Skanowanie dowodów w banku: wyrok, który uderza w całą branżę finansową

Ponad 18,4 mln zł kary podtrzymanej przez sąd i pytanie, które sektor finansowy woli przemilczeć: czy jeden bank wpadł jako pierwszy, czy jako jedyny?

Najważniejsze:

• Pod koniec października 2026 r. Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę ING Banku Śląskiego, utrzymując w mocy administracyjną karę pieniężną przekraczającą 18,4 mln zł nałożoną przez Prezesa UODO Mirosława Wróblewskiego.
• Bank przez lata skanował dowody osobiste klientów i potencjalnych klientów bez indywidualnej oceny ryzyka, również przy sprawach niemających żadnego związku z przeciwdziałaniem praniu pieniędzy, takich jak reklamacja bankomatu.
• Prawo dopuszcza kopiowanie dokumentów tożsamości wyłącznie wtedy, gdy wynika to z konkretnej, indywidualnej analizy ryzyka AML, nie z ogólnej zasady „skanujemy zawsze”.
• Wyrok nie jest prawomocny; bankowi przysługuje możliwość wniesienia skargi kasacyjnej do Naczelnego Sądu Administracyjnego.
• Dla pozostałych banków i instytucji finansowych orzeczenie to nie sygnał ostrzegawczy, to alarm: masowe, automatyczne kopiowanie dowodów bez podstawy prawnej to naruszenie RODO, które może kosztować każdego gracza na rynku.

Skąd wzięła się ta sprawa i co inspekcja faktycznie ujawniła

Inspektorzy Urzędu Ochrony Danych Osobowych przeprowadzili czynności kontrolne w ING Banku Śląskim, badając przede wszystkim, na jakiej podstawie prawnej bank przetwarza dane klientów, jaki jest zakres zbieranych informacji i w jakim celu są one gromadzone oraz udostępniane. Wyniki nie pozostawiały wątpliwości: instytucja rutynowo skanowała dokumenty tożsamości w procesie weryfikacji tożsamości zarówno obecnych, jak i nowych klientów, a od wykonania skanu uzależniała nierzadko w ogóle możliwość obsłużenia danej osoby.

Czytaj także: WSA utrzymał ponad 18,4 mln zł kary dla ING Banku Śląskiego za masowe skanowanie dowodów osobistych

Przed wejściem w życie znowelizowanych przepisów o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu, czyli przed lipcem 2018 r. Bank nie stosował takiej praktyki. Zmiana nastąpiła po nowelizacji i wynikała z wewnętrznych interpretacji nowego stanu prawnego. W efekcie skanowanie stało się regułą, a nie wyjątkiem podyktowanym oceną konkretnego przypadku.

Czytaj także: Pacjenci onkologiczni a sektor finansowy: UODO domaga się systemowej ochrony danych

Efektem był absurd: kopię dokumentu tożsamości pobierano przy reklamacji dotyczącej bankomatu, sprawie, która z praniem pieniędzy nie ma absolutnie nic wspólnego.

Reguła zamiast analizy: na czym polegał błąd banku

Przepisy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (tzw. ustawa AML) rzeczywiście nakładają na banki obowiązek stosowania środków bezpieczeństwa finansowego. Nakładają je jednak warunkowo, dopiero po przeprowadzeniu indywidualnej oceny ryzyka związanego z danym klientem i konkretnymi podejmowanymi przez niego działaniami. To tzw. podejście oparte na ryzyku: najpierw analiza, potem adekwatna i proporcjonalna reakcja.

ING Bank Śląski odwrócił tę kolejność. Przyjął zasadę, że skoro przepisy AML w ogóle dopuszczają skanowanie dokumentów, można skanować zawsze, bez sprawdzania, czy w danej sytuacji jest to faktycznie uzasadnione. Prezes UODO Mirosław Wróblewski uznał, że takie podejście narusza przepisy RODO w zakresie zasad legalności przetwarzania, ograniczenia celu oraz minimalizacji danych, a także wymóg posiadania konkretnej podstawy prawnej dla każdej operacji na danych osobowych. Sąd administracyjny ocenę tę w całości podzielił.

Czy 18,4 mln zł to dla banku ból czy zadrapanie?

