Weryfikacja wieku a RODO bez kopii dowodu

Weryfikacja wieku a RODO wymaga ustalenia, jaką informację firma rzeczywiście musi poznać. W wielu usługach wystarczy odpowiedź „użytkownik ma co najmniej 18 lat”. Nie jest potrzebne imię, nazwisko, numer PESEL, adres ani pełna data urodzenia. Kopiowanie dowodu osobistego może więc prowadzić do zbierania nadmiernych danych i zwiększać skutki ewentualnego wycieku. Bezpieczniejszy proces powinien potwierdzać próg wieku, ograniczać retencję oraz oddzielać dostawcę potwierdzającego wiek od serwisu, do którego użytkownik chce uzyskać dostęp. W 2026 r. Komisja Europejska udostępniła gotowe technicznie rozwiązanie, które pozwala wykazać 18+ bez przekazywania pozostałych danych z dokumentu.

BPPZ może przeprowadzić audyt RODO procesu weryfikacji wieku. Analiza obejmuje podstawę prawną, zakres danych, dostawcę technologii, retencję, bezpieczeństwo, DPIA i informacje dla użytkownika.

Najważniejsze informacje

RODO nie nakazuje powszechnego sprawdzania wieku każdego użytkownika internetu.
Obowiązek może wynikać z przepisów sektorowych, rodzaju produktu, ryzyka usługi lub wymagań dotyczących ochrony małoletnich.
Firma powinna zbierać tylko dane potrzebne do potwierdzenia właściwego progu wieku.
Kopia dowodu osobistego zwykle ujawnia znacznie więcej informacji niż wynik „18+”.
Samo pole „potwierdzam, że mam 18 lat” ma niską skuteczność i nie zawsze będzie odpowiednie.
Analiza twarzy może wiązać się z wysokim ryzykiem, błędami i dyskryminacją.
Dostawca weryfikacji wieku wymaga oceny prawnej, technicznej i umownej.
W wielu wdrożeniach potrzebna będzie ocena skutków dla ochrony danych.

BPPZ – Biuro Porad Prawnych Zacharski

– Projektujesz proces 18+? Sprawdź go przed uruchomieniem

Zadzwoń Napisz wiadomość

Weryfikacja wieku nie zawsze oznacza ustalenie tożsamości

Wiek i tożsamość to dwie różne informacje.

Sklep może potrzebować potwierdzenia, że kupujący ukończył 18 lat. Nie zawsze musi wiedzieć, jaki jest dokładny dzień urodzenia tej osoby. Platforma z treściami dla dorosłych może wymagać wiarygodnego dowodu pełnoletności, ale nie musi otrzymywać numeru dokumentu ani adresu zamieszkania.

Dobrze zaprojektowany proces odpowiada więc na jedno pytanie:

Czy użytkownik spełnia wymagany próg wieku?

Odpowiedź może mieć formę atrybutu „tak” lub „nie”. Takie podejście ogranicza ryzyko profilowania, kradzieży tożsamości i wycieku danych.

Kiedy trzeba sprawdzać wiek?

RODO reguluje sposób przetwarzania danych. Nie tworzy jednego, uniwersalnego obowiązku weryfikacji wieku dla każdego serwisu.

Potrzeba może wynikać z:

przepisów dotyczących konkretnego produktu lub usługi;
zasad sprzedaży alkoholu lub innych towarów z ograniczeniami;
regulacji hazardu;
ochrony małoletnich przed treściami dla dorosłych;
Digital Services Act w przypadku platform dostępnych dla małoletnich;
oceny ryzyka produktu;
wymagań regulatora sektorowego;
obowiązków umownych.

Najpierw trzeba więc ustalić źródło wymagania. Dopiero później można dobrać metodę.

Firma nie powinna wdrażać najbardziej inwazyjnej weryfikacji tylko dlatego, że technicznie jest dostępna.

Deklaracja, estymacja czy weryfikacja wieku?

