Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę ING Banku Śląskiego na decyzję prezesa UODO. Bank został ukarany za skanowanie dowodów osobistych klientów również w sytuacjach, w których przepisy o przeciwdziałaniu praniu pieniędzy tego nie wymagały.
WSA utrzymał w mocy decyzję, w której prezes UODO Mirosław Wróblewski nałożył na ING Bank Śląski administracyjną karę pieniężną w wysokości 18,4 mln zł. Według urzędu sprawa dotyczyła „bezpodstawnego przetwarzania danych osobowych pozyskiwanych poprzez nadmierne i nieuzasadnione kopiowanie dokumentów tożsamości klientów i potencjalnych klientów”. Wyrok nie jest prawomocny, bo od wyroku przysługuje skarga kasacyjna do Naczelnego Sądu Administracyjnego.
Zmiana procedur po nowelizacji ustawy AML
Sprawa wyszła na jaw podczas kontroli UODO w ING Banku Śląskim, w której sprawdzano przede wszystkim podstawę prawną przetwarzania danych oraz cel ich zbierania i udostępniania. Kontrolerzy ustalili, że w ramach identyfikacji klientów i potencjalnych klientów bank skanował ich dokumenty tożsamości.
Według UODO do 13 lipca 2018 r., kiedy weszła w życie nowelizacja ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (ustawa AML), bank dokumentów tożsamości nie kopiował. Później, jak opisuje urząd, „nastąpiła jednak zmiana procedur i praktyki działania, będąca efektem uzgodnień i analiz nowego stanu prawnego”. W komunikacie czytamy, że „przyjęto więc, że w każdym przypadku wskazanym w tych procedurach konieczne jest skanowanie dokumentu tożsamości, niejednokrotnie uzależniając od tego możliwość wykonania czynności na rzecz klienta”.
Rzecznik ING Banku Śląskiego Piotr Utrata mówił PAP po wydaniu decyzji, że dotyczy ona praktyki z okresu od kwietnia 2019 r. do września 2020 r. Bank tłumaczył pobieranie skanów przepisami AML i zapowiedział wówczas skargę do WSA.
Dowód skanowany przy reklamacji bankomatu
Prezes UODO uznał, że bank nie oceniał indywidualnie ryzyka związanego z konkretnym klientem i podejmowanymi przez niego działaniami. Dokumenty skanowano także wtedy, gdy nie wiązało się to z obowiązkami wynikającymi z ustawy AML, na przykład przy reklamacji dotyczącej bankomatu. Urząd podkreśla, że „skanowanie dokumentów tożsamości przez instytucje obowiązane jest legalne w kontekście ustawy AML jedynie wtedy, gdy wiąże się z koniecznym z punktu widzenia tej ustawy zastosowaniem środków bezpieczeństwa finansowego mających na celu przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu”.
W decyzji wskazano, że bank nie przeprowadził analizy celowości skanowania, a całą praktykę uzasadniał wyłącznie przepisami ustawy AML.
Podejście oparte na ryzyku
UODO opisuje, czego oczekuje od banków. „Zadaniem banku jest przeprowadzenie indywidualnej oceny ryzyka prania pieniędzy i finansowania terroryzmu i zaprojektowanie środków bezpieczeństwa odpowiednich do jej wyniku (podejście oparte na ryzyku)” — wyjaśnia urząd. Kopii dowodu bank może żądać dopiero wtedy, gdy wykaże, że w celu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu konieczne są środki bezpieczeństwa finansowego wymagające przetwarzania informacji z dokumentów tożsamości i sporządzania ich skanów.
Prezes UODO stwierdził, że ING Bank Śląski jako administrator danych naruszył art. 5 ust. 1 lit. a, b i c oraz art. 6 ust. 1 RODO. Pierwszy z tych przepisów obejmuje m.in. zasady zgodności z prawem, ograniczenia celu i minimalizacji danych, drugi określa dopuszczalne podstawy przetwarzania. Naruszenie polegało na „bezpodstawnym przetwarzaniu danych osobowych obecnych i potencjalnych klientów pozyskiwanych poprzez skanowanie dokumentów tożsamości w sytuacjach niepowiązanych z jego obowiązkami wynikającymi z ustawy AML”.
Wysokość kary
Ustalając wysokość kary, prezes UODO wziął pod uwagę, że bank przetwarza dane na masową skalę, a w takiej sytuacji „od administratora wymagany jest wyższy poziom należytej staranności, gdyż przetwarzanie może powodować negatywne konsekwencje dla wielu osób”. Urząd zaznaczył też, że od banku należy oczekiwać profesjonalizmu w przetwarzaniu danych osobowych.
Prezes UODO uznał, że kara w wysokości 18 416 400 zł będzie „skuteczna, proporcjonalna i odstraszająca”.
