Sprawa była wynikiem kontroli przeprowadzonej przez UODO w ING Banku Śląskim. Urząd analizował m.in. podstawę prawną przetwarzania danych, ich zakres i rodzaj, a także cele zbierania oraz udostępniania informacji.
"Ustalono, że przed wejściem w życie znowelizowanych przepisów ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (ustawa AML), co nastąpiło 13 lipca 2018 r., bank nie kopiował dokumentów tożsamości klientów" - wyjaśnił UODO.
Po zmianie przepisów bank zmodyfikował jednak swoje procedury. Przyjął, że we wszystkich wskazanych w nich przypadkach konieczne jest wykonanie skanu dokumentu tożsamości. Niekiedy od jego przekazania uzależniał możliwość wykonania określonej czynności na rzecz klienta.
Jak zaznaczył UODO, bank uzasadniał swoje działania przepisami ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (AML), ale nie przeprowadził odpowiedniej analizy ich celowości.
UODO: konieczna indywidualna ocena ryzyka
Prezes UODO stwierdził, że bank nie dokonywał indywidualnej oceny ryzyka związanego z konkretnym klientem i podejmowanymi przez niego działaniami. Dokumenty były skanowane także w sytuacjach, które nie wiązały się z realizacją obowiązków wynikających z ustawy AML. Jako przykład urząd wskazał składanie reklamacji dotyczącej bankomatu.
"Skanowanie dokumentów tożsamości przez instytucje obowiązane jest legalne w kontekście ustawy AML jedynie wtedy, gdy wiąże się z koniecznym z punktu widzenia tej ustawy zastosowaniem środków bezpieczeństwa finansowego mających na celu przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu" - napisał urząd.
UODO podkreślił, że to bank powinien przeprowadzić indywidualną ocenę ryzyka prania pieniędzy i finansowania terroryzmu, a następnie dobrać środki bezpieczeństwa adekwatne do jej wyników.
"Dopiero jeśli instytucja obowiązana wykaże, że w celu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu konieczne jest stosowanie środków bezpieczeństwa finansowego wiążące się z przetwarzaniem informacji zawartych w dokumentach tożsamości oraz sporządzaniem ich kopii, wtedy ma prawo żądać ich wykonania" - wyjaśnił UODO.
Naruszenie zasad wynikających z RODO
"Bank jako administrator danych poprzez swoje działania naruszył przepisy o ochronie danych osobowych (art. 5 ust. 1 lit. a, b i c, a także art. 6 ust. 1 RODO). Naruszenie polegało na bezpodstawnym przetwarzaniu danych osobowych obecnych i potencjalnych klientów pozyskiwanych poprzez skanowanie dokumentów tożsamości w sytuacjach niepowiązanych z jego obowiązkami wynikającymi z ustawy AML" - przekazał urząd.
Urząd uznał tym samym, że samo powołanie się na przepisy dotyczące przeciwdziałania praniu pieniędzy nie wystarcza do kopiowania dokumentów w każdym przypadku. Bank powinien każdorazowo ustalić, czy zastosowanie takiego środka jest rzeczywiście niezbędne.
Kara dla ING Banku Śląskiego
Przy ustalaniu wysokości sankcji Prezes UODO wziął pod uwagę masową skalę przetwarzania danych przez bank. Podkreślił, że w takich okolicznościach od administratora należy wymagać podwyższonego poziomu staranności, ponieważ ewentualne nieprawidłowości mogą dotknąć dużej liczby osób.
Urząd zwrócił również uwagę na profesjonalny charakter działalności banku. W ocenie organu od instytucji finansowej należy oczekiwać szczególnej wiedzy i staranności w zakresie przetwarzania oraz zabezpieczania danych osobowych.
Prezes UODO uznał, że kara w wysokości 18 416 400 zł jest skuteczna, proporcjonalna i odstraszająca.
"Zdanie to podzielił Wojewódzki Sąd Administracyjny, który 23 października 2026 r. oddalił skargę banku, utrzymując tym samym w mocy decyzję Prezesa UODO. Od wyroku przysługuje skarga kasacyjna do Naczelnego Sądu Administracyjnego" - przekazał UODO.
Stanowisko banku
Rzecznik ING Banku Śląskiego Piotr Utrata przekazał, że bank zamierza zaskarżyć tę decyzję.
"Bank pobierał skany dokumentów tożsamości w sytuacjach, w których było to niezbędne do realizacji obowiązków wynikających z ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Wszystkie zebrane skany są wykorzystywane wyłącznie w tym celu. Podkreślamy, że ING Bank Śląski przestrzega obowiązujących przepisów prawa oraz zasad compliance" - zapewnił Utrata.
W sierpniu ub.r. rzecznik banku informował, że decyzja prezesa UODO "odnosi się do praktyki skanowania dowodów osobistych w okresie od kwietnia 2019 r. do września 2020 r.". "Bank w pełni współpracował z PUODO [prezesem UODO - red.] na każdym etapie postępowania" - podkreślił Utrata.