Pojęcie age assurance obejmuje różne metody ustalania wieku lub przedziału wiekowego.

Deklaracja wieku

Użytkownik sam podaje datę urodzenia albo zaznacza pole „mam 18 lat”. Metoda jest prosta, ale łatwa do obejścia.

Estymacja wieku

System szacuje wiek na podstawie obrazu twarzy, głosu, zachowania lub innych cech. Wynik ma charakter probabilistyczny i może być błędny.

Weryfikacja wieku

Wiek jest potwierdzany na podstawie wiarygodnego źródła. Może to być dokument, eID, bank, portfel tożsamości albo wyspecjalizowany dostawca.

Wnioskowanie o wieku

Serwis wnioskuje o przedziale wiekowym na podstawie posiadanych danych, na przykład statusu klienta określonej usługi. Takie rozwiązanie wymaga szczególnej ostrożności, aby nie prowadzić do ukrytego profilowania.

Weryfikacja wieku a RODO: jak dobrać metodę do ryzyka?

Metoda powinna być skuteczna, proporcjonalna i możliwie mało inwazyjna.

Metoda	Skuteczność	Zakres danych	Typowe zastosowanie	Główne ryzyko
Pole „mam 18 lat”	Niska	Minimalny	Niskie ryzyko, pomocnicza deklaracja	Łatwe obejście
Data urodzenia	Niska lub średnia	Pełna data	Konto użytkownika	Brak potwierdzenia prawdziwości
Kontrola przy dostawie	Średnia lub wysoka	Wgląd w dokument	Sprzedaż fizycznego produktu	Brak ochrony przed wcześniejszym dostępem do treści
Przelew lub identyfikacja bankowa	Zależna od modelu	Dane rachunku i tożsamości	Usługi regulowane	Nadmiar danych i wykluczenie części użytkowników
Estymacja twarzy	Zmienna	Obraz twarzy i wynik	Szybka ocena przedziału	Błędy, uprzedzenia, dane biometryczne
Zewnętrzny token 18+	Wysoka	Sam wynik progu	Platformy i e-commerce	Zależność od dostawcy
Unijny dowód wieku	Wysoka w założeniu	Anonimowy atrybut 18+	Usługi internetowe	Dostępność zależna od wdrożenia krajowego

Nie ma jednej metody najlepszej dla wszystkich branż. Sklep z alkoholem, serwis randkowy i platforma z grami mają inne ryzyka oraz inne momenty, w których wiek powinien zostać sprawdzony.

Dlaczego kopiowanie dowodu jest ryzykowne?

Dowód osobisty zawiera zestaw danych, który może zostać wykorzystany do kradzieży tożsamości. Ujawnia między innymi imię, nazwisko, datę urodzenia, numer dokumentu, wizerunek i obywatelstwo.

Jeżeli celem jest wyłącznie potwierdzenie pełnoletności, kopia dokumentu może naruszać zasadę minimalizacji.

Ryzyka obejmują:

przejęcie dokumentu przez osobę nieuprawnioną;
użycie danych do oszustwa;
zapis kopii w logach lub kopiach zapasowych;
dostęp pracowników, którzy go nie potrzebują;
trudność w usunięciu wszystkich kopii;
przekazanie dokumentu podwykonawcom;
użycie danych do dodatkowego profilowania.

Wyjątkiem mogą być sytuacje, w których przepisy sektorowe wymagają pełnej identyfikacji klienta. Wtedy firma powinna wyraźnie rozdzielić obowiązek identyfikacji od samego potwierdzenia wieku.

Czy można tylko obejrzeć dokument?

W niektórych modelach wystarczy kontrola dokumentu bez tworzenia kopii. Pracownik może sprawdzić datę urodzenia przy dostawie lub odbiorze towaru.

Takie rozwiązanie nadal wymaga procedury. Należy określić:

jakie dokumenty są akceptowane;
które informacje wolno sprawdzić;
czy wynik jest zapisywany;
kto może dokonać kontroli;
co zrobić w przypadku wątpliwości;
jak obsłużyć odmowę okazania dokumentu;
jak ograniczyć ryzyko dyskryminacji.

