Polska wdraża DSA. Kancelaria Prawna Skarbiec proponuje, by platformy sprawdzały i zachowywały dane reklamodawców usług finansowych

Od 6 listopada polscy internauci będą mogli składać skargi na platformy internetowe do Prezesa Urzędu Komunikacji Elektronicznej (UKE). Jednak bez obowiązku weryfikacji prawdziwości danych zleceniodawcy i zakazu ich kasowania po zdjęciu reklamy zgłoszonej jako zawierającej oszustwo nadzór nie zatrzyma fali deepfake’ów z wizerunkami znanych osób ani nie pomoże ustalić sprawców.

6 listopada 2026 r. wchodzi w życie ustawa z 4 września 2026 r., pierwsza z dwóch ustaw wdrażających w Polsce unijny Akt o usługach cyfrowych (DSA). Prezes UKE zostaje koordynatorem ds. usług cyfrowych: od tego dnia użytkownik może złożyć u niego skargę na platformę, także na taką, którą nadzoruje inne państwo UE. Kancelaria Prawna Skarbiec, reprezentująca poszkodowanych w sprawach dotyczących oszustw inwestycyjnych, postuluje, by UE nałożyła na platformy dodatkowe obowiązki: sprawdzanie, czy dane podane przez zleceniodawcę reklamy usług finansowych są prawdziwe, oraz zachowanie tych danych wraz z samą reklamą, gdy zostanie ona zgłoszona jako zawierająca oszustwo.

Uzgodnione w UE rozporządzenie o usługach płatniczych (PSR), stosowane według obecnego harmonogramu nie wcześniej niż w 2028 r., wymaga od reklamodawców usług finansowych wykazania zezwolenia, ale nie przesądza, czy platforma ma sprawdzić prawdziwość danych zleceniodawcy, i nie przewiduje zachowania tych danych po zgłoszeniu reklamy jako oszustwa.

Nowe obowiązki może wprowadzić Unia Europejska, bo DSA ujednolica zasady dla platform w całej UE, a polska ustawa jedynie wskazuje organy i procedury jego stosowania. Polski ustawodawca może natomiast zakazać reklamowania usług finansowych podmiotom bez wymaganych uprawnień, co uczyni każdą taką reklamę treścią nielegalną, którą platforma po zgłoszeniu musi usunąć.

Skalę problemu obrazują dane: w 2025 r. straty w sprawach Centralnego Biura Zwalczania Cyberprzestępczości sięgnęły 537 mln zł; odzyskano niecałe 25 mln zł.

„Klient banku musi udowodnić, kim jest, zanim otworzy konto. Od tego, kto chce mu w reklamie sprzedać inwestycję, prawo nie wymaga dziś przed emisją żadnego dowodu tożsamości ani uprawnień; wymaga tego co najwyżej regulamin, który platforma sama pisze i sama ocenia. Nie prosimy o cud technologiczny. Prosimy o to, co każdy bank robi codziennie: sprawdź, komu sprzedajesz", mówi Robert Nogacki, radca prawny i założyciel kancelarii.

Gdzie jest problem

Za fałszywymi reklamami stoi typowy mechanizm: zlecają je firmy krzaki oraz przejęte lub wynajęte konta reklamowe, które po zablokowaniu zastępuje się następnymi. Żaden przepis nie nakazuje dziś platformie zweryfikować przed emisją tożsamości i uprawnień tego, kto płaci za reklamę usług finansowych. Zapowiedzi takiej weryfikacji, także ze strony największych platform, pozostają dobrowolne.

„System, który podejrzanemu o oszustwo podnosiłby cennik zamiast zamknąć mu drzwi, nie walczyłby z oszustwem, tylko je opodatkowywał. Zapowiedź weryfikacji w regulaminie to dobra wiadomość, ale regulamin można zmienić jednym wpisem na blogu. Ustawy nie" - mówi Nogacki.

Co proponuje Kancelaria Skarbiec

1. Weryfikacja przed emisją. Dziś weryfikacja reklamodawcy zależy od polityki platformy. Uzgodnione w UE rozporządzenie o usługach płatniczych (PSR) wprowadzi obowiązek, by reklamodawca usług finansowych wykazał bardzo dużej platformie, że ma zezwolenie. PSR nie przesądza jednak, czy platforma ma sprawdzić, kto naprawdę zleca i opłaca reklamę, ani czy reklamodawca rzeczywiście działa w imieniu firmy, na którą się powołuje. Tę lukę wykorzystują przejęte konta reklamowe i oszuści podszywający się pod licencjonowane podmioty. Propozycja: jednoznaczny obowiązek sprawdzenia tożsamości zleceniodawcy, uprawnień dostawcy usługi we właściwych rejestrach (w Polsce KNF) i powiązania reklamodawcy z reklamowaną ofertą. Niezależnie od PSR Komisja Europejska powinna już teraz wymagać takiej weryfikacji od bardzo dużych platform w ramach ograniczania ryzyk systemowych (art. 34 i 35 DSA). W Polsce uzupełnieniem byłby zakaz reklamowania usług finansowych przez podmioty bez wymaganych uprawnień, skierowany do reklamodawców i egzekwowany przez KNF. Skutek: firma krzak przestaje być biletem wstępu do systemu reklamowego.

