Skan dowodu osobistego w firmie: kiedy wolno, a kiedy wystarczy okazanie

Nowy klient podpisuje umowę, a ktoś w biurze dorzuca: „Poproszę jeszcze dowód, zrobię skan na wszelki wypadek”. Klient podaje dokument, bo nie chce robić z tego sprawy. Skan dowodu osobistego ląduje w folderze klienta albo w skrzynce mailowej i leży tam, dopóki ktoś go nie usunie… albo dopóki nie wycieknie razem z całą skrzynką.

Czy tak wolno? Musiałem to rozstrzygnąć, kiedy poprawiałem moduł o dowodach osobistych w swoim szkoleniu z RODO, czyli unijnego rozporządzenia o ochronie danych osobowych, bo prawnicy nie mówią tu jednym głosem. Wybrałem wariant ostrożny. Poniżej wyjaśniam, kiedy skan albo ksero dowodu osobistego ma podstawę, kiedy wystarczy okazanie dokumentu, także na rozmowie wideo, jak sprawdzić tożsamość klienta, który żąda swoich danych, co zrobić z PIT-em małżonka i co z tego wpisać do procedury obsługi klienta.

Czy można kserować dowód osobisty za zgodą klienta?

Moja odpowiedź: kopii dowodu nie opieram na zgodzie klienta, nawet gdy klient chętnie ją podpisze. To podejście ostrożne, a nie jedyna możliwa wykładnia.

Spotkasz też pogląd przeciwny. W artykule „Kopiowanie dowodu osobistego a RODO” w serwisie Infor z 2018 r. autorka przytacza często powtarzane stanowisko, że kopiowanie dowodu jest zabronione, „chyba że taki obowiązek wynika bezpośrednio z przepisu prawa lub wyrazisz na to zgodę”. Zastrzega przy tym, że firma i tak musi wykazać uzasadnienie, na przykład wysokie ryzyko wyłudzeń.

Dlaczego mimo to nie polecam opierać skanu na zgodzie? Z trzech powodów.

„Na wszelki wypadek” to nie jest cel

RODO każe zbierać dane w konkretnych, wyraźnie określonych celach (art. 5 ust. 1 lit. b RODO). „Na wszelki wypadek” takim celem nie jest. Do tego dochodzi minimalizacja (art. 5 ust. 1 lit. c): bierzesz tylko te dane, których potrzebujesz. Ta zasada obowiązuje przy każdej podstawie, także przy zgodzie, a skan zabiera cały dokument naraz.

Zgoda przy podpisywaniu umowy rzadko jest dobrowolna

Art. 7 ust. 4 RODO każe sprawdzić, czy wykonanie umowy nie zależy od zgody na przetwarzanie danych, które do tej umowy nie są potrzebne. Jeśli klient słyszy „bez skanu nie ruszymy”, trudno mówić o wolnym wyborze. A jeśli obsłużysz go także bez skanu… zgoda będzie dobrowolna, ale wtedy trudno wykazać, do jakiego celu skan jest Ci niezbędny (art. 5 ust. 1 lit. b i c).

Zgodę klient może też wycofać w każdej chwili (art. 7 ust. 3 RODO). Gdy nie masz innej podstawy, skan musisz wtedy usunąć (art. 17 ust. 1 lit. b RODO).

Urząd szuka przepisu, a nie podpisu klienta

Prezes Urzędu Ochrony Danych Osobowych (UODO) nałożył na spółkę prowadzącą platformę Glovo prawie 5,9 mln zł kary za zbieranie skanów i zdjęć dowodów tożsamości użytkowników. Urząd poinformował o tym w komunikacie z 16 marca 2026 r. Spółka powoływała się na prawnie uzasadniony interes i walkę z oszustwami. Urząd napisał, że kopiowanie lub utrwalanie dokumentów tożsamości powinno być stosowane „wyłącznie w wyjątkowych przypadkach przez konkretne i upoważnione ustawowo podmioty oraz w sytuacjach wyraźnie przewidzianych przepisami prawa”.

O zgodzie w tej sprawie nie było mowy, więc decyzja sporu nie rozstrzyga. Pokazuje jednak, czego urząd szuka: przepisu. Dlatego uważam, że podpis klienta pod zgodą to słaba tarcza.

Kiedy skan dowodu osobistego jest w porządku?

Bez wątpliwości wtedy, gdy przepis wymaga kopii. Gdy przepis jedynie na nią pozwala, kopia ma podstawę, ale robisz ją wyłącznie wtedy, gdy jest Ci rzeczywiście potrzebna.

W sprawie Glovo UODO wskazał jako przykład ustawę o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu. Ta ustawa daje takie uprawnienia tylko instytucjom, które sama wymienia. Jeśli Twojej firmy tam nie ma i żaden inny przepis nie każe Ci robić kopii ani wprost na nią nie pozwala, domyślnie wystarczy okazanie.

Okazanie dowodu osobistego zamiast skanu, także na wideo

Okazanie to po prostu: patrzysz, sprawdzasz, oddajesz. Nic nie kopiujesz, więc nie masz czego chronić, przechowywać ani pilnować, żeby w porę usunąć.

• porównujesz zdjęcie w dokumencie z osobą przed Tobą;
• sprawdzasz tylko dane, których potrzebujesz: do umowy zwykle imię i nazwisko, przy sprawdzaniu pełnoletności datę urodzenia;
• notujesz, że tożsamość potwierdzono okazaniem dowodu, kto to zrobił i kiedy;
• oddajesz dokument bez ksero, skanu i zdjęcia telefonem.

Klient jest w innym mieście? Okazanie działa też zdalnie. Klient pokazuje dowód do kamery podczas rozmowy wideo, a Ty porównujesz twarz i dane. Warunek: tego fragmentu nie nagrywasz i nie robisz zrzutu ekranu, bo wtedy znowu masz kopię dokumentu.

Kodeks postępowania dla małych placówek medycznych (w skrócie Kodeks PZ), przygotowany przez Porozumienie Zielonogórskie, czyli federację związków pracodawców ochrony zdrowia, i zatwierdzony przez Prezesa UODO, mówi o tym wprost przy wideoporadach. Opisałem go we wpisie Teleporada a RODO: weryfikacja pacjenta wg Kodeksu PZ. To kodeks dla medycyny, ale ta sama zasada pasuje do biura rachunkowego, agencji czy sklepu.

Weryfikacja tożsamości klienta, który żąda swoich danych

Druga sytuacja, w której firmy odruchowo sięgają po skan: ktoś pisze, że chce kopię swoich danych, czyli korzysta z prawa dostępu z art. 15 RODO. Firma odpisuje „proszę o skan dowodu”. Tymczasem przy uzasadnionych wątpliwościach, kto pisze, możesz poprosić o dodatkowe informacje, ale tylko takie, bez których nie potwierdzisz tożsamości tej osoby (art. 12 ust. 6 RODO). Kopia całego dowodu rzadko spełnia ten warunek.

Europejska Rada Ochrony Danych (EROD), czyli wspólne ciało unijnych urzędów ochrony danych, w wytycznych 01/2022 w sprawie prawa dostępu pisze, że żądanie kopii dokumentu tożsamości od osoby, którą firma już wcześniej uwierzytelniła, jest nieproporcjonalne (pkt 73). Sama kopia dowodu stwarza ryzyko dla bezpieczeństwa danych i co do zasady nie jest właściwym sposobem potwierdzania tożsamości (pkt 74 i 75). Dlatego proponuję trzy kroki, po kolei:

Przy pytaniach kontrolnych pytaj o coś, czego obca osoba nie wyczyta z dokumentów ani z internetu, na przykład o numer ostatniej faktury. Imię, nazwisko czy PESEL się do tego nie nadają, bo trafiają do wielu dokumentów i łatwo je zdobyć. Termin odpowiedzi na takie żądanie i to, co musi się w niej znaleźć, opisuję we wpisie Art. 15 RODO w sklepie: wniosek klienta o kopię danych, termin i kary.

PIT małżonka i dokumenty bliskich klienta: wgląd bez kopii

Czasem do sprawy potrzebny jest dokument kogoś, kto nie jest Twoim klientem, na przykład PIT małżonka. Ta osoba nie jest stroną Twojej umowy i zwykle nie masz od niej żadnej zgody, więc argument ze zgody w praktyce tu nie działa.

UODO wypowiedział się o tym w 2020 r. przy zakładowym funduszu świadczeń socjalnych (ZFŚS), z którego pracodawca przyznaje pracownikom świadczenia zależne od sytuacji rodziny. Urząd uznał, że gdy do oceny wniosku przydałby się PIT małżonka, przepisy dają pracodawcy jedynie wgląd do dokumentu, a nie prawo do przechowywania kopii czy innego utrwalania. Powód: w PIT są też dane niepotrzebne do celu, na przykład nazwa zakładu pracy i PESEL (komunikat UODO „Jeśli pracodawca prowadzi ZFŚS, dotyczy go także RODO”, kopia opublikowana przez Zachodniopomorski Uniwersytet Technologiczny).

To stanowisko dotyczy pracodawców, ale tę samą logikę przenoszę na każdą firmę: dokument osoby trzeciej oglądasz, notujesz potrzebny fakt albo kwotę i oddajesz.

Co wpisać do procedury obsługi klienta

Zasada działa tylko wtedy, gdy jest spisana i znają ją osoby, które przyjmują klientów. W procedurze obsługi klienta umieść:

Procedurę dopasowaną do tego, jak naprawdę obsługujesz klientów, przygotujemy w ramach Dokumentacji RODO.

Najczęstsze pytania o skan dowodu osobistego

Pamiętaj przy następnym kliencie

Domyślnie oglądasz dokument i go oddajesz. W wariancie ostrożnym kopię robisz tylko wtedy, gdy przepis jej wymaga albo wprost na nią pozwala. Podpisu klienta pod zgodą nie traktuję jako zamiennika takiego przepisu. Osoby, które na co dzień przyjmują klientów, przygotujemy do tego na Szkoleniach z RODO. Napisz albo zadzwoń, sprawdzimy razem, gdzie w Twojej firmie leżą skany dowodów.