W systemie powinien pozostać tylko minimalny dowód wykonania kontroli, jeżeli jest potrzebny. Nie zawsze musi to być data urodzenia lub numer dokumentu.

Unijne rozwiązanie potwierdzające 18+

Komisja Europejska udostępniła wzorzec rozwiązania do weryfikacji wieku w lipcu 2025 r. Od 15 kwietnia 2026 r. rozwiązanie jest gotowe technicznie do dostosowania przez państwa i podmioty rynkowe.

Model ma pozwalać użytkownikowi wykazać, że ukończył 18 lat, bez przekazywania serwisowi innych danych osobowych.

Proces zakłada rozdzielenie ról:

Wiarygodne źródło potwierdza wiek użytkownika.
Aplikacja otrzymuje dowód spełnienia progu.
Połączenie z podmiotem potwierdzającym zostaje zakończone.
Użytkownik przedstawia serwisowi anonimowy dowód 18+.
Serwis sprawdza ważność dowodu bez poznawania tożsamości.

Komisja zaleciła rozwój dostępu do rozwiązań zachowujących prywatność do końca 2026 r. Firmy planujące nowe procesy powinny więc sprawdzić możliwość integracji z tym standardem lub rozwiązaniami zgodnymi z podobną architekturą.

Jakie zasady wskazuje EROD?

Europejska Rada Ochrony Danych opublikowała w 2025 r. oświadczenie dotyczące age assurance. Dokument akcentuje między innymi:

konieczność wykazania potrzeby weryfikacji;
proporcjonalność metody;
ograniczenie celu;
minimalizację danych;
dokładność i możliwość zakwestionowania wyniku;
bezpieczeństwo;
przejrzystość;
zakaz wykorzystywania procesu do dodatkowego profilowania;
ochronę dzieci i dorosłych;
uwzględnienie dostępności i niedyskryminacji.

Weryfikacja wieku nie może być pretekstem do śledzenia użytkownika na wielu stronach. Dostawca potwierdzający wiek nie powinien otrzymywać pełnej historii usług, z których korzysta dana osoba.

Jaka podstawa prawna może mieć zastosowanie?

Podstawa zależy od źródła obowiązku i konkretnego etapu procesu.

Cel	Możliwa podstawa	Najważniejszy warunek
Wykonanie ustawowego obowiązku 18+	Obowiązek prawny	Trzeba wskazać konkretny przepis
Ochrona małoletnich i bezpieczeństwo platformy	Prawnie uzasadniony interes albo obowiązek z przepisów sektorowych	Konieczność, proporcjonalność i test równowagi
Założenie konta wymagającego określonego wieku	Wykonanie umowy może mieć znaczenie dla części operacji	Dane muszą być obiektywnie potrzebne do usługi
Opcjonalna funkcja dodatkowa	Zgoda, jeżeli jest właściwa	Dobrowolność i realna alternatywa
Dane biometryczne do jednoznacznej identyfikacji	Przesłanka z art. 9 RODO	Sama podstawa z art. 6 nie wystarczy

Nie należy automatycznie wybierać zgody. Jeżeli dostęp do usługi jest uzależniony od weryfikacji wymaganej prawem, zgoda może nie być dobrowolna.

Analiza twarzy i dane biometryczne

Nie każda analiza zdjęcia automatycznie oznacza przetwarzanie danych biometrycznych szczególnej kategorii. Art. 9 RODO ma zastosowanie, gdy dane biometryczne są przetwarzane w celu jednoznacznego zidentyfikowania osoby.

Obraz twarzy nadal jest jednak daną osobową, jeżeli można go powiązać z osobą. Estymacja wieku może też powodować wysokie ryzyko nawet wtedy, gdy system nie ustala tożsamości.

