Skanowanie dowodu osobistego przez bank - analiza decyzji Prezesa UODO.
- cezarysadowski2
- 14 paź
- 2 minut(y) czytania
Dlaczego została nałożona kara i w jakiej wysokości?
Prezes UODO nałożył na bank karę 18 416 400 zł za niezgodne z prawem skanowanie dowodu osobistego. Bank przetwarzał dane osobowe bez odpowiedniej podstawy prawnej i naruszył kluczowe zasady RODO — w tym zasadę minimalizacji danych i legalności przetwarzania.
Jakie błędy popełnił bank?
1. Skanowanie bez analizy potrzeby
Bank automatycznie kopiował dokumenty tożsamości w niemal każdej interakcji z klientem. Nie analizował, czy w danym przypadku istnieje obowiązek AML, który by to uzasadniał.
2. Nadużycie uprawnienia z ustawy AML
Choć ustawa AML dopuszcza kopiowanie dokumentu w określonych przypadkach, bank stosował tę praktykę niemal mechanicznie — przekraczając granice prawnie dozwolonego przetwarzania.
3. Przetwarzanie zbędnych danych
Skanowanie dowodu osobistego skutkuje pozyskaniem danych, które nie zawsze są potrzebne — jak zdjęcie czy imiona rodziców. W świetle zasady minimalizacji dane te nie powinny być pozyskiwane bez wyraźnej potrzeby.
4. Brak podstawy prawnej
Tam, gdzie nie zachodziły przesłanki ustawowe, przetwarzanie danych nie miało umocowania w art. 6 ust. 1 lit a) RODO. Bank nie zapewnił klientom alternatywy, nie zbierał też zgód w sposób świadomy i dobrowolny.
5. Nieadekwatne procedury i brak przejrzystości
Procedury bankowe nie różnicowały sytuacji, w których skanowanie jest dopuszczalne, od tych, w których nie jest wymagane. Pracownicy nie mieli jasnych wytycznych — co potęgowało ryzyko błędów.
Kontekst europejski: czego uczy nas orzecznictwo z innych państw?
Podobne przypadki miały miejsce również poza Polską. Przykładowo:
Węgry: tamtejszy organ ochrony danych (NAIH) nałożył karę na firmę pożyczkową za kopiowanie dokumentów klientów bez wyraźnej zgody i bez informowania o celach przetwarzania.
Niemcy: organy krajowe wielokrotnie podkreślały, że kopiowanie dokumentów tożsamości powinno być środkiem ostatecznym — dopuszczalnym tylko w sytuacjach, gdy nie można osiągnąć celu innymi metodami.
Wnioski? Europejskie podejście do ochrony danych jest spójne: instytucje mają obowiązek wykazać, że każde działanie na danych osobowych jest niezbędne, proporcjonalne i legalne.
Skanowanie dowody osobistego - co powinien zrobić każdy podmiot, w tym instytucja finansowa?
✅ Przegląd procedur i wytycznych
Zaktualizuj instrukcje dla pracowników. Wyraźnie określ, kiedy skanowanie dowodu osobistego jest dopuszczalne, a kiedy zabronione.
✅ Podejście oparte na ryzyku (RBA)
Wdrożenie analizy ryzyka przed każdą czynnością kopiowania dokumentów — nie tylko w teorii, ale i w codziennej praktyce operacyjnej.
✅ Audyt przetwarzania danych
Zidentyfikuj procesy, w których pobierasz dokumenty, i oceń, czy są zgodne z RODO i AML. Usuń nielegalnie zgromadzone dane, jeśli to konieczne.
✅ Szkolenia i dokumentacja
Przeszkol personel z zasad minimalizacji danych i odpowiedzialnego przetwarzania. Udokumentuj każdą decyzję, która może być poddana kontroli.
Skanowanie dowodu osobistego - co zyskuje organizacja?
Ograniczenie ryzyka kar finansowych i reputacyjnych
Większe zaufanie klientów — transparentność to nowy standard
Lepsze przygotowanie na kontrolę UODO lub KNF
Przewagę konkurencyjną — compliance staje się wartością rynkową
Chcesz mieć pewność, że Twoje procedury nie narażają firmy na milionowe kary? Skontaktuj się z naszym zespołem — przeprowadzimy audyt, zaktualizujemy dokumentację i przeszkolimy zespół.
Komentarze