „wyślij skan dowodu albo nie wykonamy usługi”, choć kopia dokumentu nie jest konieczna do jej wykonania, pojawia się dodatkowe pytanie o rzeczywistą dobrowolność takiej zgody.
Ustawa o dokumentach publicznych nie oznacza, że każda kserokopia dowodu jest przestępstwem
Wokół tego tematu narósł jeszcze jeden popularny mit.
Od 2019 r. obowiązuje ustawa o dokumentach publicznych, która penalizuje m.in. wytwarzanie i oferowanie replik dokumentów publicznych. Za takie działanie może grozić nawet kara pozbawienia wolności do 2 lat. Nie oznacza to jednak, że każda kserokopia dowodu osobistego jest nielegalną „repliką”.
Sama ustawa odpowiednio definiuje replikę, a MSWiA już przy jej wejściu w życie podkreślało, że nowe przepisy nie wprowadzają generalnego zakazu wykonywania kserokopii dowodów np. przez banki. Legalność zbierania danych z kopii należy oceniać przede wszystkim przez pryzmat przepisów o ochronie danych i właściwych ustaw sektorowych.
Krótko mówiąc: problem z firmą kopiującą Twój dowód najczęściej nie polega na tym, że stworzyła „podrobiony dokument”. Problem polega na tym, że mogła bez podstawy lub bez potrzeby zebrać zbyt wiele Twoich danych osobowych.
Kto może, a kto co do zasady nie powinien żądać skanu?
W praktyce można przyjąć następujący podział.
Uzasadnione prawnie żądanie kopii może pojawić się m.in. w banku, SKOK-u, instytucji płatniczej, instytucji pieniądza elektronicznego, firmie inwestycyjnej, instytucji pożyczkowej, u niektórych podmiotów ubezpieczeniowych czy u innych instytucji obowiązanych AML – jeżeli kopia rzeczywiście służy wykonaniu obowiązków związanych z identyfikacją i weryfikacją klienta. Ustawa AML wprost dopuszcza sporządzanie takich kopii.
Z kolei hotel, wypożyczalnia, zwykły sklep internetowy, restauracja, klub fitness, organizator wydarzenia, kurier czy inny przedsiębiorca nie uzyskuje prawa do pełnego skanu dowodu tylko dlatego, że chce potwierdzić tożsamość klienta lub zabezpieczyć swoje interesy. Może mieć prawo do określonych danych albo do weryfikacji dokumentu, ale konieczność utrwalenia całej kopii wymaga odrębnego uzasadnienia.
I nawet bank nie może kopiować dowodu automatycznie przy każdej czynności.
Co zrobić, gdy ktoś prosi o zdjęcie lub skan dowodu?
Najprostsza reakcja to jedno pytanie: „Proszę wskazać podstawę prawną do sporządzenia i przechowywania kopii mojego dokumentu tożsamości.”
To nie jest pytanie problematycznego klienta. Administrator danych powinien wiedzieć, dlaczego zbiera dane oraz na jakiej podstawie prawnej je przetwarza. UODO wprost zachęca, by o taką podstawę pytać.
Warto również ustalić, czy firma potrzebuje rzeczywiście kopii całego dokumentu, czy wystarczy jego okazanie, spisanie kilku danych albo zastosowanie innej metody weryfikacji.
Szczególną ostrożność zachowaj, jeśli prośba przychodzi e-mailem, SMS-em, komunikatorem albo podczas niespodziewanej rozmowy telefonicznej. Nawet jeśli nadawca twierdzi, że reprezentuje bank, operatora płatności czy inną instytucję mającą prawo przeprowadzić KYC, najpierw samodzielnie zweryfikuj, czy wiadomość rzeczywiście pochodzi od niej.
Nie wysyłaj zdjęcia dokumentu w odpowiedzi na wiadomość tylko dlatego, że zawiera logo znanej firmy.
Dlaczego warto bronić kopii swojego dowodu?
Pełny skan dokumentu jest wyjątkowo atrakcyjnym materiałem dla oszustów. Może zostać wykorzystany jako element kradzieży tożsamości, do przygotowania bardzo wiarygodnego phishingu, zakładania kont w usługach internetowych albo prób zawierania umów z wykorzystaniem danych innej osoby.
UODO wskazuje, że wejście w posiadanie kompletnej kopii dokumentu może umożliwiać przestępcom podszywanie się pod jego właściciela i podejmowanie prób dokonywania różnych transakcji lub zawierania umów. Dlatego zasada powinna być odwrotna od tej, do której przez lata przyzwyczaiło się wiele firm.
Nie: „Zróbmy kopię dowodu, bo może kiedyś będzie potrzebna.”
Tylko: „Czy naprawdę nie możemy osiągnąć tego samego celu bez zachowywania kopii dokumentu?”
Jeżeli odpowiedź brzmi „możemy”, skan nie powinien być zbierany.
A jeżeli firma uważa, że nie może – powinna umieć jasno powiedzieć, dlaczego, na jakiej podstawie prawnej i jak długo zamierza przechowywać jeden z najważniejszych dokumentów dotyczących Twojej tożsamości.
Stan prawny: 20 września 2026 r.