Przy ustalaniu wysokości kary Prezes UODO wziął pod uwagę skalę działalności banku. Instytucja przetwarzająca dane milionów osób musi zachowywać wyższy poziom staranności niż przeciętna firma, bo jej błędy mogą uderzyć w ogromną liczbę ludzi jednocześnie. Od banku, z definicji instytucji zaufania publicznego, regulator oczekuje też wyraźnie wyższego profesjonalizmu w kwestiach ochrony danych osobowych.

Kwota przekraczająca 18,4 mln zł brzmi imponująco. Jednak ani UODO, ani WSA nie odwoływały się przy uzasadnianiu jej wysokości do przychodów czy zysku netto instytucji, a ING Bank Śląski generuje przychody rzędu kilku miliardów złotych rocznie. Dla banku tej skali kara stanowi ułamek rocznego wyniku finansowego. Regulator skupił się na trzech kryteriach: skuteczność, proporcjonalność i odstraszający charakter. Sąd nie zakwestionował żadnego z nich. Pytanie otwarte brzmi: czy kwota faktycznie odstraszy instytucje, dla których jest ona operacyjnym kosztem, a nie egzystencjalnym zagrożeniem? Na tle największych kar nakładanych przez europejskie organy ochrony danych, liczonych w dziesiątkach, a nawet setkach milionów euro, polskie 18,4 mln zł to raczej sygnał ostrzegawczy niż finansowy cios.

Czy ING był wyjątkiem? Nie łudźmy się

To najważniejszy kontekst, który w oficjalnych komunikatach pozostaje niewidoczny. Po nowelizacji przepisów AML w 2018 r. znowelizowane przepisy były przez wiele podmiotów finansowych interpretowane jako zielone światło dla rutynowego kopiowania dowodów. Mówiąc wprost: wszyscy duzi i mali gracze rynkowi stosowali tę samą praktykę po 2018 r. Orzeczenie sądu faktycznie oznacza jedno: macie problem, wszyscy.

Wyrok WSA nie odpowiada wprost na pytanie, czy UODO prowadziło lub prowadzi analogiczne kontrole w innych instytucjach finansowych. Urząd nie publikuje liczby postępowań wszczętych w tej samej materii po 2018 r. To istotna dziura informacyjna, która uniemożliwia ocenę skali zjawiska. Pewne jest natomiast, że decyzja w tej sprawie jest od dawna publiczna i pozostałe banki miały czas, by zweryfikować własne procedury. Wyrok WSA zamienia ten czas na presję, a każda kolejna kontrola UODO może zakończyć się identycznym rezultatem.

Co ta sprawa zmienia dla banków: lista zadań dla działów compliance

Artykuły o tej sprawie piszą zwykle z perspektywy klienta. Tymczasem wyrok WSA to przede wszystkim wyzwanie operacyjne dla samego sektora. Na liście priorytetów każdego działu compliance i zarządu banku powinny znaleźć się już teraz:

• Natychmiastowy audyt procedur AML: czy wasze wewnętrzne zasady przewidują indywidualną ocenę ryzyka przed każdym skanowaniem dokumentu, czy działacie na zasadzie „zawsze i wszędzie”? Jeśli to drugie, jesteście w obszarze ryzyka regulacyjnego.
• Potencjalna ponowna ocena ryzyka dla istniejących klientów: jeśli przez lata gromadziliście skany dokumentów bez właściwej podstawy prawnej, możecie stać przed pytaniem o legalność przechowywania tych danych i o obowiązek ich usunięcia.
• Realne ryzyko kontroli UODO: urząd udowodnił, że jest gotów skierować sprawę do sądu i wygrać. Realne pytanie dotyczy tego, kiedy urząd przeprowadzi kontrolę i czy instytucja będzie gotowa.
• Rewizja szkoleń pracowniczych: front-office musi wiedzieć, kiedy skanowanie jest legalne, a kiedy nie i musi umieć to wytłumaczyć klientowi. Samo powołanie się na wewnętrzną procedurę nie wystarczy ani klientowi, ani regulatorowi.

Co dalej: sprawa formalnie pozostaje otwarta

Październikowy wyrok WSA nie jest prawomocny. ING Bank Śląski może skierować sprawę do Naczelnego Sądu Administracyjnego, co oznacza, że ostateczne rozstrzygnięcie może zająć jeszcze kilka lat. Dla banku to możliwość dalszego kwestionowania decyzji, choć przegrana przed WSA istotnie zawęziła pole manewru. Ryzyko utrzymania kary w pełnej wysokości pozostaje wysokie, a każdy miesiąc przedłużającego się postępowania to też czas, w którym inne instytucje powinny porządkować własne procedury.

