Procedury KYC: czy firmy mogą żądać od konsumenta kopii dokumentu tożsamości?

• Procedury „Poznaj swojego klienta” - KYC
• Co to jest KYC?
• Jakie dane osobowe zbierają przedsiębiorcy?
• Różne wymagania KYC w poszczególnych państwach
• Czy firmy mogą żądać kopii dokumentu tożsamości?
• Prawa konsumentów - RODO
• Czym jest Europejski Portfel Tożsamości Cyfrowej?
• KYC a bezpieczeństwo i prawa konsumentów

Procedury „Poznaj swojego klienta” - KYC

Zakupy online, bankowość i usługi cyfrowe stały się nieodłączną częścią codziennego życia, ale wiążą się z nimi ryzyka, takie jak kradzież tożsamości czy oszustwa płatnicze. Aby przeciwdziałać tym zagrożeniom, wiele firm wdraża procedury „Poznaj swojego klienta” (KYC). Często stosowane techniki to uwierzytelnianie dwuetapowe, procedury eID oraz podpisy cyfrowe. Choć te weryfikacje mogą pomóc chronić zarówno konsumentów, jak i firmy, rodzą również pytania o ochronę danych i prawa konsumentów. Co konsumenci powinni wiedzieć o KYC i swoich prawach na mocy unijnych przepisów o ochronie danych?

Co to jest KYC?

KYC (ang. Know Your Customer) to proces weryfikacji tożsamości konsumenta przed dokonaniem transakcji online. Jest to powszechne w sektorze bankowym i finansowym, ale coraz częściej stosowane przez firmy e-commerce oraz dostawców usług telekomunikacyjnych. Celem jest ocena, czy konsument jest „dobrym” klientem oraz zapobieganie oszustwom, praniu pieniędzy i innym nielegalnym działaniom.

Oprócz wykrywania oszustw, firmy stosują KYC także w celach marketingowych i segmentacji klientów. Na podstawie ich zachowań zakupowych niektórzy klienci mogą otrzymywać spersonalizowane oferty, podczas gdy inni mogą mieć zablokowany dostęp do niektórych metod płatności lub funkcjonalności. Konsumenci zgłaszali przypadki do ECC-Net, gdzie powtarzające się reklamacje lub zwroty prowadziły do zablokowania kont, często bez wyjaśnienia.

Jakie dane osobowe zbierają przedsiębiorcy?

Dane osobowe, które zazwyczaj zbierają przedsiębiorcy:

• Imię i nazwisko oraz adres pocztowy
• Adres e-mail i numer telefonu
• Adres IP i typ urządzenia (PC, smartfon, system operacyjny)
• Dane karty płatniczej lub numer konta bankowego

Różne wymagania KYC w poszczególnych państwach

Zasady weryfikacji tożsamości różnią się w ramach UE:

• Polska: w większości wypadków przedsiębiorca w Polce może poprosić o okazanie oryginału dowodu, ale może zatrzymać jego kopię tylko za zgodą klienta.
• Niemcy: konsumenci mogą zostać poproszeni o dowod tożsamości, ale muszą zostać poinformowani, że mogą ukryć nieistotne informacje (np. numer seryjny). Osoby inne niż właściciel dowodu tożsamości nie mogą przekazywać kopii osobom trzecim.
• Francja: Przedsiębiorcy mogą poprosić o dowód tożsamości przy płatnościach kartą, ale konsumenci mogą odmówić.
• Czechy: Przepisy dotyczące przeciwdziałaniu praniu pieniędzy pozwalają na kopiowanie dokumentów tożsamości bez zgody konsumenta.
• Bułgaria: Zasadniczo przedsiębiorcy nie mogą żądać kopii dokumentów tożsamości, z wyjątkiem niektórych branż, takich jak bankowość czy hazard.

Jeżeli konsumenci muszą dostarczyć kopię dokumentu tożsamości, mogą skorzystać z bezpłatnych narzędzi do znakowania wodnego, aby nałożyć spersonalizowany tekst. Zaznaczenie kopii uwagą wskazującą cel (np. „Ta kopia jest tylko do weryfikacji mojego zamówienia nr… ze sprzedawcą…”) lub datą, aby dodać okres ważności, pomaga zapobiec nieautoryzowanemu użyciu danych osobowych.

Czy firmy mogą żądać kopii dokumentu tożsamości?

Tak, ale Europejskie Centrum Konsumentów w Polsce dodatkowo zaleca:

• Zachowaj ostrożność w przypadku próśb o dowody tożsamości. Nie wszystkie firmy mają prawo żądać kopii dokumentów tożsamości.
• Zapytaj, dlaczego Twoje dane są potrzebne.
• Sprawdź swoje prawa na mocy Ogólnego Rozporządzenia o Ochronie Danych (RODO).
• Bądź świadomy automatycznego scoringu klientów.

Prawa konsumentów - RODO

Na mocy Rozporządzenia o Ochronie Danych Osobowych (RODO) firmy muszą zapewnić, że zbieranie i przetwarzanie danych osobowych jest niezbędne, proporcjonalne i przejrzyste. Konsumenci mogą żądać dostępu, poprawienia lub usunięcia swoich danych.

W styczniu 2025 r. niderlandzki organ nadzorczy nałożył karę w wysokości 4,75 miliona euro na znany portal streamingowy za brak poinformowania klientów o tym, jak ich dane są wykorzystywane, udostępniane, przechowywane i chronione, zarówno w jego oświadczeniu o prywatności, jak i w odpowiedzi na bezpośrednie zapytania. W Polsce były ukarane takie firmy jak Vinted czy Santander Bank Polska S.A.

Czym jest Europejski Portfel Tożsamości Cyfrowej?

Europejski Portfel Tożsamości Cyfrowej, inicjatywa prowadzona przez Komisję Europejską, ma na celu zapewnienie obywatelom UE bezpiecznego i interoperacyjnego systemu identyfikacji cyfrowej w całej UE. Konsumenci mogą potwierdzać swoją tożsamość online i legalnie podpisywać umowy za pomocą portfela.

W związku z tym, że portfel spowoduje, że transakcje online będą w przyszłości wygodniejsze, eliminując potrzebę przechowywania danych w wielu firmach, konsumenci oczekują również zachowania pełnej kontroli nad swoimi danymi osobowymi i prawa do kwestionowania decyzji opartych na zautomatyzowanych ocenach. Jednocześnie muszą rozważyć, jakie informacje udostępniają, w jakim celu i komu. Nieodpowiednie zabezpieczenia mogą narazić ich na kradzież tożsamości i nieuprawnione wykorzystanie ich danych.

KYC a bezpieczeństwo i prawa konsumentów

Chociaż KYC może pomóc w zapobieganiu oszustwom, firmy muszą zapewnić, że zbieranie danych jest sprawiedliwe, przejrzyste i zgodne z przepisami RODO. Konsumenci powinni być zawsze informowani o tym, jak ich dane są wykorzystywane i mieć możliwość kwestionowania niesprawiedliwego scoringu lub ograniczeń.