Nieuzasadnione skanowanie dowodów osobistych przez ING Bank Śląski

Od 1 kwietnia 2019 r. do 23 września 2020 r. ING Bank Śląski niezgodnie z prawem masowo skanował dokumenty tożsamości klientów i potencjalnych klientów. Kontrola Urzędu Ochrony Danych Osobowych (UODO) wykazała, że bank nie przeprowadzał indywidualnej oceny ryzyka dla każdej osoby i kopiował dowody również w sytuacjach niezwiązanych z ustawowymi obowiązkami przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu (AML), np. przy reklamacji bankomatów.

Wymogi prawne oraz naruszenia RODO

Zgodnie z ustawą AML banki mogą przetwarzać i kopiować dane z dokumentów tożsamości wyłącznie w uzasadnionych przypadkach, gdy są to środki bezpieczeństwa finansowego adekwatne do oceny ryzyka. UODO podkreślił, że skanowanie poza tymi ramami jest niezgodne z zasadami minimalizacji danych osobowych i przepisami RODO (art. 5 oraz art. 6 RODO).

„Praktyka kopiowania dokumentów tożsamości wynikała z braku indywidualnej oceny ryzyka, co doprowadziło do bezpodstawnego przetwarzania danych w szerokim zakresie” — Prezes UODO

Skala i konsekwencje naruszenia

W 2020 roku ING Bank Śląski obsługiwał ponad 4,7 mln klientów, co podnosiło ryzyko negatywnych konsekwencji naruszenia ochrony danych na dużą skalę. Przetwarzane dane zawierały numery PESEL, imiona, nazwiska, wizerunek oraz szczegóły dokumentów — dane umożliwiające jednoznaczną identyfikację i potencjalnie narażające użytkowników na ryzyko kradzieży tożsamości czy wyłudzeń.

Odpowiedź banku i dalsze kroki

ING Bank Śląski zapewnia, że kopiowanie dowodów miało miejsce jedynie w celach wynikających z ustawy AML i deklaruje przestrzeganie obowiązujących przepisów oraz zasad compliance. Bank zamierza zaskarżyć decyzję UODO do Wojewódzkiego Sądu Administracyjnego w Warszawie.

Po kontroli bank zmodyfikował procedury, aby kopiować dokumenty tożsamości wyłącznie w uzasadnionych sytuacjach, takich jak zawieranie umów z nowymi klientami lub zmiana ich danych.

Wysokość kary i znaczenie sprawy

Nałożona kara administracyjna w wysokości 18,4 mln zł jest drugą co do wielkości karą za naruszenie RODO w Polsce i najwyższą wymierzoną prywatnej firmie. UODO ocenia ją jako skuteczną, proporcjonalną i odstraszającą.

Ważne, że zgodnie z obowiązującymi przepisami, przetwarzanie danych osobowych powinno być ściśle dostosowane do celu i zakresu niezbędnego do ochrony przed ryzykiem finansowym, a praktyka banku w tym zakresie została uznana za naruszającą te wymogi.

Źródło: farmer.pl