Czy firma dowożąca jedzenie do klientów może żądać przesłania kopii dokumentów tożsamości ze względu na konieczność przeciwdziałania oszustwom? Czy każdy usługodawca może skanować dowód osobisty użytkowników, bo zdarzają się fraudy? Czy jednak taki zakres przetwarzanych danych osobowych może być oceniony jako nadmiarowy, a więc narazić administratora na ryzyko odpowiedzialności prawnej? Odpowiedzi na te pytania postaramy się poszukać w decyzji, na podstawie której na Glovo została nałożona kara za naruszenie RODO (nieprawomocna decyzja PUODO nr DKN.5112.33.2022 z 19 lutego 2026 r.).
opis stanu faktycznego:
- sprawa zaczęła się od przeprowadzonej przez PUODO kontroli zgodności przetwarzania danych w aplikacji mobilnej i platformie Glovo;
- w toku kontroli okazało się, iż spółka Restaurant Partner Polska sp. z o.o (usługodawca świadczący usługi pod marką Glovo) — w celu dodatkowej weryfikacji tożsamości klienta, jeśli zachodzi podejrzenie oszustwa — wymaga od rejestrującego się użytkownika przesłania zdjęcia awersu karty płatniczej (z widocznymi kilkoma cyframi numeru i nazwiskiem) lub zdjęcia / skanu dowodu osobistego lub paszportu;
- w ramach procedury weryfikacji tożsamości administrator przetwarza takie dane osobowe jak m.in. imię i nazwisko, imiona rodziców, seria i numer dokumentu tożsamości, numer PESEL, wizerunek, miejsce urodzenia (a czasem nawet adres zamieszkania i wzrost);
art. 6 ust. 1 lit f RODO
Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
art. 5 ust. 1 RODO
Dane osobowe muszą być:
a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą („zgodność z prawem, rzetelność i przejrzystość”); […]
c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane („minimalizacja danych”); […]
- w toku postępowania spółka podkreśliła, iż przetwarzanie tego rodzaju danych wynikało z prawnie uzasadnionego interesu, tj. przeciwdziałania oszukańczym zamówieniom, zaś zasada minimalizacji danych jest przestrzegana, ponieważ prośba o dostarczenie dodatkowych danych jest zarezerwowana dla nielicznych i wyjątkowych przypadków, wyraźnie określonych w procedurze antyfraudowej;
- zarazem z przeprowadzonej oceny skutków dla ochrony danych i testu równowagi wyszło, że uzyskanie skanu dokumentu tożsamości lub karty płatniczej jest jedynym skutecznym środkiem zabezpieczającym przed oszustwem finansowym;
decyzja PUODO:
- biorąc pod uwagę taki stan rzeczy PUODO przypomniał, iż zgodnie z rozporządzeniem o ochronie danych osobowych „dane osobowe powinny być przetwarzane tylko w przypadkach gdy celu przetwarzania nie można w rozsądny sposób osiągnąć innymi sposobami” (motyw 39 RODO); stąd też decydując się na przetwarzanie danych administrator musi ograniczyć ich zakres do niezbędnego minimum (muszą być one adekwatne do celu i nie mogą być nadmierne), a przetwarzanie musi mieścić się w jednej z przesłanek legalizujących czynność;
- w ocenie organu samo gromadzenie skanów / zdjęć dokumentów tożsamości w celu przeciwdziałania fraudom, jak i tak szeroki zakres danych nie znajduje podstawy w przepisach RODO i narusza zasadę minimalizacji danych;
- dla przetwarzania na podstawie przesłanki uzasadnionego interesu nie jest wystarczające wykazanie samego interesu administratora lub osoby trzeciej, należy wszakże wyważyć interesy i podstawowe prawa i wolności osób, których dane są przetwarzane;
- nie można przecież nie dostrzegać, iż prawo do kopiowania dokumentów w celu identyfikacji i weryfikacji tożsamości klienta mieści się w zakresie czynności wynikających z przepisów o przeciwdziałaniu praniu brudnych pieniędzy nie przysługuje internetowym platformom sprzedażowym i usługodawcom takim jak Glovo;
art. 34 ust. 4 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu
Instytucje obowiązane na potrzeby stosowania środków bezpieczeństwa finansowego mogą przetwarzać informacje zawarte w dokumentach tożsamości klienta i osoby upoważnionej do działania w jego imieniu oraz sporządzać ich kopie.
- stąd też podmiot taki jak Glovo nie może powołać się, choćby posiłkowo, na rozwiązania wynikające z regulacji AML;
- podstawy przetwarzania tak szerokiego zakresu danych, w tym żądania przesłania skanów dowodu osobistego lub paszportu nie sposób znaleźć także w ustawie o świadczeniu usług drogą elektroniczną, która wprawdzie pozwala na przetwarzanie innych danych, jeśli są niezbędne ze względu na właściwość świadczonej usługi lub sposób jej rozliczenia (art. 18 ust. 2 uośude) — ale możliwość żądania skanów dokumentów tożsamości użytkowników zamawiających jadło na odległość w tym zakresie się nie mieści;
- w ocenie PUODO szeroki zakres danych zawartych w dowodzie osobistym lub paszporcie sprawia, iż przetwarzać kopie dokumentów tożsamości mogą wyłącznie ustawowo upoważnione podmioty — zaś jadłodajnia taka jak Glovo do nich nie należy;
- niejako na marginesie urząd zwrócił uwagę, iż zgodnie z ustawą o dokumentach publicznych zakazane i karalne jest tworzenie repliki dokumentu publicznego, rozumiane także jako sporządzanie jego kopii wykonanej w celach urzędowych, służbowych lub zawodowych określonych w odrębnych przepisach — i chociaż całkowicie legalne jest skanowanie własnego dowodu osobistego (i przesyłanie go dalej), to przecież usługodawca powinien mieć na uwadze także kwestię ryzyka naruszenia bezpieczeństwa (choćby tego, że wyciek takich danych może skutkować kradzieżą tożsamości);
- (tutaj PUODO dorzucił, iż spółka nie wykazała, iżby użytkownicy wyrażali zgodę na przetwarzanie ich danych w postaci kopii dokumentów tożsamości, jak też nie udowodniła, iżby proces ten wynikał z realizacji zawartej umowy);
- sumarycznie oznacza to, że żądanie skanów dokumentów tożsamości prowadziło do nadmiarowego przetwarzania danych — a więc było sprzeczne z RODO; takiego naruszenia nie da się przy tym usprawiedliwić modelem biznesowym: dbając o potencjalną konwersję Glovo znacząco ułatwia proces rejestracji użytkownika w aplikacji, aby na późniejszym etapie wymagać dosłania skanu dowodu osobistego;
- nie ma też znaczenia, że motywem działania była chęć przeciwdziałania oszustwom — bo nawet jeśli konieczność zapobiegania fraudom jest uzasadnionym interesem prawnym, to nie oznacza, że można wszystko i jak się chce.
Biorąc pod uwagę tego rodzaju naruszenie RODO w wydanej decyzji na Glovo została nałożona kara pieniężna w kwocie 5,89 mln złotych, a ponadto nakazano firmie usunięcie zdjęć / skanów dowodów osobistych i paszportów.