Wojewódzki Sąd Administracyjny w Warszawie podtrzymał decyzję prezesa Urzędu Ochrony Danych Osobowych, który nałożył na ING Bank Śląski ponad 18,4 mln zł kary. Chodzi o kopiowanie dokumentów tożsamości klientów. Poinformował o tym w poniedziałek UODO. Bank zapowiedział, że zaskarży wyrok WSA.

Skąd kara

O nałożeniu kary UODO informował w sierpniu 2025 roku. Prezes urzędu Mirosław Wróblewski uznał wtedy, że bank naruszył przepisy RODO, kopiując dokumenty tożsamości klientów i przetwarzając zawarte w nich dane osobowe. ING od początku nie zgadzał się z zarzutami i tłumaczył, że skanowanie dowodów wynikało z wymogów ustawy o przeciwdziałaniu praniu pieniędzy.

Wyrok WSA jest nieprawomocny. Od orzeczenia przysługuje skarga kasacyjna do Naczelnego Sądu Administracyjnego.

Co ustalił UODO

Z ustaleń kontroli wynika, że przed 13 lipca 2018 roku, czyli przed wejściem w życie znowelizowanych przepisów ustawy AML, bank nie kopiował dokumentów tożsamości klientów. Później zmienił procedury i praktykę, uznając, że w każdym przypadku wskazanym w tych procedurach konieczne jest skanowanie dokumentu. Zdaniem urzędu od tego uzależniano niekiedy możliwość wykonania czynności na rzecz klienta.

UODO zarzucił bankowi, że nie dokonywał indywidualnej oceny ryzyka związanego z danym klientem i jego działaniami. Dokumenty skanowano też w sytuacjach niezwiązanych z obowiązkami z ustawy AML, na przykład przy reklamacji dotyczącej bankomatu.

Kiedy skanowanie dowodów jest dozwolone

Urząd wyjaśnił, że kopiowanie dokumentów tożsamości na podstawie ustawy AML jest dopuszczalne tylko wtedy, gdy wynika z koniecznego zastosowania środków bezpieczeństwa finansowego, które mają przeciwdziałać praniu pieniędzy i finansowaniu terroryzmu. Zadaniem banku jest indywidualna ocena ryzyka i dobranie do jej wyniku odpowiednich środków, czyli tzw. podejście oparte na ryzyku. Dopiero gdy instytucja wykaże, że w tym celu niezbędne jest przetwarzanie informacji z dokumentów tożsamości i sporządzanie ich skanów, ma prawo tego żądać.

UODO zwrócił uwagę, że bank po kontroli zmienił procedury i zapewnił, że będzie kopiował dokumenty tylko w celu stosowania i dokumentowania środków bezpieczeństwa finansowego, przede wszystkim przy zawieraniu umów z nowymi klientami lub zmianie ich danych. Zdaniem prezesa urzędu późniejsze odejście od praktyki skanowania w części sytuacji potwierdza, że nigdy nie było to konieczne, a wcześniejsze zasady były niezgodne z przepisami ustawy AML.

Stanowisko banku

Rzecznik ING Banku Śląskiego Piotr Utrata przekazał, że bank zamierza zaskarżyć decyzję. Podkreślił, że skany dokumentów pobierano tylko wtedy, gdy było to niezbędne do realizacji obowiązków z ustawy o przeciwdziałaniu praniu pieniędzy, a wszystkie zebrane skany są wykorzystywane wyłącznie w tym celu. Zapewnił też, że bank przestrzega obowiązujących przepisów oraz zasad compliance.

Utrata przypominał w ubiegłym roku, że decyzja UODO dotyczy praktyki skanowania dowodów osobistych w okresie od kwietnia 2019 roku do września 2020 roku. Dodał, że bank w pełni współpracował z prezesem UODO na każdym etapie postępowania.