- Bezprawnik -
- Finanse -
- Bank skanował mój dowód przy każdej okazji. Teraz dzięki ING wiem, że nie miał do tego prawa
Bank skanował mój dowód przy każdej okazji. Teraz dzięki ING wiem, że nie miał do tego prawa
Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę ING Banku Śląskiego i utrzymał karę 18 416 400 zł, którą Prezes UODO Mirosław Wróblewski nałożył na bank za masowe skanowanie dowodów osobistych klientów i osób, które dopiero chciały nimi zostać. Wyrok zapadł 23 października 2026 r. i nie jest prawomocny, ale jego przesłanie jest czytelne: ustawa o przeciwdziałaniu praniu pieniędzy nie daje bankom licencji na kopiowanie dokumentów każdego, kto podejdzie do okienka.
Spór dotyczył okresu od 1 kwietnia 2019 r. do 23 września 2020 r. Jak ustalił urząd, bank w tym czasie skanował dokumenty tożsamości bez wcześniejszej analizy, czy w danej sytuacji jest to w ogóle potrzebne. Kopia trafiała do systemu także przy sprawach, które z praniem pieniędzy nie mają nic wspólnego. UODO jako przykład podał reklamację dotyczącą bankomatu. Co więcej, od zgody na skan uzależniano często wykonanie samej czynności. Klient miał więc do wyboru: oddać kopię dowodu albo odejść z niczym.
Skanowanie dowodu osobistego „na zapas” a ustawa AML
ING od początku broniło się przepisami o przeciwdziałaniu praniu pieniędzy. Według UODO przed wejściem w życie nowej ustawy AML 13 lipca 2018 r. bank dokumentów nie kopiował, a potem zmienił procedury. Gdy decyzja zapadła w sierpniu 2025 r., rzecznik banku Piotr Utrata zapowiadał w rozmowie z PAP walkę w sądzie: „Bank zamierza zaskarżyć decyzję, korzystając z prawa złożenia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie”. Przekonywał też, że ING „przestrzega obowiązujących przepisów prawa oraz zasad compliance”.
Sąd tego nie kupił i podzielił stanowisko urzędu. Ustawa AML rzeczywiście pozwala instytucjom obowiązanym sporządzać kopie dokumentów tożsamości, ale wyłącznie w celu stosowania środków bezpieczeństwa finansowego (mówi o tym art. 34 ust. 4). Skan jest legalny wtedy, gdy wynika z konkretnej potrzeby, a nie z wygody działu compliance. Urząd ujął to tak: „Zadaniem banku jest przeprowadzenie indywidualnej oceny ryzyka prania pieniędzy i finansowania terroryzmu”. Dopiero wynik takiej oceny może uzasadnić żądanie kopii.
UODO uznał, że bank naruszył art. 5 ust. 1 lit. a, b i c RODO, czyli zasady zgodności z prawem, ograniczenia celu i minimalizacji danych, a do tego art. 6 ust. 1, bo zabrakło podstawy prawnej przetwarzania. Przy wymiarze kary liczyła się skala: według danych przytoczonych w decyzji ING obsługiwał w 2020 r. 4,72 mln klientów. Urząd nie stwierdził, by ktoś poniósł szkodę, ale uznał ryzyko za wysokie. Trudno się dziwić, skoro na dowodzie jest PESEL, wizerunek, data urodzenia, imiona rodziców i numer dokumentu, czyli komplet dla oszusta.
Wyrok WSA nie jest prawomocny
Bankowi przysługuje skarga kasacyjna do Naczelnego Sądu Administracyjnego i można zakładać, że z niej skorzysta. Kwota jest zbyt duża, a precedens zbyt niewygodny dla całej branży. Sygnatura sprawy przed UODO to DKN.5112.6.2020.
Banki chowają się za AML, a kopie mnożą się bez końca
Mam wrażenie, że ustawa o przeciwdziałaniu praniu pieniędzy stała się w polskich bankach wytrychem na wszystko. Skoro przepis mówi, że kopia „może” zostać wykonana, to wykonuje się ją zawsze, bo tak łatwiej przejść audyt. Problem polega na tym, że koszt tej wygody ponosi klient. Każdy skan to kolejny plik w kolejnej bazie, która może wyciec, zostać źle zabezpieczona albo trafić w ręce nieuczciwego pracownika. Bank, który oczekuje od klientów profesjonalizmu przy przelewach, sam powinien go wykazać przy danych, które zbiera.
