- Email: biuro@kicb.pl
- Rondo Organizacji Narodów Zjednoczonych 1, 00-124 Warszawa
Wojewódzki Sąd Administracyjny w Warszawie utrzymał w mocy decyzję Prezesa Urzędu Ochrony Danych Osobowych, Mirosława Wróblewskiego, na mocy której na ING Bank Śląski została nałożona administracyjna kara pieniężna w wysokości ponad 18,4 mln zł. Bank zaskarżył decyzję regulatora do sądu, jednak WSA 23 października tego roku oddalił skargę instytucji. Bankowi przysługuje jeszcze prawo do wniesienia skargi kasacyjnej do Naczelnego Sądu Administracyjnego.
Sprawa dotyczy bezpodstawnego, nadmiernego i nieuzasadnionego przetwarzania danych osobowych klientów oraz osób ubiegających się o status klienta poprzez masowe skanowanie ich dokumentów tożsamości. Kontrola przeprowadzona w banku przez UODO wykazała zmianę praktyk po wejściu w życie znowelizowanych przepisów ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu – tzw. ustawy AML.
Przed wejściem w życie nowych przepisów, bank w ogóle nie kopiował dokumentów tożsamości. Po tej dacie, w wyniku wewnętrznych analiz i uzgodnień nowego stanu prawnego, nastąpiła radykalna zmiana procedur. Bank wprowadził rutynowy obowiązek skanowania dowodów w przypadkach określonych w procedurach, czyniąc z tego warunek konieczny do wykonania usługi na rzecz klienta. Dokumenty skanowano bez przeprowadzenia wcześniejszej analizy celowości takich działań i bez badania, czy w danym przypadku skopiowanie dokumentu jest rzeczywiście niezbędne. Skanów wymagano także w sytuacjach zupełnie niezwiązanych z realizacją obowiązków wynikających z ustawy AML, czego przykładem była obsługa zwykłych reklamacji dotyczących bankomatów.
Prezes UODO stwierdził, że działania banku naruszyły kluczowe przepisy rozporządzenia o ochronie danych osobowych (RODO) – konkretnie art. 5 ust. 1 lit. a, b i c oraz art. 6 ust. 1. Naruszenie polegało na bezpodstawnym przetwarzaniu danych osobowych w sytuacjach niemających związku z obowiązkami prawnymi banku. Jak czytamy w decyzji:
– “Skanowanie dokumentów tożsamości przez instytucje obowiązane jest legalne w kontekście ustawy AML jedynie wtedy, gdy wiąże się z koniecznym z punktu widzenia tej ustawy zastosowaniem środków bezpieczeństwa finansowego mających na celu przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu”.
W uzasadnieniu swojej decyzji UODO przypomniał kluczowe zasady, które obowiązują przy przetwarzaniu danych w kontekście wymogów AML.
Po pierwsze, bank nie może stosować automatycznej procedury skanowania dokumentów. Jego zadaniem jest przeprowadzenie indywidualnej oceny ryzyka prania pieniędzy i finansowania terroryzmu w odniesieniu do konkretnego klienta oraz konkretnej operacji. Kopiowanie, skanowanie dokumentów tożsamości jest legalne na gruncie ustawy AML tylko wtedy, gdy z indywidualnej oceny ryzyka wynika konieczność zastosowania środków bezpieczeństwa finansowego wymagających przetwarzania danych z tych dokumentów oraz wykonania ich kopii.
Po drugie, prawo do żądania skanu dokumentu powstaje dopiero wtedy, gdy bank jest w stanie wykazać, że taka czynność jest niezbędna do realizacji obowiązków z zakresu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu.
Wymierzając karę w wysokości ponad 18,4 mln zł, Prezes UODO wziął pod uwagę masową skalę działania banku. ING Bank Śląski przetwarza dane osobowe na ogromną skalę, co oznacza, że wszelkie nieprawidłowości mogą wywołać negatywne konsekwencje dla bardzo dużej liczby osób. Urząd zwrócił także uwagę na fakt, że od instytucji z sektora bankowego wymaga się szczególnego profesjonalizmu oraz najwyższego poziomu należytej staranności w sprawach związanych z ochroną danych osobowych.
Zdaniem prezesa Wróblewskiego, nałożona sankcja ma charakter skuteczny, proporcjonalny i odstraszający. Z tym stwierdzeniem zgodził się Wojewódzki Sąd Administracyjny, który utrzymał zaskarżoną decyzję w mocy. Jak wspomnieliaśmy na wstępie, bank ma teraz prawo odwołania się od tej decyzji do Naczelnego Sądu Administracyjnego.
źródło: decyzja UODO DKN.5112.6.2020
Najnowsze komentarze