Przejdź do głównej zawartości

Bank ukarany za nieuzasadnione skanowanie dowodów osobistych klientów

 

Urząd Ochrony Danych Osobowych (UODO) nałożył na ING Bank Śląski rekordową karę w wysokości 18,4 mln zł za bezpodstawne skanowanie dowodów osobistych klientów i osób potencjalnie zainteresowanych usługami banku.

Dlaczego bank został ukarany?

Od 1 kwietnia 2019 r. do 23 września 2020 r. bank regularnie kopiował dokumenty tożsamości klientów, nie dokonując analizy celowości ani indywidualnej oceny ryzyka. Kopie były wykonywane nawet w sytuacjach całkowicie niezwiązanych z obowiązkami wynikającymi z ustawy AML (o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu). Przykładem może być zwykła reklamacja dotycząca bankomatu.

Naruszenie RODO i zasad przetwarzania danych

Zgodnie z przepisami RODO, bank jako administrator danych powinien wykazać, że gromadzenie i przetwarzanie danych osobowych jest niezbędne oraz zgodne z prawem. W tym przypadku doszło do złamania podstawowych zasad:

  • legalności i celowości (art. 6 RODO),

  • minimalizacji danych (art. 5 ust. 1 lit. c RODO),

  • rzetelności i przejrzystości (art. 5 ust. 1 lit. a RODO).

Zakres pozyskiwanych danych obejmował m.in. imię, nazwisko, numer PESEL, serię i numer dokumentu, wizerunek, datę urodzenia czy imiona rodziców. Tak szeroki zestaw informacji niesie ogromne ryzyko kradzieży tożsamości czy wyłudzeń finansowych.

Brak podejścia opartego na ryzyku

Zgodnie z ustawą AML instytucje obowiązane (np. banki) mogą kopiować dokumenty tożsamości tylko wtedy, gdy rzeczywiście jest to uzasadnione w kontekście przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu. W omawianym przypadku ING Bank Śląski przyjął procedury, które nakazywały skanowanie dokumentów w sposób masowy, bez indywidualnej oceny sytuacji klienta.

Konsekwencje dla klientów i rynku

Choć nie stwierdzono szkód bezpośrednio po stronie klientów, Prezes UODO wskazał, że praktyka banku miała charakter masowy i długotrwały – obejmowała setki tysięcy osób w okresie 18 miesięcy. Kara w wysokości 18,4 mln zł ma charakter odstraszający i proporcjonalny, a jednocześnie stanowi jasny sygnał dla całego sektora finansowego, że ochrona danych osobowych klientów to obowiązek, a nie formalność.


Co to oznacza dla firm i klientów?

  • Każde przetwarzanie danych musi być poprzedzone analizą ryzyka i oceną niezbędności.

  • Banki i instytucje finansowe nie mogą kopiować dokumentów „na zapas”.

  • Odpowiedzialność administratorów danych rośnie wraz ze skalą działalności i liczbą obsługiwanych klientów.


🔒 Jeśli prowadzisz firmę i chcesz mieć pewność, że Twoje procedury RODO i AML są zgodne z prawem – skontaktuj się ze mną.
Pomogę Ci wdrożyć odpowiednie polityki bezpieczeństwa, przeprowadzić analizę ryzyka i uniknąć kar ze strony UODO.

Komentarze

Popularne posty z tego bloga

Rekordowy atak DDoS – nowy poziom zagrożenia dla sieci

Firma Cloudflare poinformowała o zneutralizowaniu największego w historii ataku DDoS, który osiągnął przepustowość 11,5 Tb/s . To bezprecedensowe uderzenie trwało zaledwie 35 sekund, ale w tym czasie wygenerowało ogromną ilość szkodliwego ruchu. Był to tzw. hiperwolumetryczny atak UDP flood , który ustanowił nowy rekord pod względem skali zużycia przepustowości. Dane telemetryczne Cloudflare zarejestrowały nagły skok ruchu – od znikomego „szumu tła” do ponad 11 Tb/s w mniej niż 10 sekund. Co szczególnie istotne, większość szkodliwego ruchu pochodziła z przejętych zasobów w Google Cloud Platform , co pokazuje, jak cyberprzestępcy coraz częściej wykorzystują infrastrukturę dużych dostawców chmurowych do realizacji masowych ataków. Obrona zautomatyzowana zadziałała natychmiast Systemy obronne Cloudflare zadziałały całkowicie automatycznie – bez udziału człowieka. Mechanizmy wykrywania w ciągu kilku sekund zidentyfikowały nietypowy strumień pakietów UDP i wprowadziły reguły ogranicza...

Jak sprawdzić status baterii w Windows za pomocą PowerShell

Monitorowanie kondycji baterii w laptopie jest bardzo ważne – pozwala ocenić, czy akumulator działa poprawnie i ile czasu pracy pozostało. Windows udostępnia narzędzia takie jak powercfg , ale nic nie stoi na przeszkodzie, aby w prosty sposób wyświetlać status baterii w czasie rzeczywistym w konsoli PowerShell. One-liner do monitorowania baterii Poniższy skrypt w PowerShell pokazuje procent naładowania baterii oraz szacowany czas pracy . Skrypt działa w pętli, aktualizując informacje co minutę: while ($true) { Get-WmiObject Win32_Battery | ForEach-Object { "$([datetime]::Now): Battery: $($_.EstimatedChargeRemaining)% - Estimated Life: $($_.EstimatedRunTime) min" } Start-Sleep -Seconds 60 } Jak to działa? Get-WmiObject Win32_Battery – pobiera informacje o baterii z systemu. EstimatedChargeRemaining – pokazuje aktualny procent naładowania. EstimatedRunTime – podaje przewidywany czas pracy (w minutach). Start-Sleep -Seconds 60 – za...

Czym jest narzędzie Cloudflare IP Checker?

  Cloudflare IP Checker to skrypt, który pozwala sprawdzić, czy wskazane adresy IP mieszczą się w oficjalnych zakresach adresowych Cloudflare. Narzędzie pobiera na bieżąco aktualne listy adresów bezpośrednio z serwerów Cloudflare, dzięki czemu wyniki są zawsze zgodne ze stanem rzeczywistym. Takie rozwiązania stosowane są m.in. przez analityków bezpieczeństwa w procesach mapowania sieci i rekonesansu . Obsługiwane są zarówno adresy IPv4 , jak i IPv6 , a elastyczne metody podawania danych (pojedyncze IP, wiele adresów, pliki wejściowe) pozwalają dostosować sposób pracy do sytuacji. Najważniejsze funkcje narzędzia Checker opracowany przez Aardwolf Security posiada szereg praktycznych możliwości: pełna obsługa IPv4 i IPv6, dynamiczne pobieranie zakresów Cloudflare w czasie rzeczywistym, raportowanie z wykorzystaniem kolorów (np. zielony = adres Cloudflare, czerwony = spoza zakresu), obsługa błędów w przypadku niepoprawnych formatów IP, kody wyjścia umożliwiające in...