Zaktualizowano: 28.09.2026.
W skrócie - co do zasady firma nie może żądać skanu ani kserokopii dowodu osobistego. Może poprosić o okazanie dokumentu i spisać dane, których rzeczywiście potrzebuje. Prawo do kopiowania dokumentów tożsamości mają tylko podmioty wskazane w ustawach i tylko w określonych sytuacjach, na przykład instytucje obowiązane w ramach przeciwdziałania praniu pieniędzy albo pracodawca zatrudniający cudzoziemca. Za skanowanie dowodów bez podstawy prawnej Prezes UODO nałożył w 2025 r. karę 18 416 400 zł na bank, a w 2026 r. 5 898 064 zł na operatora aplikacji do zamawiania jedzenia (obie decyzje są nieprawomocne).
Wolisz obejrzeć niż czytać? Cały temat, łącznie z decyzjami UODO wobec banku i aplikacji, omawia odcinek „Czy firma może żądać skanu dowodu osobistego?" na kanale YouTube ENSIS Grupa.
Z tego artykułu dowiesz się:
- czy firma może żądać skanu albo kserokopii Twojego dowodu osobistego,
- czym weryfikacja przez okazanie różni się od kopiowania dokumentu,
- kto ma ustawowe prawo do kopiowania dokumentów tożsamości,
- za co Prezes UODO ukarał bank i operatora aplikacji do zamawiania jedzenia,
- co zrobić, gdy ktoś żąda skanu Twojego dowodu albo już go ma,
- • dlaczego kserokopia dowodu jest słabym dowodem w sporze.
Weryfikacja danych przez okazanie, a skanowanie lub kserowanie dokumentów potwierdzających tożsamość.
O ile możemy weryfikować podane przez pracownika dane osobowe w oparciu o okazany przez niego dokument potwierdzający tożsamość, o tyle nie ma podstaw w przepisach do kserowania lub skanowania takich dokumentów. Przede wszystkim należy mieć świadomość, że przez dokument potwierdzający tożsamość rozumie się dowód osobisty lub paszport, nie jest nim np. prawo jazdy. Wyjątki od tej zasady są nieliczne i każdy wynika z konkretnej ustawy, o czym w szczegółach poniżej.
Jakie dane osobowe znajdują się w dowodzie osobistym, których pracodawca nie może przetwarzać.
Kserowanie lub skanowanie dokumentów potwierdzających tożsamość pracowników będzie każdorazowo wiązało się z wejściem w posiadanie przez pracodawcę nadmiarowych danych osobowych względem tego co może być przez niego przetwarzane. Art. 22(1) § 3 pkt. 2 Kodeksu pracy jasno określa, że pracodawca może przetwarzać numer PESEL, a w przypadku jego braku serię i numer dokumentu potwierdzającego tożsamość. Kopiując dokumenty potwierdzające tożsamość wejdziemy w posiadanie zarówno numeru PESEL jak i serii i numeru dokumentu, a także innych danych jak adres zameldowania (w przypadku starszych dowodów osobistych) czy fotografii pracownika. W związku z tym, że są to dane nadmiarowe, w stosunku do tych, których może żądać pracodawca, do ich przetwarzania koniecznym byłaby dodatkowa przesłanka w postaci, chociażby zgody na przetwarzanie danych osobowych. Ponadto trzeba pamiętać, że poza sama przesłanką do przetwarzania (np. zgodą) w związku z zasadą minimalizacji, która bezpośrednio wynika z RODO, pracodawca musiałby mieć uzasadnienie, że przetwarzanie tego typu dodatkowych danych osobowych, w jego przypadku jest konieczne i uzasadnione.
Czy istnieją wyjątki od tej zasady i kogo one dotyczą.
Tak, ale jest ich niewiele i każdy wynika z konkretnego przepisu ustawy. Najczęściej spotkasz trzy sytuacje.
Instytucje obowiązane w rozumieniu ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu.
Art. 34 ust. 4 tej ustawy pozwala im sporządzać kopie dokumentów tożsamości klienta, ale wyłącznie na potrzeby stosowania środków bezpieczeństwa finansowego. Instytucjami obowiązanymi są nie tylko banki. Katalog z art. 2 ust. 1 obejmuje między innymi biura rachunkowe, doradców podatkowych, pośredników w obrocie nieruchomościami, instytucje pożyczkowe, kantory i przedsiębiorców przyjmujących płatności gotówką o wartości równej lub wyższej niż 10 000 euro.
Pracodawca zatrudniający cudzoziemca.