Firma powinna sprawdzić:

czy zdjęcie jest zapisywane;
czy tworzony jest szablon twarzy;
czy system porównuje obraz z dokumentem;
czy dostawca rozpoznaje tę samą osobę w kolejnych sesjach;
jak dokładny jest wynik dla różnych grup;
czy istnieje ścieżka odwoławcza;
czy użytkownik może wybrać inną metodę;
czy materiał służy do trenowania modelu.

Błąd nie powinien automatycznie i bez możliwości odwołania blokować dorosłej osobie dostępu do legalnej usługi.

Jak sprawdzić dostawcę weryfikacji wieku?

Dostawca może otrzymywać dokument, zdjęcie, dane z banku albo potwierdzenie z eID. Ocena nie może ograniczyć się do sprawdzenia ceny i skuteczności API.

Należy ustalić:

czy dostawca jest procesorem czy odrębnym administratorem;
jakie dane otrzymuje;
czy zachowuje kopię dokumentu;
czy tworzy profil użytkownika;
jak długo przechowuje dane i logi;
gdzie znajdują się serwery;
z jakich podwykonawców korzysta;
czy dane trafiają poza EOG;
czy wykorzystuje je do trenowania modeli;
jakie zabezpieczenia stosuje;
jak zgłasza incydenty;
czy pozwala na audyt;
jak wykonuje żądania osób;
co dzieje się po zakończeniu umowy.

Praktyczną listę kryteriów zawiera artykuł BPPZ Jak wybrać podmiot przetwarzający dane.

Jak długo przechowywać wynik 18+?

Nie ma jednego terminu dla każdego procesu. Retencja zależy od celu, ryzyka, wymagań sektorowych i potrzeby wykazania wykonania obowiązku.

Firma powinna rozdzielić:

dane źródłowe, na przykład zdjęcie dokumentu;
wynik weryfikacji;
token lub poświadczenie;
log techniczny;
dowód wykonania obowiązku;
dane potrzebne do reklamacji lub odwołania.

Najbardziej inwazyjne dane powinny zostać usunięte możliwie szybko. Serwis może zachować informację o pozytywnym wyniku, jeżeli jest to potrzebne, ale nie musi przechowywać pełnej kopii dokumentu.

Token powinien mieć ograniczony zakres, termin ważności i zabezpieczenie przed wykorzystaniem w innym celu.

Czy potrzebna jest DPIA?

Pełna weryfikacja dokumentu, analiza twarzy lub systematyczne sprawdzanie użytkowników mogą prowadzić do wysokiego ryzyka.

Za DPIA przemawiają między innymi:

duża skala;
nowe technologie;
dane dzieci;
analiza cech twarzy;
automatyczne odrzucanie użytkownika;
łączenie wielu źródeł;
systematyczne monitorowanie;
brak realnej alternatywy;
ryzyko wykluczenia lub dyskryminacji.

DPIA powinna opisywać cały proces, a nie tylko aplikację dostawcy. Musi uwzględniać moment pozyskania danych, przekazanie wyniku, przechowywanie dowodu i obsługę odwołania.

W ramach doradztwa projektowego BPPZ można przygotować DPIA, model ról, wymagania dla dostawcy, retencję, regulamin i klauzulę informacyjną przed uruchomieniem procesu.

Obowiązek informacyjny

Użytkownik powinien wiedzieć, dlaczego wiek jest sprawdzany i co dzieje się z danymi.

Informacja powinna wyjaśniać:

kto jest administratorem;
jaki próg jest sprawdzany;
z czego wynika potrzeba weryfikacji;
jaka metoda jest stosowana;
jakie dane otrzymuje serwis;
jaką rolę pełni dostawca;
jak długo dane są przechowywane;
czy dochodzi do transferu poza EOG;
czy decyzja jest automatyczna;
jak zakwestionować wynik;
jakie są alternatywne metody;
jak skontaktować się z IOD.

Komunikat powinien być zrozumiały również dla młodszych użytkowników. Warto zastosować model warstwowy i krótkie wyjaśnienia bez prawniczego języka.

