波兰身份盗用：数字身份保护

身份盗用是指非法使用他人的身份识别信息–例如 PESEL 号码、身份证件信息、网上银行凭证、电子邮箱账户或电子签名–冒充该人身份或获取非法利益。在波兰，数字身份犯罪可能导致经济损失，行为人可能承担刑事责任，企业运营可能受到干扰，受害者也可能面临严重的声誉损害。

个人数据盗用和身份欺诈正日益将传统手段与网络犯罪相结合。犯罪分子可能利用钓鱼邮件、虚假网店、数据泄露、诈骗电话、恶意软件或被攻陷的员工账户。被盗身份可被用于申请贷款、开设账户、签署合同、提交虚假发票、办理移动通信套餐，或以他人名义实施诈骗。

波兰刑法中的身份盗用

波兰法律并不将每-种个人数据滥用行为视为单-、独立的犯罪。法律定性取决于具体行为、主观意图、损害后果及所使用的手段。其中的核心规定是《波兰刑法典》第 190a 条第 2 款。该条将以下行为规定为犯罪：使用他人的肖像、其他个人数据或其他身份识别信息冒充该人，且对该人造成财产损害或人身损害。[1]

该犯罪行为可处六个月至八年有期徒刑。如受害人因持续骚扰或被冒充身份而自杀，根据《刑法典》第 190a 条第 3 款，法律后果将显著加重。[1]

数字身份犯罪还可能符合其他犯罪的构成要件，包括：

• 《刑法典》第 286 条规定的诈骗罪，即通过欺骗手段获取财产利益；
• 《刑法典》第 287 条规定的计算机诈骗罪，包括非法干预自动化数据处理以获取财产利益或造成损失；
• 《刑法典》第 267 条规定的非法获取信息罪，例如未经授权访问电子邮箱账户、云存储空间或 IT 系统；
• 《刑法典》第 268a 条和第 269a 条规定的破坏或干扰计算机数据的犯罪；
• 《刑法典》第 270 条规定的使用伪造或变造文件的犯罪，例如涉及伪造身份证件或合同的情形。[1]

对于企业而言，区分不同罪名十分重要。通过被攻陷的员工邮箱发送的欺诈性发票，可能涉及未经授权访问、计算机诈骗、诈骗，以及视具体事实而定的文件相关犯罪。因此，适当的法律评估应从证据、技术调查结果以及信息和资金的实际流向开始。

波兰 PESEL 号码保护与身份欺诈防范

PESEL 号码是波兰个人身份验证的关键要素。PESEL 号码泄露并不自动意味着犯罪已经发生，但会增加身份欺诈风险，尤其是在犯罪分子同时掌握地址、身份证件号码、电话号码或身份证件扫描件等其他信息时。

自 2024 年 6 月 1 日起，个人可以在官方登记系统中对其 PESEL 号码进行保留登记。包括银行、信贷机构、支付机构、电信运营商和公证人在内的特定机构，在进行指定交易前必须核查 PESEL 号码是否已被保留。[2] 如某机构在 PESEL 号码已被保留的情况下未履行必要核查义务，消费者可能受到保护，无需承担以其名义进行交易所产生的不利财务后果。

保留 PESEL 号码是-项重要的预防工具，但不能替代基本安全措施。它无法防止账户接管、网络钓鱼、社会工程攻击或企业电子邮箱账户被未经授权使用。在怀疑发生身份盗用时，仍须迅速采取应对措施。

企业应如何应对数字身份犯罪

数字身份安全事件应同时被视为法律事件和运营事件。延迟采取行动可能使犯罪分子转移付款、获取客户数据、冒充管理层，或制造虚假的合同义务。最初数小时往往是保存日志、追踪资金转账和限制进-步滥用的关键时期。

怀疑发生个人数据盗用后的即时措施

1. 保护受影响账户，重置密码，并撤销现有会话或访问令牌。
2. 保存证据，包括电子邮件、邮件头、服务器日志、屏幕截图、银行确认文件以及与交易对手的通信记录。
3. 如付款或账户访问可能受到影响，应立即通知银行或支付服务提供商。
4. 核查是否发生个人数据泄露，并评估《通用数据保护条例》（GDPR）规定的通知义务。
5. 考虑向警方或检察院提交刑事报案，并附上整理完备的证据材料。
6. 如为防止进-步诈骗及保障业务连续性所必需，应通知受影响的客户、供应商或员工。