Branża ma zresztą sojusznika. Latem 2026 r. „Rzeczpospolita” opisała odpowiedź Generalnego Inspektora Informacji Finansowej dla Rzecznika Praw Obywatelskich, z której wynika, że żądanie skanu przesłanego e-mailem przy zdalnej identyfikacji jest zgodne z ustawą AML. GIIF zastrzegł jednak, że „przepisy nie nakazują wyboru tej konkretnej formy identyfikacji”, a skan powinien być rozwiązaniem dla osób bez kwalifikowanego podpisu elektronicznego. Pytanie, czy bank może skanować dowód osobisty klienta, ma więc odpowiedź warunkową: może, gdy wymaga tego konkretna procedura i ocena ryzyka, a nie przy każdej reklamacji czy zmianie adresu.
Kiedy można odmówić kopii dowodu i co z tego ma klient
Wyrok dotyczy banku, ale logika RODO jest ta sama dla telekomów, hoteli, wypożyczalni czy salonów samochodowych. Kopia dokumentu to przetwarzanie danych, które musi mieć konkretny cel i podstawę prawną. Gdy jej nie ma, żądanie skanu jest nadmiarowe.
- Bank i instytucje finansowe: przy otwarciu rachunku, kredycie czy większej transakcji kopia może być uzasadniona środkami AML. Odmowa może wtedy skończyć się tym, że instytucja nie nawiąże relacji, bo ustawa każe jej to zrobić, gdy nie da się zastosować środków bezpieczeństwa finansowego. Przy reklamacji, zmianie limitu czy pytaniu o saldo skan nie powinien być warunkiem obsługi.
- Hotele: żaden przepis nie każe recepcji kopiować dowodu gościa. Temat, jakim jest skan dowodu osobistego a hotel, wracał już przy okazji zdjęć dokumentów gości, które trafiały do internetu.
- Wypożyczalnie i komisy: dowód osobisty jako zabezpieczenie to praktyka niedopuszczalna. Dokument tożsamości nie jest kaucją, a jego kopia nie zastąpi umowy.
Jeśli firma upiera się przy skanie, rozsądnie jest zapytać na piśmie o cel i podstawę prawną. Administrator ma obowiązek informacyjny z art. 13 RODO. Gdy odpowiedź nie przekonuje, pozostaje skarga do Prezesa UODO (art. 77 RODO). Można ją złożyć przez ePUAP lub listownie na adres urzędu przy ul. Stawki 2 w Warszawie, formularz jest dostępny na stronie uodo.gov.pl. Skarga nie kosztuje nic, ale trzeba się uzbroić w cierpliwość, bo postępowania trwają długo. Sprawa ING ciągnie się od 2020 r.
Kopia dowodu w obcych rękach, czyli jak ograniczyć ryzyko kradzieży tożsamości
Skoro kopie już krążą, rozsądnie jest korzystać z narzędzi, które daje państwo. W aplikacji mObywatel można zastrzec numer PESEL, co od 2024 r. banki muszą sprawdzać przed udzieleniem kredytu. Tam też działa usługa zastrzeżenia dowodu osobistego, paszportu lub prawa jazdy. Według Ministerstwa Cyfryzacji informacja trafia do banków przez System Dokumenty Zastrzeżone Związku Banków Polskich, a zastrzeżenie da się cofnąć. Rozwiązaniem uzupełniającym jest zastrzeżenie kredytowe BIK, a przy zgubieniu dokumentu zastrzeganie dokumentów powinno być pierwszym odruchem.
Kara dla ING to sygnał dla całego rynku. Jeżeli NSA podtrzyma wyrok, instytucje, które latami kopiowały dowody hurtowo, będą musiały przejrzeć swoje procedury, a być może także archiwa. I bardzo dobrze, bo klient nie powinien płacić swoim bezpieczeństwem za to, że komuś nie chciało się przeprowadzić analizy ryzyka.
zobacz więcej:
