Ksero dowodu osobistego a zgoda klienta: okazanie zamiast kopii

Przygotowujesz wzór umowy albo regulamin i chcesz dopisać jedno krótkie zdanie: „Wyrażam zgodę na sporządzenie kserokopii mojego dowodu osobistego”. Klient podpisze, kopia trafi do teczki i… sprawa załatwiona?

Niekoniecznie. Na pytanie, czy zgoda klienta wystarcza na ksero dowodu osobistego, musiałem sobie odpowiedzieć przy poprawianiu kursu RODO, którego jestem autorem. Prawnicy nie są tu zgodni, a Urząd Ochrony Danych Osobowych (UODO) nie rozstrzygnął tej sprawy wprost.

Wybrałem wariant ostrożny: kopii dowodu na podstawie samej zgody nie robimy. Poniżej pokazuję, skąd ta ostrożność, czym zastąpić ksero i jak sprawdzić, kim jest osoba po drugiej stronie, gdy nie możesz jej zobaczyć.

Czy można kserować dowód osobisty, jeśli klient się zgodzi?

To zależy, kogo zapytasz. Spotkasz dwa poglądy i uczciwie trzeba powiedzieć, że ten ostrożny, który tu przedstawiam, nie jest jedyną możliwą wykładnią.

Pogląd pierwszy: zgoda jest jedną z podstaw

RODO nie ma przepisu, który zakazywałby kopiowania dowodów, a zgoda jest jedną z sześciu podstaw przetwarzania danych. Stąd pogląd, że ksero dowodu osobistego jest dopuszczalne, gdy przepis tego wymaga albo gdy klient się zgodził, a firma umie wykazać powód, na przykład wysokie ryzyko wyłudzeń. Taki pogląd przytacza między innymi Sylwia Czub-Kiełczewska w artykule „Kopiowanie dowodu osobistego a RODO” w serwisie Infor z 2018 r. Dodaje przy tym, że nawet za zgodą firma nie powinna trzymać pełnej kopii.

Pogląd drugi, ostrożny: zgoda niewiele tu daje

Ja przyjmuję ten drugi, z daleko idącej ostrożności. Stoją za nim cztery argumenty.

Zgoda musi być dobrowolna. Art. 7 ust. 4 RODO każe sprawdzić, czy od zgody nie uzależniasz usługi, do której te dane nie są potrzebne. Jeśli bez ksero nie podpiszesz umowy, zgoda jest wątpliwa. Jeśli podpiszesz, to po co Ci kopia?

Minimalizacja działa przy każdej podstawie. Art. 5 ust. 1 lit. c RODO pozwala zbierać tylko to, co niezbędne do celu. Kopia zabiera cały dokument: PESEL, zdjęcie, numer, daty. Do umowy wystarczy zwykle imię, nazwisko i czasem numer dokumentu.

Zgodę można cofnąć. Klient może ją wycofać w każdej chwili, a Ty musisz umieć wykazać, że ją dostałeś (art. 7 ust. 1 i 3 RODO). Kopia oparta na zgodzie może więc stracić podstawę z dnia na dzień.

W sprawie Glovo urząd wskazał na przepis, a nie na podpis. W komunikacie, o którym piszę niżej, czytamy, że kopiowanie lub utrwalanie dokumentów tożsamości powinno być stosowane „wyłącznie w wyjątkowych przypadkach przez konkretne i upoważnione ustawowo podmioty oraz w sytuacjach wyraźnie przewidzianych przepisami prawa”. Urząd przypomniał przy tym, że potrzebna jest jedna z podstaw z art. 6 ust. 1 RODO, a zgoda do nich należy. Spółka nie powoływała się wtedy na zgodę, więc to nie jest rozstrzygnięcie naszego pytania ani zakaz. Czytam to jednak jako wyraźny sygnał, w którą stronę patrzy urząd.

Klauzula zgody na ksero w umowie albo regulaminie

Tu wraca zdanie z początku wpisu. Europejska Rada Ochrony Danych (EROD), czyli wspólne ciało unijnych urzędów ochrony danych, pisze w wytycznych 05/2020 w sprawie zgody (pkt 81), że zgody nie można uzyskać tą samą czynnością co zawarcie umowy albo zaakceptowanie ogólnych warunków usługi. Zgoda ma być wyraźnie oddzielona od reszty dokumentu (art. 7 ust. 2 RODO), a informacje potrzebne do decyzji o zgodzie nie mogą być ukryte w ogólnych warunkach (pkt 67). Do tego, gdy kopia nie jest do umowy niezbędna, nie wolno uzależniać umowy od zgody ani zacierać różnic między tymi podstawami (pkt 26). Zdanie o ksero dopisane do umowy, którą klient musi podpisać, żeby dostać usługę, zderza się ze wszystkimi trzema wymaganiami.

Dlatego nie radzę wpisywać do umów i regulaminów klauzuli „zgadzam się na kopię dowodu”. Jeśli firma naprawdę musi ustalić, z kim zawiera umowę, lepiej zapisać w procedurze okazanie dokumentu, o którym za chwilę.

Wgląd w PIT małżonka bez robienia kopii

Jak daleko sięga ostrożność UODO, widać na innym dokumencie. W poradniku dla pracodawców o Zakładowym Funduszu Świadczeń Socjalnych (ZFŚS) urząd pisze, że gdy do wniosku o świadczenie potrzebny jest PIT małżonka, pracodawca ma do niego jedynie wgląd. Kopii nie przechowuje, bo w zeznaniu są też dane zbędne do oceny wniosku, na przykład PESEL i nazwa zakładu pracy. Wolno zanotować, jakim dokumentem pracownik potwierdził podane dane.

Tu pracodawcę uprawnia ustawa, a i tak kończy się na obejrzeniu dokumentu. Przy dowodzie osobistym, gdzie przepisu nie ma, a jest tylko podpis klienta, tym trudniej bronić kopii.

Okazanie dowodu osobistego w biurze albo do kamery

Okazanie dowodu osobistego to coś innego niż ksero. Patrzysz na dokument, porównujesz, spisujesz minimum i oddajesz. W firmie nie zostaje obraz dokumentu, tylko kilka danych, które i tak byłyby Ci potrzebne.

Zatrzymanie cudzego dowodu bez podstawy prawnej to wykroczenie z art. 79 pkt 2 ustawy o dowodach osobistych, więc zostawianie dowodu „pod zastaw”, na przykład przy wypożyczeniu sprzętu, też odpada.

Skąd zasada z kamerą? Kodeks postępowania dla małych placówek medycznych, zatwierdzony przez Prezesa UODO, mówi (s. 102), że okazanie dokumentu podczas nagrywanej wideoporady jest niedopuszczalne, bo placówka nie ma podstawy, żeby utrwalać obraz dowodu. Jeśli technika na to pozwala, nagrywanie przerywa się na czas okazania. To kodeks dla medycyny, ale tę samą logikę stosujemy w każdej firmie.

Chcesz sprawdzić, czy okazany dowód nie został unieważniony albo zawieszony, na przykład po kradzieży? Po zalogowaniu profilem zaufanym albo e-dowodem możesz to zrobić w usłudze „Sprawdź, czy dowód osobisty jest unieważniony lub zawieszony” na gov.pl, wpisując serię i numer. Pamiętaj tylko, że wykaz obejmuje prawdziwe polskie dowody. Odpowiedź „nie ma w wykazie” może znaczyć, że dokument jest ważny albo że w ogóle nie wydał go polski urząd. Datę ważności sprawdź też na samym dowodzie.

Weryfikacja tożsamości klienta, który żąda swoich danych

Druga typowa sytuacja: ktoś pisze „chcę wiedzieć, jakie moje dane macie”, a Ty go nie znasz. Pierwszy odruch to „proszę o skan dowodu”. Tymczasem przy uzasadnionych wątpliwościach możesz zażądać tylko dodatkowych informacji, bez których nie potwierdzisz tożsamości (art. 12 ust. 6 RODO).

EROD w wytycznych 01/2022 w sprawie prawa dostępu idzie dalej. Jeśli osoba była już u Ciebie uwierzytelniona, na przykład ma w sklepie konto z hasłem, żądanie kopii dowodu jest nieproporcjonalne (pkt 73 i przykład 13). Kopia dokumentu tożsamości co do zasady nie jest właściwym sposobem uwierzytelnienia (pkt 74 i 75).

Dlatego najpierw sięgasz po to, co już masz:

• odpowiadasz na adres e-mail albo dzwonisz na numer, który ta osoba podała Ci wcześniej, a nie na ten z nowej wiadomości;
• prosisz o zalogowanie się na konto, jeśli je ma;
• zadajesz pytania kontrolne o to, co znacie tylko Ty i ona, na przykład numer ostatniego zamówienia albo kwotę ostatniej faktury.

Imię, nazwisko i adres to za mało. UODO pisze, że przy realizacji praw na odległość trzeba sięgnąć po dane, co do których prawdopodobieństwo, że znają je osoby postronne, jest znikome (odpowiedź UODO z 2020 r., przedrukowana w Biuletynie UODO, wydanie specjalne z 2025 r., s. 123). Dobrą miarę podsuwa wspomniany kodeks dla placówek medycznych: przy teleporadzie w razie wątpliwości zaleca trzy pytania, na które odpowiedź zna pacjent, zna placówka i nie znają osoby nieupoważnione (s. 102). To wzór z medycyny, ale da się go przenieść do każdej firmy, która rozmawia z klientami na odległość. Nie wychodzi? Zostaje okazanie dowodu osobistego, osobiście albo na wideo, bez nagrania. Jak odpowiedzieć na samo żądanie i w jakim terminie, opisałem we wpisie Prawo dostępu do danych w firmie: kopia, odmowa i kara za milczenie.

Zdjęcia dokumentów od klientów - kara UODO dla Glovo

Głośny przykład tego, czym kończy się zbieranie obrazów dokumentów. 16 marca 2026 r. UODO ogłosił, że Prezes Urzędu nałożył na Restaurant Partner Polska, spółkę prowadzącą platformę Glovo, karę w wysokości 5 898 064 zł (komunikat UODO).

Spółka, gdy podejrzewała oszustwo, żądała od użytkowników aplikacji skanu albo zdjęcia dokumentu tożsamości. Na przykład wtedy, gdy kurier zgłosił próbę kradzieży zamówienia, fałszywe pieniądze albo niezgodność danych karty z danymi użytkownika. Powoływała się na prawnie uzasadniony interes i tłumaczyła, że robiła to wyjątkowo, po ocenie skutków dla ochrony danych, czyli formalnej analizie ryzyka, i po porównaniu swojego interesu z prawami klientów.

Urząd uznał, że przy tak szerokim zakresie danych z dokumentu tożsamości to nie wystarcza, a walka z oszustwami nie może łamać zasady minimalizacji. Przy wymiarze kary wziął pod uwagę czas trwania naruszenia, od lipca 2019 r., i ponad 3,4 mln aktywnych użytkowników w bazie. Spółka ma przestać zbierać skany i zdjęcia dowodów i paszportów, a zebrane usunąć w ciągu 30 dni od doręczenia decyzji.

Wcześniej, w sierpniu 2025 r., UODO ogłosił karę ponad 18,4 mln zł dla ING Banku Śląskiego za skanowanie dowodów bez sprawdzenia, czy wymaga tego ustawa o przeciwdziałaniu praniu pieniędzy, w skrócie AML (od angielskiego anti-money laundering). Bank skanował dokumenty nawet przy reklamacji dotyczącej bankomatu. W wariancie ostrożnym wniosek jest prosty: skoro nawet bank z ustawowym uprawnieniem musi uzasadnić każdy skan, firmie, która ma tylko podpis klienta pod zgodą, trudniej będzie obronić kopię.

Najczęstsze pytania o ksero dowodu osobistego

Pamiętaj, w wariancie, który przyjmujemy: domyślnie wgląd, kopia tylko z przepisu, a klauzula zgody w umowie przepisu nie zastąpi. Tak samo ostrożnie podchodzimy do wizytówek zbieranych na targach, o czym piszę we wpisie Zgoda na przesyłanie informacji handlowej: ostrożnie z wizytówkami. Jeśli chcesz, żebyśmy przejrzeli Twoje umowy, regulamin i formularze pod kątem takich zapisów, zobacz nasze Zgody i klauzule informacyjne. Napisz albo zadzwoń, sprawdzimy, czego w nich naprawdę potrzebujesz.