Biometria w bankowości to dziś głównie odcisk palca i rozpoznawanie twarzy w telefonie oraz analiza zachowania w tle. Wyjaśniamy, jak działa w PKO BP, Pekao i ING, jakie ma limity i gdzie leżą prawdziwe ryzyka.
Jak banki stosują biometrię
Polskie banki używają biometrii przede wszystkim w aplikacjach mobilnych. Odciskiem palca lub skanem twarzy logujesz się i potwierdzasz część operacji.
Odcisk i twarz rozpoznaje telefon, a nie bank. ING pisze wprost: „Wiemy tylko, czy weryfikacja biometrią się udała”.
Credit Agricole w 2018 r. podawał, że dane biometryczne zostają tylko w urządzeniu i bank ich nie gromadzi. Logowanie biometryczne było opcjonalne, obok hasła.
Na stronach sprawdzonych banków nie ma rozpoznawania głosu ani skanu tęczówki. Nie znaleźliśmy też wypłat z bankomatu ani płatności w sklepie samym odciskiem palca, bez telefonu.
Logowanie i limity kwot w PKO BP, Pekao i ING
Porównanie według stron banków (stan na 30 października 2026 r.):
| Bank | Co potwierdzisz biometrią | Limit | Kiedy bank poprosi o PIN |
|---|---|---|---|
| PKO BP (aplikacja PKO) | logowanie, przelewy, BLIK w internecie, bankomacie i terminalu, bilety, parkingi | do 500 zł na transakcję | powyżej limitu lub gdy odczyt nie zadziała |
| Bank Pekao (PeoPay) | logowanie, przelewy i płatności | do 120 zł | powyżej 120 zł i co 90 dni od logowania PIN-em |
| ING Bank Śląski (Moje ING) | logowanie i niektóre dyspozycje, np. wybrane przelewy i operacje na kartach | bank nie podaje kwoty | metodę autoryzacji wybiera system banku |
Biometria działa więc przy niższych kwotach, a większe operacje wymagają PIN-u. To odwrotność częstego mitu, że odcisk palca chroni najwyższe transakcje.
Pekao prosi o PIN także przy historii konta starszej niż 90 dni i przy pobieraniu trzeciego lub starszego wyciągu. Tak samo jest przy operacjach mogących wiązać się z ryzykiem oszustwa.
W ING biometrię włączysz w ustawieniach aplikacji, po włączeniu jej w telefonie. Opis innych metod potwierdzania znajdziesz w tekście o Moim ING.
Biometria a silne uwierzytelnianie (PSD2)
Silne uwierzytelnianie wymaga co najmniej dwóch niezależnych elementów: wiedzy, posiadania lub cech użytkownika (art. 2 pkt 26aa ustawy o usługach płatniczych). Biometria to „cechy charakterystyczne użytkownika”.
Drugim elementem jest zwykle telefon z aktywną aplikacją banku. Naruszenie jednego elementu nie może osłabiać pozostałych.
Bank musi stosować silne uwierzytelnianie przy logowaniu do konta online i zlecaniu płatności elektronicznej (art. 32i). Przy płatnościach na odległość łączy się je z kwotą i odbiorcą.
Jeśli bank nie wymaga silnego uwierzytelniania, klient nie odpowiada za nieautoryzowaną transakcję, chyba że działał umyślnie (art. 46 ust. 4a).
Jak zgłosić taką operację, opisujemy w tekście jak zgłosić nieautoryzowaną transakcję.
Biometria behawioralna – analiza zachowania
Biometria behawioralna sprawdza, jak korzystasz z bankowości. Analizuje pisanie na klawiaturze, ruchy myszy, przewijanie i sposób trzymania telefonu.
Gdy zachowanie nie pasuje do profilu, bank może wymagać dodatkowej weryfikacji. Credit Agricole zapowiada wtedy też kontakt z klientem.
Erste Bank Polska, Credit Agricole i BNP Paribas włączają tę ochronę tylko za zgodą. Erste podaje, że usługa jest bezpłatna, a zgodę można w każdej chwili odwołać.
mBank prowadził podobną usługę dla klientów, którzy zgodzili się na nią w latach 2018–2020. Obecnie nie przyjmuje nowych zapisów.
Dane biometryczne a RODO
Dane biometryczne należą do szczególnych kategorii danych osobowych (art. 9 ust. 1 RODO). Ich przetwarzanie jest co do zasady zakazane.
W relacji firmy z klientem wyjątkiem jest wyraźna zgoda. UODO wskazuje, że osoba bez zgody powinna mieć alternatywną metodę, by nie stracić dostępu do usługi.