Checklista: weryfikacja wieku a RODO

Wymaganie i cel

Ustal źródło obowiązku sprawdzania wieku.
Określ właściwy próg.
Sprawdź, na jakim etapie należy przeprowadzić kontrolę.
Oddziel wiek od pełnej identyfikacji.

Minimalizacja

Zbieraj wynik progu zamiast pełnej daty urodzenia.
Nie kopiuj dokumentu bez wyraźnej potrzeby.
Ogranicz logi i dane diagnostyczne.
Ustal krótki termin dla materiału źródłowego.
Zablokuj wykorzystanie danych do marketingu.

Dostawca i bezpieczeństwo

Określ role stron.
Zweryfikuj podwykonawców i transfery.
Wymagaj szyfrowania i kontroli dostępu.
Sprawdź skuteczność dla różnych grup.
Zapewnij obsługę incydentów.
Ustal usunięcie danych po zakończeniu umowy.

Użytkownik i rozliczalność

Przygotuj jasną informację.
Zapewnij alternatywną metodę.
Udostępnij procedurę odwoławczą.
Przeprowadź DPIA, jeżeli jest wymagana.
Testuj proces przed wdrożeniem.
Regularnie oceniaj skuteczność i proporcjonalność.

Jeżeli firma rozwija usługę 18+ lub zmienia obecny proces, BPPZ może zaprojektować zgodność od początku projektu. Pozwala to uwzględnić wymagania prawne w architekturze systemu, zamiast poprawiać gotowe rozwiązanie po uruchomieniu.

Praktyczny scenariusz: sklep internetowy z alkoholem

Sklep chce ograniczyć sprzedaż osobom niepełnoletnim. Początkowo planuje żądać skanu dowodu przy każdym zamówieniu. Analiza pokazuje jednak, że powstałaby baza dokumentów o wysokiej wartości dla przestępców.

Firma rozdziela więc trzy etapy. Użytkownik otrzymuje jasną informację przed zakupem. Wiek jest potwierdzany przez zewnętrznego dostawcę, a sklep otrzymuje tylko wynik 18+ i identyfikator transakcji. Przy dostawie kurier może ponownie sprawdzić dokument bez wykonywania kopii, jeżeli wymaga tego przyjęty model sprzedaży.

Umowa zakazuje dostawcy trenowania systemu na dokumentach. Materiał źródłowy jest usuwany po weryfikacji, a minimalny dowód pozostaje przez uzasadniony okres. Osoba błędnie odrzucona może wybrać kontrolę przy odbiorze. Proces jest skuteczniejszy i ogranicza ryzyko wycieku pełnych danych tożsamości.

Najczęstsze błędy

Kopia dowodu na wszelki wypadek

Firma przechowuje cały dokument, chociaż potrzebuje tylko wyniku 18+.

Jeden proces dla każdej usługi

Ta sama inwazyjna metoda jest stosowana przy zakupie produktu, wejściu do serwisu i założeniu zwykłego konta.

Brak oceny dostawcy

Zewnętrzne API zachowuje zdjęcia, korzysta z podwykonawców i trenuje model, a klient nie ma o tym wiedzy.

Ukryte profilowanie

Dane z weryfikacji służą później do reklamy, analityki albo łączenia kont.

Brak drogi odwoławczej

Błędny wynik automatycznie blokuje dostęp bez możliwości przedstawienia innego dowodu.

Bezterminowy token

Poświadczenie można wielokrotnie wykorzystywać poza pierwotnym celem.

Dzielimy się wiedzą

Najważniejszym dokumentem projektowym może być mapa danych pokazująca, co widzi użytkownik, dostawca potwierdzający wiek i serwis. Jeżeli każda strona otrzymuje tylko informacje potrzebne do własnego zadania, łatwiej wykazać minimalizację.

Test procesu powinien obejmować także przypadki trudne. Należy sprawdzić użytkownika bez smartfona, osobę błędnie odrzuconą, awarię dostawcy, dokument zagraniczny i żądanie usunięcia danych. Dopiero taki test pokazuje, czy system jest użyteczny i możliwy do obrony.