Co powinien wiedzieć klient banku

Sprawa ma bezpośrednie przełożenie na codzienne wizyty w oddziale. Poniżej najważniejsze wnioski praktyczne:

• Żądaj konkretnej podstawy prawnej: jeśli pracownik banku prosi o zeskanowanie dokumentu tożsamości, ma obowiązek wskazać konkretny przepis prawa i wyjaśnić, dlaczego w Twoim przypadku, po indywidualnej ocenie ryzyka, skanowanie jest konieczne. Jeśli nie potrafi tego zrobić, odmów. Nie jest to kwestia uprzejmości, lecz Twojego prawa.
• Ogólna procedura to za mało: ogólna wewnętrzna procedura banku nie jest wystarczającą podstawą prawną. Pracownik banku powinien umieć wskazać konkretny artykuł ustawy i powiązać go z Twoją sytuacją. Jeśli nie potrafi, odmów. Kropka.
• Skarga do UODO to realne narzędzie: jeśli uważasz, że bank pobrał kopię Twojego dokumentu bez właściwej podstawy, możesz złożyć skargę do Prezesa UODO. Ta sprawa pokazuje, że urząd traktuje takie zgłoszenia poważnie i jest gotów wyegzekwować sankcje wobec dużej instytucji finansowej.
• Wyrok nie zakazuje skanowania: orzeczenie WSA nie eliminuje możliwości kopiowania dokumentów tożsamości, lecz nakłada na banki obowiązek udowodnienia, że jest to w danym przypadku konieczne. Jeśli Twój bank stosuje rzetelną indywidualną ocenę ryzyka i skanuje dokumenty wyłącznie wtedy, gdy naprawdę tego wymaga ustawa AML, działa zgodnie z prawem.

Najczęściej zadawane pytania

Czy mój bank też może zostać ukarany za skanowanie dowodów?

Tak, jeśli stosuje praktykę masowego, automatycznego kopiowania dokumentów tożsamości bez indywidualnej analizy ryzyka w każdym konkretnym przypadku. Wyrok WSA potwierdza, że taka praktyka narusza przepisy o ochronie danych osobowych niezależnie od wielkości instytucji. Banki, które po 2018 r. nie zweryfikowały swoich procedur w tym zakresie, działają w obszarze realnego ryzyka regulacyjnego.

Jak klient powinien zareagować, gdy bank prosi o skan dowodu?

Zapytaj wprost: na jakiej konkretnej podstawie prawnej bank żąda kopii dokumentu i czy przeprowadzono indywidualną ocenę ryzyka w Twoim przypadku. Jeśli odpowiedź nie wskazuje konkretnego związku z obowiązkami wynikającymi z przepisów AML, masz prawo odmówić i, jeśli uznasz to za zasadne, złożyć skargę do Prezesa UODO.

Co się stanie z karą nałożoną na ING Bank Śląski?

Kara przekraczająca 18,4 mln zł została utrzymana przez WSA, ale orzeczenie to nie jest jeszcze prawomocne. Bank może wnieść skargę kasacyjną do Naczelnego Sądu Administracyjnego. Do czasu wydania prawomocnego wyroku sprawa pozostaje formalnie otwarta, choć przegrana przed WSA istotnie zawęziła pole manewru banku.

Czy UODO kontroluje też inne banki w tej samej sprawie?

Urząd nie publikuje liczby postępowań prowadzonych w tej samej materii, to istotna dziura informacyjna. Nie wiemy, ile kontroli UODO przeprowadziło w bankach po 2018 r. ani czy wobec innych instytucji toczą się podobne postępowania. Pewne jest natomiast, że decyzja w sprawie ING BSK jest od dawna publiczna, a wyrok WSA tworzy precedens, na który urząd może się powoływać w każdej kolejnej sprawie.

Czy ustawa AML w ogóle pozwala bankom na skanowanie dowodów?

Tak, ale wyłącznie warunkowo. Pobranie kopii dokumentu tożsamości jest legalne jedynie wtedy, gdy wynika z indywidualnej oceny ryzyka przeprowadzonej dla konkretnego klienta i konkretnej sytuacji. Zasada „skanujemy zawsze, bo przepisy AML to dopuszczają”, jak pokazuje ta sprawa, jest niewystarczającą podstawą prawną i może skutkować naruszeniem przepisów o ochronie danych osobowych.

Fot. Adrian Tync / Wikimedia Commons (CC BY-SA 4.0)