Urząd Ochrony Danych Osobowych (UODO) nałożył na ING Bank Śląski rekordową karę w wysokości 18,4 mln zł za bezpodstawne skanowanie dowodów osobistych klientów i osób potencjalnie zainteresowanych usługami banku.
Dlaczego bank został ukarany?
Od 1 kwietnia 2019 r. do 23 września 2020 r. bank regularnie kopiował dokumenty tożsamości klientów, nie dokonując analizy celowości ani indywidualnej oceny ryzyka. Kopie były wykonywane nawet w sytuacjach całkowicie niezwiązanych z obowiązkami wynikającymi z ustawy AML (o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu). Przykładem może być zwykła reklamacja dotycząca bankomatu.
Naruszenie RODO i zasad przetwarzania danych
Zgodnie z przepisami RODO, bank jako administrator danych powinien wykazać, że gromadzenie i przetwarzanie danych osobowych jest niezbędne oraz zgodne z prawem. W tym przypadku doszło do złamania podstawowych zasad:
-
legalności i celowości (art. 6 RODO),
-
minimalizacji danych (art. 5 ust. 1 lit. c RODO),
-
rzetelności i przejrzystości (art. 5 ust. 1 lit. a RODO).
Zakres pozyskiwanych danych obejmował m.in. imię, nazwisko, numer PESEL, serię i numer dokumentu, wizerunek, datę urodzenia czy imiona rodziców. Tak szeroki zestaw informacji niesie ogromne ryzyko kradzieży tożsamości czy wyłudzeń finansowych.
Brak podejścia opartego na ryzyku
Zgodnie z ustawą AML instytucje obowiązane (np. banki) mogą kopiować dokumenty tożsamości tylko wtedy, gdy rzeczywiście jest to uzasadnione w kontekście przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu. W omawianym przypadku ING Bank Śląski przyjął procedury, które nakazywały skanowanie dokumentów w sposób masowy, bez indywidualnej oceny sytuacji klienta.
Konsekwencje dla klientów i rynku
Choć nie stwierdzono szkód bezpośrednio po stronie klientów, Prezes UODO wskazał, że praktyka banku miała charakter masowy i długotrwały – obejmowała setki tysięcy osób w okresie 18 miesięcy. Kara w wysokości 18,4 mln zł ma charakter odstraszający i proporcjonalny, a jednocześnie stanowi jasny sygnał dla całego sektora finansowego, że ochrona danych osobowych klientów to obowiązek, a nie formalność.
Co to oznacza dla firm i klientów?
-
Każde przetwarzanie danych musi być poprzedzone analizą ryzyka i oceną niezbędności.
-
Banki i instytucje finansowe nie mogą kopiować dokumentów „na zapas”.
-
Odpowiedzialność administratorów danych rośnie wraz ze skalą działalności i liczbą obsługiwanych klientów.
🔒 Jeśli prowadzisz firmę i chcesz mieć pewność, że Twoje procedury RODO i AML są zgodne z prawem – skontaktuj się ze mną.
Pomogę Ci wdrożyć odpowiednie polityki bezpieczeństwa, przeprowadzić analizę ryzyka i uniknąć kar ze strony UODO.
Komentarze
Prześlij komentarz