Sprzedawanie na OLX coraz bardziej ryzykowne? Wśród wymagań… skanowanie dowodu osobistego. I to jakie! Zaczynam się bać

Pan Paweł sprzedał coś na OLX. Kupujący zapłacił, ale pieniądze utknęły. Operator płatności zamroził przelew dla pana Pawła, bo… nie podobał mu się skan dowodu osobistego. Był… za mało dokładny. Czy konsumenci w walce o ochronę swoich danych osobowych właśnie stracili kolejną tarczę? A może nigdy jej nie mieli? Czy skanowanie dowodu na OLX nie jest zbyt niebezpieczne? Co na to Urząd Ochrony Danych Osobowych? Sprawdzam!

Serwisy z ogłoszeniami lokalnymi mają coraz więcej użytkowników. I chcą gonić gigantów takich jak Allegro czy Amazon. Oferują nie tylko „tablicę ogłoszeń”, ale też płatności online i wysyłkę. To oznacza, że platformy ogłoszeniowe muszą też umieć zidentyfikować kupujących i sprzedających. Ich użytkownicy powoli przyzwyczajają się, że muszą w tym celu wysłać skan dowodu.

Ciekawe? Po przeczytaniu wróć tutaj, kliknij i odkryj sprawdzone patenty Samcika na ochronę przed inflacją

Z jednej strony wiadomo: muszą jakoś ustalić nasze dane, by mieć pewność, że wysyłają pieniądze do właściwej osoby. Ale z drugiej strony: wysyłanie skanu dowodu osobistego to zawsze jest ryzyko. Gdyby taki skan wpadł w niepowołane ręce – może posłużyć do wyłudzenia pieniędzy na nasze konto. Pan Paweł to wie, dlatego – wysyłając do OLX skan dowodu, zabezpieczył go „znakiem wodnym”. I został bez pieniędzy. Co tu się dzieje? I co na Urząd Ochrony Danych Osobowych?

Skanowanie dowodu na OLX. „Skanowałem i jestem w bagnie”

Dziś, by ograbić kogoś z telefonu czy pozbawić zawartości portfela, nie trzeba ruszać się z krzesła. Wystarczy znaleźć „jelenia”, który skusi się na tani smartfon (albo markowe dżinsy) w jednym z serwisów z ogłoszeniami. Metod jest multum, a najprostsze są najbardziej skuteczne – serwisy ostrzegają, że nieuczciwi sprzedający wysyłają klientom dodatkowe linki do fałszywej płatności. Nieświadomy niczego człowiek robi przelew, a towaru nigdy nie zobaczy.

Żeby ograniczyć ryzyko, że pieniądze trafią do niewłaściwego adresata, serwisy proszą swoich użytkowników o weryfikację tożsamości. Służy do tego skan dowodu osobistego. Skanowanie dowodu jest też stosowane na OLX. Nasz czytelnik – pan Paweł – tego nie kwestionował i skan wysłał. Ale to i tak było za mało. O co poszło?

„OLX trzyma moje 1050 zł pomimo tego, że wysłałem im czytelny skan dowodu, ale – ze względów bezpieczeństwa – dodałem znak wodny (miał 20% pokrycia skanu). Odrzucili moją weryfikację i straszą, że zwrócą moje pieniądze do kupującego, który przedmiot odebrał”

Zdaniem pana Pawła jest to o tyle dziwne, że na OLX nie jest „świeżakiem”, robił wcześniej transakcje za kwoty czterocyfrowe i nigdy nikt – a już zwłaszcza OLX – się nie przyczepił. Początkowo nasz czytelnik sądził, że to kupujący jest oszustem, bo w związku z transakcją dostał dziwny, jak mu się wydawało, mail.

„Otrzymałem dzisiaj wiadomość o treści: „aby zapłata za zamówienie z przesyłką mogła trafić na Twoje konto, potrzebujemy zweryfikować, czy Twoje dane są właściwe”. Myślę, że jest to próba oszustwa, bo sprzedawałem już kilka rzeczy przez OLX i zawsze wszystko działało, jak należy”

– mówi pan Paweł.

Czytaj też: Vinted kontra UOKiK. Czy skanowanie dowodu jest legalne? Jak się „postawić”? A jeśli się nie da, to jak wysłać „bezpieczne” zdjęcie?