Od 1 czerwca 2025 r. art. 4 ustawy o warunkach dopuszczalności powierzania pracy cudzoziemcom na terytorium Rzeczypospolitej Polskiej nakazuje pozyskać kopie dokumentów zawierających dane cudzoziemca i przechowywać kopie jego dokumentów uprawniających do pobytu. Szczegóły opisujemy we wpisie o dokumentach, jakich pracodawca może żądać od pracownika.
Banki a Prawo bankowe.
Art. 112b Prawa bankowego pozwala bankom przetwarzać informacje zawarte w dokumentach tożsamości. Prezes UODO wskazuje jednak, że nie jest to równoznaczne z uprawnieniem do wykonywania kopii tych dokumentów.
Poza takimi przepisami uprawnienia do kopiowania brak. Dotyczy to między innymi hoteli, klubów fitness, wypożyczalni, wynajmujących mieszkania, salonów samochodowych przy jeździe próbnej i firm kurierskich. W sprawie operatora Glovo Prezes UODO podkreślił, że kopiowanie lub utrwalanie dokumentów tożsamości powinno być stosowane wyłącznie w wyjątkowych przypadkach przez konkretne i upoważnione ustawowo podmioty.
Kary UODO za skanowanie dowodów osobistych.
W ciągu siedmiu miesięcy Prezes Urzędu Ochrony Danych Osobowych wydał dwie decyzje, które dobrze pokazują, gdzie przebiega granica.
26 sierpnia 2025 r. Prezes UODO nałożył na ING Bank Śląski karę 18 416 400 zł (sygn. DKN.5112.6.2020). Bank skanował dokumenty tożsamości klientów i osób ubiegających się o usługi bez uprzedniej analizy celowości i oceny ryzyka, także w sytuacjach niezwiązanych z przeciwdziałaniem praniu pieniędzy, na przykład przy obsłudze reklamacji dotyczącej bankomatu. Bank był instytucją obowiązaną, a mimo to wyszedł poza zakres swojego uprawnienia.
16 marca 2026 r. Prezes UODO nałożył na Restaurant Partner Polska, operatora platformy Glovo, karę 5 898 064 zł (sygn. DKN.5112.33.2022). Spółka pozyskiwała skany i zdjęcia dowodów tożsamości użytkowników aplikacji przy podejrzeniu oszustwa, na przykład po zgłoszeniu przez kuriera próby kradzieży zamówienia. Organ uznał, że przeciwdziałanie oszustwom nie może odbywać się kosztem naruszenia zasady minimalizacji danych, i nakazał usunąć zebrane dane w ciągu 30 dni.
Obie decyzje są nieprawomocne. Wspólny wniosek jest jednak czytelny: ani dobry cel (walka z nadużyciami), ani status instytucji regulowanej nie zastępują konkretnej podstawy prawnej do kopiowania dokumentu.
Co zrobić, gdy ktoś żąda skanu Twojego dowodu albo już go ma?
Zapytaj o podstawę prawną - firma, która zbiera dane, ma obowiązek poinformować o podstawie prawnej przetwarzania oraz o tym, czy podanie danych jest wymogiem ustawowym lub umownym (art. 13 ust. 1 lit. c i ust. 2 lit. e RODO). Jeśli kopia ma wynikać z ustawy, powinno dać się wskazać nazwę aktu i numer artykułu.
Zaproponuj okazanie dokumentu albo podanie wyłącznie tych danych, które są faktycznie potrzebne do zawarcia umowy.
Jeśli skan został już przekazany, możesz zażądać informacji, jakie dane są przetwarzane, w jakim celu i jak długo (art. 15 RODO), a gdy nie ma podstawy do ich przechowywania, żądać ich usunięcia (art. 17 RODO). Przysługuje Ci też skarga do Prezesa UODO.
Jeśli obawiasz się, że skan trafił w niepowołane ręce, rozważ zastrzeżenie numeru PESEL, na przykład w aplikacji mObywatel.
Jakie są praktyczne wady kserokopii dowodu osobistego jako dowodu w razie sporu.
Abstrahując od powyższego, warto też mieć świadomość, że jakakolwiek kserokopia czy też skan dowodu potwierdzającego tożsamość jest dość słabym dowodem w praktyce. Bardzo trudno wykazać np. w razie sporu sądowego, że dokonaliśmy kserokopii oryginalnego dokumentu potwierdzającego tożsamość. Może się też okazać, że kserokopia dowodu osobistego może nie odzwierciedlać aktualnych danych. Po dokonaniu kserokopii osoba, której dane dotyczą, mogła bowiem wyrobić sobie nowy dowód (ponieważ poprzedni zaginął) lub wymienić go w związku z utratą jego ważności.