2. Zakaz kasowania dowodów. W dzisiejszym kształcie DSA prowadzi do tego, że usunięcie reklamy jako nielegalnej zaciera jej autora: z publicznego repozytorium reklam znikają wtedy jej treść oraz dane zleceniodawcy i płatnika (art. 39 ust. 3). Im szybciej reklama zawierająca oszustwo zostaje zdjęta z platformy, tym mniej śladów po niej zostaje. To realne ryzyko: utrata danych o wyświetlonych reklamach bywa już przedmiotem sporów sądowych za granicą. Propozycja: zgłoszenie reklamy jako zawierającej oszustwo uruchamia obowiązek zachowania reklamy, danych zleceniodawcy, parametrów targetowania i historii emisji przez 12 miesięcy, z możliwością przedłużenia na żądanie sądu, prokuratora lub koordynatora ds. usług cyfrowych. Skutek: reklama znika z ekranów, a dowód zostaje dla poszkodowanego i sądu.

3. Egzekwowanie przepisów, które już obowiązują. Od 2 sierpnia 2026 r. art. 50 AI Act nakazuje ujawniać, że treść wygenerowano lub zmanipulowano za pomocą AI, a deepfake reklamowy z natury tego obowiązku nie spełnia, bo działa tylko, dopóki uchodzi za prawdziwe nagranie. Komisja Europejska prowadzi postępowania na podstawie DSA wobec bardzo dużych platform, a pierwszą karę z DSA, 120 mln euro, nałożyła w grudniu 2025 r. Skutek: przepisy są, brakuje ich skutecznej egzekucji.

„Do utraty oszczędności wystarczy jedno kliknięcie, a dowód tego kliknięcia znika szybciej niż pieniądze. Prosimy o jedno: żeby platforma nie mogła skasować tego, co sama wyświetliła" - mówi Nogacki.

Kogo to dotyczy

Według danych NASK przedstawionych we wrześniu 2026 r. w 5-tygodniowym monitoringu zidentyfikowano 16 tys. reklam wygenerowanych przez AI z wizerunkami ponad 450 osób, a na Liście Ostrzeżeń CERT Polska znalazło się w 2025 r. niemal 100 tys. domen fałszywych inwestycji. Z danych NBP wynika, że wartość oszukańczych transakcji bezgotówkowych wyniosła w 2025 r. około 763 mln zł, w tym blisko 669 mln zł przelewów; w wartości tych przelewów przeważają operacje wykonane przez samych poszkodowanych pod wpływem manipulacji. Odzyskiwanie trwa latami: w jednej z prowadzonych przez kancelarię spraw nieprawomocny wyrok zapadł niemal 20 lat po ujawnieniu nadużyć.

Okno legislacyjne

Polskie organy i sądy już pokazały, że platforma nie jest biernym pośrednikiem. W sierpniu 2024 r. Prezes UODO użył trybu pilnego przewidzianego w RODO i nakazał platformie wstrzymanie emisji reklam wykorzystujących dane i wizerunki osób publicznych. W 2026 r. Sąd Apelacyjny w Warszawie, rozpoznając zażalenie na zabezpieczenie, uznał za uprawdopodobnione, że platforma sama decyduje o emisji reklam, weryfikuje je, pobiera wynagrodzenie i kieruje je do odbiorców. Taka rola nie mieści się w pojęciu biernego hostingu.

Przykład Tajwanu pokazuje, że weryfikację da się wdrożyć szybko. Tajwan od 2023 r. zaostrzał wymogi weryfikacji reklamodawców, a tamtejsze ministerstwo wiąże te działania ze spadkiem reklam oszustw inwestycyjnych o 96 proc. Nie brakuje więc technologii, brakuje nakazu.

Druga ustawa wdrażająca DSA, o blokowaniu nielegalnych treści, czeka od 23 października na podpis Prezydenta. Obowiązku weryfikacji reklamodawców nie da się po prostu dopisać do tej ustawy, bo DSA ujednolica obowiązki platform w całej UE; ten standard musi ustanowić Unia Europejska, a egzekwować Komisja Europejska. Polska może natomiast zakazać reklamowania usług finansowych podmiotom bez wymaganych uprawnień. Taki przepis wiąże reklamodawców, a nie platformy, więc nie koliduje z DSA. Zarazem czyni z każdej takiej reklamy treść nielegalną w rozumieniu DSA, którą platforma po zgłoszeniu musi usunąć.

„Platforma, która sprzedaje oszustowi zasięg, nie jest słupem ogłoszeniowym, jest kasjerem. Od 6 listopada mamy w Polsce okienko, w którym można złożyć skargę. Teraz potrzebujemy unijnego przepisu, który każe kasjerowi sprawdzić, od kogo naprawdę przyjmuje pieniądze” - podsumowuje Nogacki.

Analiza z odesłaniami do źródeł: https://kancelaria-skarbiec.pl/falszywe-reklamy-meta-deepfake/ 

Ochrona prawna przed deepfake'ami: https://kancelaria-skarbiec.pl/deepfake/ 

Inne artykuły o ochronie konsumentów: https://kancelaria-skarbiec.pl/prawo/prawo-konkurencji/ 

Źródła: komunikat UODO o podpisaniu ustawy: https://uodo.gov.pl/pl/138/4587 

O kancelarii

Kancelaria Prawna Skarbiec działa w Warszawie od 2006 r.; zajmuje się prawem karnym gospodarczym, podatkami i regulacją kryptoaktywów oraz reprezentuje pokrzywdzonych w sprawach oszustw inwestycyjnych i nadużyć na rynku finansowym.

KONTAKT:

Karolina Gościniak

Head of Marketing and PR

Kancelaria Prawna Skarbiec

e-mail: karolina.gosciniak@kancelaria-skarbiec.pl 

tel. kom. +48 692 674 727