Czytaj też: A jeśli złodziej skopiuje dane z dowodu osobistego?

Nie przyszła góra do Mahometa, Mahomet przyszedł do góry

Ale pracownicy infolinii wyjaśnili mu, że wszystko się zgadza. Jego transakcja została losowo (?) albo z innych przyczyn (ale jakich – nie wiadomo) wytypowana do dodatkowej weryfikacji przez operatora płatności i „jest ona konieczna”. Jest to podyktowane względami bezpieczeństwa. Skanowanie dowodu na OLX po prostu zostało w tym przypadku „wylosowane”.

Pan Paweł początkowo, jak większość osób w takim przypadku, zaczął się powoływać na RODO. Nie zrobiło to na pracownikach OLX najmniejszego wrażenia. Serwis odpisał, że nie zajmuje się weryfikacją danych, jest tylko pośrednikiem i nie przechowuje danych ani chwili dłużej, niż jest to konieczne. I że dane są weryfikowane przez podmiot posiadający uprawnienia bankowe – w tym przypadku holenderską firmę Adyen, operatora płatności. Czytelnika to nie satysfakcjonuje i pisze do serwisu:

„W regulaminie OLX jest mowa o dodatkowej weryfikacji, ale nie ma wzmianki o przesyłaniu skanów dokumentów tożsamości, a tego typu żądania są już objęte rozporządzeniem RODO. Uważam, że tego typu weryfikacje powinny być przeprowadzane na etapie umieszczania ogłoszenia, a nie w momencie, kiedy moje pieniądze są u Państwa”

Co się stało potem? Nie przyszła góra do Mahometa, Mahomet przyszedł do góry. Pan Paweł dał za wygraną i przesłał zdjęcie dowodu zgodnie z wymogami. No, prawie. W każdym razie znów dostał informację, że weryfikacja nie przeszła pomyślnie i że dane na dowodzie i w rejestrze transakcji się różnią.

Nasz czytelnik wymienił kilka kolejnych maili, wyczyścił ciasteczka w przeglądarce, zmienił przeglądarkę i skanowanie dowodu na OLX powtórzył jeszcze kilka razy – ciągle nic. Powód? Kolejne zdjęcia wciąż zawierały znak wodny, tyle że coraz mniejszy. „Jeśli na dokumencie znajduje się znak wodny, to mogę Pana zapewnić, że weryfikacja nie przebiegnie poprawnie” – dowiedział się pan Paweł na OLX. Platforma informuje, że wprowadziła trzy poziomy weryfikacji, uzależnione od sumy środków otrzymanych przez sprzedającego za przedmioty:

Czytaj też: Dane z dowodów osobistych i smartfonów, dane osobowe, tożsamość – to dziś cel złodziei. Jak nie dać się okraść z „cyfrowego majątku”?

Czytaj też: Car-sharing i kradzież tożsamości. Pan Arek nie wiedział, o co chodzi w tym biznesie, dopóki nie dostał wezwania do zapłaty. Jak oni pilnują?

Skanowanie dowodu na OLX. Czy tak wolno? Zaczynam się bać

W każdym tego typu przypadku, który opisywaliśmy, portale sprzedażowe są tylko „pośrednikami” i na dobrą sprawę aż tak bardzo nie zależy im na weryfikacji tożsamości klientów. A przynajmniej nie tak bardzo jak operatorom płatności, przez których przepływają pieniądze, a więc podlegają pod surową ustawę o przeciwdziałaniu praniu brudnych pieniędzy.

To, do czego bym się przeczepił, to brak informacji, że takie skanowanie może być wymagane. Ale nie tylko. Od ponad 2 lat nie można skanować dowodów osobistych. W praktyce instytucje finansowe i tak to robią. Do tej pory myślałem, że wystarczy zachować kilka prostych reguł dotyczących skanowania, czyli np. dopisek „kopia”.

Ale gdy ktoś mówi, że nie przeprocesuje transakcji, gdy nie zeskanuję dowodu bez żadnych dopisków i zabezpieczenia, to zaczynam się bać. Praktycznie każda baza danych prędzej czy później wypływa i ryzyko, że taki „idealny” skan dowodu znajdzie się w niepowołanych rękach budzi we mnie niepokój.