Jak ENSIS może pomóc Twojej firmie.
Specjalizujemy się w ochronie danych osobowych od 2012 r. Mamy za sobą ponad 3000 wdrożeń RODO, pełnimy funkcję inspektora ochrony danych w ponad 100 podmiotach i żaden z naszych klientów nie otrzymał dotychczas kary od UODO.
- Audyt i wdrożenie RODO: sprawdzamy, gdzie firma zbiera dane i dokumenty bez podstawy prawnej, w tym kopie dowodów w aktach, skrzynkach mailowych i systemach.
- Outsourcing inspektora ochrony danych (IOD): przejmujemy funkcję IOD i pilnujemy na bieżąco, żeby takie praktyki nie wracały.
- Szkolenia RODO dla kadr i obsługi klienta: bo kserokopie robi pierwsza linia, a nie zarząd.
Zapytaj o audyt RODO lub napisz na biuro@ensiskancelaria.com lub zadzwoń: +48 519 56 36 26.
FAQ - Pytania i Odpowiedzi
Co grozi za kserowanie dowodu osobistego?
Samo wykonanie kserokopii nie jest przestępstwem. Ustawa o dokumentach publicznych penalizuje wytwarzanie replik, czyli kopii o cechach autentyczności oryginału, a jej definicja wyłącza kserokopie i wydruki wykonywane do celów urzędowych, służbowych lub zawodowych. Odpowiedzialność pojawia się na gruncie RODO: przechowywanie kopii bez podstawy prawnej może skończyć się karą administracyjną, jak w sprawach ING Banku Śląskiego i operatora Glovo. Wykroczeniem jest natomiast zatrzymanie cudzego dowodu osobistego bez podstawy prawnej (art. 79 pkt 2 ustawy o dowodach osobistych), czyli na przykład żądanie pozostawienia dowodu „w zastaw".
Czy kserokopia dowodu osobistego jest dobrym dowodem?
Nie. Kserokopia lub skan dowodu osobistego to słaby dowód w ewentualnych sporach sądowych, ponieważ trudno jest udowodnić, że skopiowano oryginalny dokument. Ponadto, dokumenty te mogły stracić ważność lub zostać wymienione, co sprawia, że kopia nie odzwierciedla aktualnych danych.
Czy bank może zeskanować mój dowód osobisty?
Bank jako instytucja obowiązana może sporządzić kopię dokumentu tożsamości, ale tylko na potrzeby środków bezpieczeństwa finansowego z ustawy o przeciwdziałaniu praniu pieniędzy (art. 34 ust. 4), a nie przy każdej czynności. Kara 18 416 400 zł dla ING Banku Śląskiego dotyczyła właśnie skanowania wykraczającego poza ten zakres.
Czy ochrona przy wejściu lub bramie wjazdowej może zeskanować mój dowód?
Pracownik ochrony może legitymować osoby w celu ustalenia ich tożsamości i sprawdzać uprawnienia do przebywania na terenie obiektu (art. 36 ust. 1 pkt 1 ustawy o ochronie osób i mienia). Przepis nie mówi o kopiowaniu dokumentów. Do rejestru wejść zwykle wystarcza imię, nazwisko i godzina wejścia. Inaczej może być w obiektach objętych szczególnymi przepisami.
Czy mogę odmówić wysłania skanu dowodu?
Możesz zapytać o przepis, który uprawnia firmę do kopii i zaproponować okazanie dokumentu albo podanie wyłącznie potrzebnych danych. Jeśli firma nie wskaże podstawy prawnej, co do zasady nie powinna przechowywać kopii Twojego dowodu.
Co zrobić, jeśli skany dowodów wyciekły z firmy?
To naruszenie ochrony danych osobowych. Administrator ma 72 godziny od jego stwierdzenia na zgłoszenie do Prezesa UODO, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw lub wolności osób (art. 33 RODO). Przy wysokim ryzyku musi też zawiadomić osoby, których dane dotyczą (art. 34 RODO). Skan dowodu to niemal komplet danych wykorzystywanych przy kradzieży tożsamości, więc ocena ryzyka zwykle nie wypada łagodnie. W takiej sytuacji liczy się czas, dlatego warto od razu skorzystać z naszej pomocy przy obsłudze incydentów i kontroli UODO.
Jakub Szajdziński
Specjalizuję się w pomocy prawnej na rzecz przedsiębiorstw z sektora nowych technologii, a także obsłudze spółek prawa handlowego. Ochroną danych osobowych zajmuję się od 2012 r. Doradzałem Ministerstwu Rozwoju przy wdrażaniu RODO do polskiego porządku prawnego.