W bankach alternatywą jest PIN, hasło lub kod. PKO poprosi o PIN, gdy odczyt odcisku palca lub twarzy nie zadziała.
Plusy i ryzyka autoryzacji biometrycznej
Plusy to wygoda i szybkość: nie wpisujesz PIN-u przy drobnych płatnościach. Bank nie trzyma wzorca odcisku, więc wyciek z banku go nie obejmie.
Kto ma dostęp do telefonu i może dodać w nim swój odcisk lub twarz, zaloguje się do aplikacji. Dlatego warto sprawdzać, czyje dane biometryczne są zapisane w telefonie.
CSIRT KNF ostrzega, że przestępcy używają nagrań głosu i wizerunku do podszywania się pod klientów i pracowników banków. Generatywna AI czyni phishing i vishing bardziej wiarygodnymi.
Przykłady takich ataków opisujemy w tekście o ostrzeżeniu Alior Banku przed deepfake.
Infostealery i przejęte sesje pozwalają też obejść część zabezpieczeń wieloskładnikowych. Instytucje odpowiadają m.in. analizą behawioralną i weryfikacją żywotności przy zdalnym zakładaniu konta.
Jak bezpiecznie korzystać z biometrii
- zabezpiecz telefon PIN-em lub hasłem i nie dodawaj cudzych odcisków ani twarzy,
- aktualizuj system i aplikację banku, instaluj ją tylko z oficjalnego sklepu,
- ustaw niskie limity płatności i przelewów w aplikacji,
- nie potwierdzaj operacji, których sam nie zlecasz, nawet na prośbę „konsultanta”,
- przy zmianie telefonu wyłącz biometrię na starym urządzeniu i ponownie aktywuj aplikację,
- regularnie przeglądaj historię transakcji.
Na co uważać przy wymianie urządzenia, opisujemy w checkliście zmiany telefonu.
Najczęstsze schematy oszustw zebraliśmy w tekście o oszustwach w bankowości mobilnej.
Najczęstsze pytania o biometrię w bankowości
Przy logowaniu w aplikacji – nie. Odcisk i twarz rozpoznaje telefon, a bank dostaje tylko wynik. ING pisze, że wie tylko, czy weryfikacja biometrią się udała.
Nie. W aplikacji PKO biometrią potwierdzisz najwyżej 500 zł na jedną transakcję, a w PeoPay Banku Pekao do 120 zł. Wyższe kwoty i operacje uznane za ryzykowne wymagają PIN-u.
Jest jednym z trzech możliwych elementów, czyli cech charakterystycznych użytkownika. Ustawa o usługach płatniczych wymaga co najmniej dwóch niezależnych elementów, np. odcisku palca i zarejestrowanego telefonu.
To analiza, jak piszesz, ruszasz myszą czy trzymasz telefon, by wykryć obcego użytkownika. Erste, Credit Agricole i BNP Paribas włączają ją tylko za zgodą, którą można wycofać.
Źródła:
- Ustawa o usługach płatniczych (t.j. Dz.U. 2026 poz. 623), art. 2 pkt 26aa, 32i i 46
- UODO – Biuletyn UODO 03/03/25: podpis biometryczny klienta na umowie (PDF)
- ING Bank Śląski – autoryzacja transakcji
- ING – logowanie odciskiem palca lub skanem twarzy
- PKO Bank Polski – centrum wsparcia aplikacji mobilnej (biometria)
- Bank Pekao – logowanie biometryczne w PeoPay
- Bank Pekao – autoryzacja i identyfikacja w Pekao24
- Credit Agricole – logowanie biometryczne w aplikacji (10.12.2018)
- Credit Agricole – weryfikacja behawioralna
- Erste Bank Polska – ochrona behawioralna
- BNP Paribas – ochrona behawioralna
- mBank – weryfikacja behawioralna
- CSIRT KNF – krajobraz cyberzagrożeń 2026 (PDF)
Uważam, że włączanie dodatkowego potwierdzenia przy transakcjach wysokiego ryzyka to świetny pomysł! To daje większe poczucie bezpieczeństwa, zwłaszcza że biometria czasami może zawieść. Zdecydowanie warto być ostrożnym z danymi biometrycznymi!
Wydaje mi się, że włączenie silnego uwierzytelniania wieloskładnikowego to klucz do zapewnienia bezpieczeństwa w bankowości biometrycznej. Taka kombinacja na pewno może pomóc w uniknięciu wielu problemów związanych z kradzieżą tożsamości. Ważne, żeby klienci byli świadomi, jak chronić swoje dane!