(Fot. Gov)
Według UODO, ING Bank Śląski rutynowo skanował dowody osobiste, nie dokonując uprzedniej oceny ryzyka, ani nie analizując, czy w danym przypadku rzeczywiście istnieje potrzeba pozyskania pełnej kopii dokumentu. Taka praktyka - jak wskazano w decyzji - naruszała podstawowe zasady przetwarzania danych osobowych, m.in. zgodność z prawem, minimalizację danych oraz ograniczenie celu, określone w art. 5 RODO.
- Skanowanie dowodów osobistych było traktowane jako obowiązkowy element procesu obsługi klienta, niezależnie od rzeczywistej potrzeby wynikającej z przepisów AML - ocenił Prezes UODO. W uzasadnieniu wskazano m.in. przypadek osoby chcącej złożyć reklamację działania bankomatu, która została poproszona o zgodę na zeskanowanie dowodu, mimo że nie była klientem banku.
Zobacz także 25-lecie TVN24 w Opolu. Widzowie zaglądają za kulisy pracy stacji
Bank, który zaczął stosować praktykę kopiowania dokumentów już w 2018 roku, argumentuje, że działał w oparciu o art. 34 ust. 4 ustawy AML, który pozwala na sporządzanie kopii dokumentów tożsamości. - Skanowanie odbywało się wyłącznie w celu realizacji obowiązków ustawowych. Przestrzegamy obowiązujących przepisów oraz zasad compliance - zapewnia Piotr Utrata, rzecznik prasowy ING Banku Śląskiego.
Bank zapowiedział, że zaskarży decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie.
Wysokość nałożonej kary - druga co do wielkości w historii polskiego RODO i największa na prywatną firmę - wynika m.in. z masowości naruszenia. Chodzi o dane milionów osób, które zostały przetworzone bez podstawy prawnej. Prezes UODO zwrócił też uwagę na świadomy charakter naruszeń oraz wcześniejsze, powtarzające się zastrzeżenia wobec banku dotyczące przetwarzania danych osobowych.
- To nie przypadkowe uchybienie, ale świadoma polityka działania. Kara może wydawać się szokująca, ale jej skala jest uzasadniona. Mamy tu do czynienia z fundamentalnym naruszeniem zasad przetwarzania danych - komentuje prof. Marlena Sakowska-Baryła, ekspertka z zakresu ochrony danych osobowych.
Zobacz także Największa rozbudowa Polderu Żelazna. Pomieści ponad dwa razy więcej wody
UODO wskazał, że kopiowanie dokumentu tożsamości nie jest obowiązkiem, a jedynie opcją, którą można zastosować wyłącznie po ocenie ryzyka i stwierdzeniu potrzeby w zakresie AML. Bank, zamiast analizować sytuację każdego klienta, miał automatycznie narzucać skanowanie jako standard.
W decyzji zaznaczono również, że nawet jeśli skanowanie jest dopuszczalne, to zakres kopiowanych danych powinien być ograniczony do niezbędnego minimum. Tymczasem bank pozyskiwał pełne odwzorowanie dokumentu - co, zdaniem UODO, wykraczało poza cel identyfikacji.
Po kontroli Urzędu, ING Bank Śląski zmienił wewnętrzne wytyczne i obecnie kopiuje dokumenty wyłącznie w przypadkach uzasadnionych - np. przy zawieraniu umów lub aktualizacji danych klientów. Zdaniem UODO, to dowód, że wcześniejsze praktyki nie miały realnego uzasadnienia.
- Sama korekta procedur potwierdza, że bank wcześniej działał ponad wymogi prawa - podsumowano w decyzji.
Decyzja UODO może mieć dalekosiężne skutki dla całego sektora bankowego w Polsce. To jasny sygnał, że RODO obowiązuje również tam, gdzie prawo nakłada na instytucje finansowe dodatkowe obowiązki. Kluczowa pozostaje proporcjonalność i legalność przetwarzania danych osobowych.
Zobacz także Atak nożem koło Solarisa. Podejrzany 21-latek aresztowany
Źródło: WNP, Bankier, Gazeta Prawna
W dyskusji: 5