Podsumowanie

Weryfikacja wieku a RODO nie powinna zaczynać się od pytania, jak pobrać skan dowodu. Najpierw trzeba ustalić, jaki próg ma zostać potwierdzony i dlaczego.

W wielu procesach wystarczy wiarygodny wynik „18+”. Firma nie musi poznawać tożsamości, pełnej daty urodzenia ani adresu użytkownika. Rozwiązania oparte na tokenie lub anonimowym poświadczeniu lepiej realizują zasadę minimalizacji.

Wdrożenie powinno obejmować ocenę dostawcy, retencję, bezpieczeństwo, informację dla użytkownika, możliwość odwołania i DPIA. Ważna jest również regularna kontrola, czy metoda nadal jest proporcjonalna.

Przy procesach wysokiego ryzyka stały nadzór może zapewnić zewnętrzny Inspektor Ochrony Danych BPPZ. IOD pomaga monitorować dostawcę, zmiany technologiczne, skargi użytkowników i skuteczność przyjętych zabezpieczeń.

FAQ

Czy sklep internetowy może żądać skanu dowodu osobistego?

Tylko wtedy, gdy potrafi wykazać podstawę prawną, niezbędność i proporcjonalność takiego zakresu. Jeżeli celem jest wyłącznie potwierdzenie 18+, skan całego dokumentu zwykle ujawnia zbyt wiele danych. Bezpieczniejszy może być wgląd przy dostawie albo zewnętrzne poświadczenie wieku.

Czy pole „mam 18 lat” wystarczy?

Zależy to od ryzyka i przepisów sektorowych. Pole jest łatwe do obejścia i ma niską wiarygodność. Przy treściach lub produktach objętych wyraźnym ograniczeniem może być niewystarczające. Metoda powinna odpowiadać wadze ryzyka.

Czy firma musi znać dokładną datę urodzenia użytkownika?

Nie zawsze. Jeżeli celem jest sprawdzenie progu 18+, wystarczający może być sam wynik „spełnia” albo „nie spełnia”. Zbieranie pełnej daty wymaga uzasadnienia i określenia okresu przechowywania.

Czy zdjęcie twarzy jest daną biometryczną?

Zdjęcie jest daną osobową, gdy można je powiązać z osobą. Staje się daną biometryczną szczególnej kategorii, gdy jest poddawane specjalnemu przetwarzaniu w celu jednoznacznej identyfikacji. Nawet bez identyfikacji estymacja wieku może powodować wysokie ryzyko i wymagać DPIA.

Czy dostawca age verification jest procesorem?

Nie zawsze. Może działać na polecenie serwisu jako podmiot przetwarzający. Może też samodzielnie określać cele, na przykład tworzyć własne konto tożsamościowe lub rozwijać model na danych użytkowników. Rola wynika z faktycznych decyzji, a nie z nazwy umowy.

Jak długo można przechowywać wynik weryfikacji wieku?

Termin zależy od celu i obowiązków sektorowych. Materiał źródłowy powinien być usuwany możliwie szybko. Wynik lub token może być przechowywany dłużej, jeżeli jest to potrzebne do świadczenia usługi lub wykazania obowiązku, ale musi mieć określony zakres i retencję.

Czy użytkownik powinien mieć alternatywną metodę?

Tak, szczególnie gdy metoda może błędnie odrzucać osoby, wymaga nowego urządzenia, konta bankowego albo analizy twarzy. Alternatywa ogranicza ryzyko wykluczenia i pozwala zakwestionować nieprawidłowy wynik.

Czy proces 18+ wymaga DPIA?

Może jej wymagać, gdy obejmuje dużą skalę, dzieci, dokumenty tożsamości, analizę twarzy, automatyczne blokowanie lub systematyczne monitorowanie. Firma powinna wykonać ocenę progową i udokumentować decyzję przed uruchomieniem systemu.