WSA przyznał rację Prezesowi UODO w kwestii skanowania dowodów osobistych przez bank

Wojewódzki Sąd Administracyjny w Warszawie podtrzymał decyzję Prezesa UODO Mirosława Wróblewskiego nakładającą karę w wysokości ponad 18,4 mln zł na ING Bank Śląski. Sprawa dotyczyła bezpodstawnego przetwarzania danych osobowych pozyskiwanych poprzez nadmierne  i nieuzasadnione kopiowanie dokumentów tożsamości klientów i potencjalnych klientów. Jak wskazano w decyzji, bank nie przeprowadził analizy celowości tych działań, ograniczając się do uzasadnienia ich przepisami ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu.

Urząd Ochrony Danych Osobowych przeprowadził kontrolę w ING Banku Śląskim. Wykazała ona, że w tym czasie bank w ramach identyfikacji klientów lub potencjalnych klientów skanował ich dokumenty tożsamości. W czasie kontroli sprawdzono w szczególności podstawę prawną przetwarzania, zakres i rodzaj danych, które ono obejmowało, a także cel ich zbierania i udostępniania.

Ustalono, że przed wejściem w życie znowelizowanych przepisów ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (ustawa AML), co nastąpiło 13 lipca 2018 r., bank nie kopiował dokumentów tożsamości klientów. Potem nastąpiła jednak zmiana procedur i praktyki działania, będąca efektem uzgodnień i analiz nowego stanu prawnego. Przyjęto więc, że w każdym przypadku wskazanym w tych procedurach konieczne jest skanowanie dokumentu tożsamości, niejednokrotnie uzależniając od tego możliwość wykonania czynności na rzecz klienta.

Administrator musi dokonać indywidualnej analizy ryzyka

Prezes UODO uznał, że bank nie dokonywał indywidualnej oceny ryzyka wiążącego się z danym klientem i podejmowanymi przez niego działaniami. Dokumenty tożsamości skanowane były także w przypadkach niewiążących się z realizacją obowiązków określonych przepisami ustawy AML (np. przy reklamacji dotyczącej bankomatu).

Skanowanie dokumentów tożsamości przez instytucje obowiązane jest legalne w kontekście ustawy AML jedynie wtedy, gdy wiąże się z koniecznym z punktu widzenia tej ustawy zastosowaniem środków bezpieczeństwa finansowego mających na celu przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu.

Zadaniem banku jest przeprowadzenie indywidualnej oceny ryzyka prania pieniędzy i finansowania terroryzmu i zaprojektowanie środków bezpieczeństwa odpowiednich do jej wyniku (podejście oparte na ryzyku). Dopiero jeśli instytucja obowiązana wykaże, że w celu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu konieczne jest stosowanie środków bezpieczeństwa finansowego wiążące się z przetwarzaniem informacji zawartych w dokumentach tożsamości oraz sporządzaniem ich kopii (skanów), wtedy ma prawo żądać ich wykonania.

Bank jako administrator danych poprzez swoje działania naruszył przepisy o ochronie danych osobowych (art. 5 ust. 1 lit. a, b i c, a także art. 6 ust. 1 RODO). Naruszenie polegało na bezpodstawnym przetwarzaniu danych osobowych obecnych i potencjalnych klientów pozyskiwanych poprzez skanowanie dokumentów tożsamości w sytuacjach niepowiązanych z jego obowiązkami wynikającymi z ustawy AML.

Kara wymierzona przez Prezesa UODO podtrzymana przez sąd

Określając wysokość kary Prezes Urzędu Ochrony Danych Osobowych wziął pod uwagę, że bank przetwarza dane na masową skalę. A w takiej sytuacji od administratora wymagany jest wyższy poziom należytej staranności, gdyż przetwarzanie może powodować negatywne konsekwencje dla wielu osób. Ponadto, Prezes UODO podkreślił, że od instytucji takiej jak bank należy oczekiwać profesjonalizmu w kwestii przetwarzania danych osobowych.

Prezes UODO uznał więc, że administracyjna kara pieniężna w wysokości 18 416 400 zł będzie w tym wypadku skuteczna, proporcjonalna i odstraszająca. Zdanie to podzielił Wojewódzki Sąd Administracyjny, który 23 października 2026 r. oddalił skargę banku, utrzymując tym samym w mocy decyzję Prezesa UODO. Od wyroku przysługuje skarga kasacyjna do Naczelnego Sądu Administracyjnego.

Więcej informacji na temat decyzji Prezesa UODO znajduje się w komunikacie: https://uodo.gov.pl/pl/138/3854, a z pełną jej treścią można zapoznać się w bazie orzeczeń UODO: DKN.5112.6.2020