Co na to operator płatności? Zapytałem firmę Ayden, dlaczego zdjęcia ze znakiem wodnym nie są akceptowane. I jak powinno wyglądać poprawne zdjęcie. Dostaliśmy link do strony, która informuje, jak powinien wyglądać prawidłowo zeskanowany dowód. I jest tam wyraźnie napisane, że znak wodny dyskwalifikuje zdjęcie dokumentu tożsamości i nie będzie akceptowany.

Jest to o tyle dziwne, że inny operator płatności (losowo padło na Tpay), nie ma problemu, by akceptować zarówno znaki wodne, przekreślenia czy adnotacje na skanach. Podobną politykę stosują telekomy czy banki, które mówią – musimy skanować dowód, ale proszę zrobić dopisek, że zdjęcia jest na potrzeby danej firmy.

„Ponieważ Adyen jest dostawcą usług płatniczych, jest prawnie zobowiązany do przetwarzania informacji Know Your Customer „KYC” w celu weryfikacji swoich klientów zgodnie z obowiązującym prawem i przepisami, takimi jak artykuł 3 holenderskiej ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (Wwft). Obejmuje to sprzedawców na platformach typu marketplace (tj. wszystkie podmioty, które sprzedają towary lub usługi)”

– brzmi odpowiedź biura prasowego.

UODO przyznaje: jest bałagan, a skanowanie dowodów jest powszechne

Pytanie brzmi: kto się myli – Ayden, czy Tpay? Czy istnieją ogólnoeuropejskie wytyczne dotyczące skanowania dokumentów tożsamości? A jeśli tak, to dlaczego nie są respektowane? O to, czy można wysyłać skany dowodu ze znakiem wodnym, przekreślone albo oznaczone w jakikolwiek inny sposób, zapytałem Urząd Ochrony Danych Osobowych. Odpowiedź jest zaskakująca.

„Przepisy o ochronie danych osobowych nie odnoszą się do tak szczegółowych zagadnień”

– mówi nam Adam Sanocki, rzecznik prasowy UODO. I dodaje, że urząd ma świadomość panującego bałaganu i że dostaje mnóstwo skarg w związku z żądaniem skanowania dokumentów.

„Problem nadmiernego kopiowania dokumentów potwierdzających tożsamość jest nadal powszechny. Mając na uwadze zapewnienie równowagi pomiędzy koniecznością zapobiegania tak poważnemu zjawisku, jakim jest pranie pieniędzy i finansowanie terroryzmu, a uwzględnieniem przepisów i zasad ochrony danych osobowych, organ nadzorczy rekomenduje opracowanie wytycznych w sprawie kopiowania dokumentów tożsamości”

Ale wytycznych nie ma, skończyło się na wymienia serii pism. W teorii żądanie skanowania ma być ostatecznością – to możliwość, a nie obowiązek instytucji zobowiązanych. W praktyce kwestionowanie takiego żądania jest bardzo trudne, instytucje mogą powiedzieć, że boją się, że pierzemy brudne pieniądze, a kara spadnie na nich.

Co może zrobić zwykły człowiek, który boi się wycieku danych i tego, że kiedyś będzie musiał tłumaczyć się, że ktoś wziął pożyczkę na jego skradziony dowód? UODO radzi, by dane przekazywać osobiście, nie przez pośredników (czyli z pominięciem serwisów zakupowych), i o ile to możliwe, korzystać z bezpiecznych narzędzi takich jak elektroniczne formularze przy pomocy, których dane są od razu szyfrowane. Albo hasłować pliki ze zdjęciami, a hasła dosyłać oddzielnie.

To brzmi jak utopia. W przypadku gdy przesyłka jest zautomatyzowana, to nierealne. Można też wybierać takie firmy, które akceptują dowody osobiste ze znakami wodnymi, ale to przecież nie jest rozwiązanie systemowe. Minimum przyzwoitości, którego należy oczekiwać od platform takich jak OLX, to informowanie klientów o tym, że takie a takie żądanie dotyczące skanowania może nastąpić. Informowanie ich przed transakcją, a nie po niej, gdy już pieniądze są de facto zablokowane.

źródło zdjęcia: PixaBay