WSA utrzymał ponad 18,4 mln zł kary dla ING Banku Śląskiego za masowe skanowanie dowodów osobistych

Wojewódzki Sąd Administracyjny w Warszawie podtrzymał decyzję Prezesa UODO Mirosława Wróblewskiego nakładającą na ING Bank Śląski karę 18 416 400 zł — poinformował Urząd Ochrony Danych Osobowych. Sprawa dotyczyła bezpodstawnego przetwarzania danych osobowych klientów i potencjalnych klientów przez nadmierne, nieuzasadnione kopiowanie ich dokumentów tożsamości. Bank nie przeprowadził analizy celowości tych działań, ograniczając się do powołania na przepisy ustawy o przeciwdziałaniu praniu pieniędzy. Wyrok z 23 października nie jest prawomocny — bankowi przysługuje skarga kasacyjna do NSA.

Skan dowodu nawet przy reklamacji bankomatu

Kontrola UODO w ING Banku Śląskim wykazała, że bank w ramach identyfikacji klientów lub potencjalnych klientów skanował ich dokumenty tożsamości. Sprawdzono podstawę prawną przetwarzania, zakres i rodzaj danych oraz cel ich zbierania i udostępniania.

Jak ustalono, przed wejściem w życie znowelizowanej ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (ustawa AML), czyli przed 13 lipca 2018 roku, bank nie kopiował dokumentów tożsamości klientów. Potem zmienił procedury — przyjął, że w każdym przypadku wskazanym w tych procedurach konieczne jest skanowanie dokumentu, niejednokrotnie uzależniając od tego możliwość wykonania czynności na rzecz klienta. Dokumenty skanowano także w sytuacjach niezwiązanych z obowiązkami z ustawy AML — na przykład przy reklamacji dotyczącej bankomatu.

Najpierw ocena ryzyka, dopiero potem skan

Prezes UODO uznał, że bank nie dokonywał indywidualnej oceny ryzyka wiążącego się z danym klientem i jego działaniami. Tymczasem skanowanie dokumentów tożsamości przez instytucje obowiązane jest legalne w kontekście ustawy AML jedynie wtedy, gdy wiąże się z koniecznym zastosowaniem środków bezpieczeństwa finansowego służących przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu.

Zadaniem banku jest przeprowadzenie indywidualnej oceny ryzyka i zaprojektowanie środków bezpieczeństwa odpowiednich do jej wyniku — to tzw. podejście oparte na ryzyku. Dopiero gdy instytucja wykaże, że konieczne jest stosowanie środków wiążących się z kopiowaniem dokumentów tożsamości, ma prawo żądać wykonania skanów.

W ocenie organu bank jako administrator danych naruszył w ten sposób przepisy RODO — art. 5 ust. 1 lit. a, b i c oraz art. 6 ust. 1 — przez bezpodstawne przetwarzanie danych osobowych pozyskiwanych ze skanów dokumentów w sytuacjach niepowiązanych z obowiązkami z ustawy AML.

Kara ma być skuteczna, proporcjonalna i odstraszająca

Określając wysokość kary, Prezes UODO wziął pod uwagę, że bank przetwarza dane na masową skalę — a wtedy od administratora wymagany jest wyższy poziom należytej staranności, bo przetwarzanie może powodować negatywne konsekwencje dla wielu osób. Organ podkreślił też, że od instytucji takiej jak bank należy oczekiwać profesjonalizmu w przetwarzaniu danych osobowych.

Prezes UODO uznał, że kara 18 416 400 zł będzie skuteczna, proporcjonalna i odstraszająca. Zdanie to podzielił Wojewódzki Sąd Administracyjny, który 23 października 2026 roku oddalił skargę banku, utrzymując decyzję w mocy. Od wyroku przysługuje skarga kasacyjna do Naczelnego Sądu Administracyjnego.

Źródło: UODO (DKN.5112.6.2020)