根据 GDPR 第 33 条，除非该数据泄露不太可能对自然人的权利和自由造成风险，否则数据控制者必须在知悉个人数据泄露后毫不拖延地通知主管监管机构；在可行情况下，应于 72 小时内完成通知。[3] 如该泄露可能对个人造成高风险，GDPR 第 34 条还可能要求通知受影响的个人。[3] 在波兰，主管监管机构为个人数据保护局局长。

将数字身份保护纳入合规管理

有效的身份保护应成为企业内部合规、网络安全及欺诈预防程序的-部分。这对于处理员工数据、客户档案、付款指令、医疗信息、财务文件或受监管系统访问权限的企业尤其重要。

实用的保护措施包括多因素身份验证、变更银行账户信息时的核验程序、付款审批职责分离、定期访问权限审查、网络钓鱼培训及事件响应程序。管理层还应确保员工了解如何上报疑似由董事、高管、客户或外部顾问发送的可疑信息。

GDPR 第 32 条要求数据控制者和处理者在考虑风险、现有技术水平、实施成本及处理性质的基础上，采取适当的技术和组织措施。[3] 并不存在适用于所有情况的通用清单。适当的保护标准取决于数据处理规模、数据敏感性以及数据泄露可能造成的可预见后果。

KKZ 律师事务所为企业和个人提供涉及网络犯罪、欺诈调查、刑事报案、数据泄露应对和声誉保护等事项的法律支持。有关相关领域的更多信息，请参阅本所关于网络犯罪、诈骗及波兰网络犯罪刑事追诉的资料。

本文仅供参考，不构成法律意见。正确的刑事及监管评估取决于证据、滥用行为的范围及造成的损害。

如刑事案件涉及身份盗用或其他数字身份犯罪，可考虑咨询律师，获取个案评估并讨论可能采取的措施。尽早进行法律分析有助于固定证据并识别相关程序性措施。

常见问题 – 波兰身份盗用

身份盗用在波兰是否构成刑事犯罪？

可能构成。若有人使用他人的个人数据、肖像或身份识别信息冒充该人，且由此造成财产损害或人身损害，则适用《刑法典》第 190a 条第 2 款。如案件还涉及诈骗、非法访问系统或伪造文件，则可能适用其他法律规定。

有人未经许可使用 PESEL 号码时应怎么办？

受影响者如尚未保留其 PESEL 号码，应立即办理保留登记，联系相关金融机构，保存证据，并考虑向警方或检察院报案。具体应对方式应取决于是否已经发生实际滥用。

身份证件扫描件泄露是否必然意味着发生身份欺诈？

不-定。泄露或未经授权披露会造成风险，但其本身并不能证明已实施诈骗。尽管如此，仍应加强监控、采取账户安全措施，并评估可能产生的个人数据泄露义务。

企业在遭受网络攻击后，是否可能因个人数据被盗承担责任？

如果企业的安全措施不足，或未能妥善处理个人数据泄露，可能面临 GDPR 规定的义务及潜在行政后果。责任认定取决于具体事实、安全控制措施以及对 GDPR 第 32 至 34 条的遵守情况。

企业是否应向执法机关报告身份盗用？

如有证据显示存在诈骗、未经授权访问系统、虚假付款指令、伪造文件或其他犯罪行为，通常应当报案。-份准备充分的报案材料应包括已保存的数字证据，以及对财务和运营影响的清晰说明。

保留 PESEL 号码是否可以防止所有形式的身份欺诈？

不能。PESEL 号码保留能够限制特定机构办理某些交易所产生的后果，但不能阻止网络钓鱼、账户接管、电子邮件冒充或凭证滥用。技术和组织层面的安全措施仍然必不可少。

参考文献

• [1] 1997 年 6 月 6 日《刑法典》，统-文本：《法律公报》2025 年第 383 项，尤其是第 190a、267、268a、269a、270、286 和 287 条。
• [2] 2023 年 7 月 7 日《关于修订若干法律以限制身份盗用部分后果的法案》，《法律公报》2023 年第 1394 项。
• [3] 欧洲议会和欧盟理事会 2016 年 4 月 27 日颁布的第（EU）2016/679 号条例–《通用数据保护条例》，尤其是第 32、33 和 34 条。
• [4] 个人数据保护局局长关于个人数据泄露通知的指南：uodo.gov.pl。