Kara UODO dla ING: sąd o skanach dowodów

Wojewódzki Sąd Administracyjny w Warszawie zajął się karą UODO w wysokości **18 416 400 zł**, nałożoną na ING Bank Śląski za skanowanie dokumentów tożsamości. 23 października 2026 r. sąd oddalił skargę banku, o czym urząd poinformował w **komunikacie UODO** z 2 listopada. Wyrok nie kończy jeszcze sprawy, bo przysługuje od niego skarga kasacyjna do Naczelnego Sądu Administracyjnego. Komunikat nie podaje sygnatury wyroku ani jego motywów.

Decyzja UODO o sygnaturze DKN.5112.6.2020 zapadła 23 lipca 2025 r. Jej zanonimizowaną treść można przeczytać w **bazie orzeczeń UODO**. Dotyczy okresu od 1 kwietnia 2019 r. do 23 września 2020 r., a urząd kontrolował bank już w lutym 2020 r.

Ta sprawa nie dotyczy wycieku danych. Nikt nie włamał się do systemów banku, a w decyzji zapisano, że nie stwierdzono szkody po stronie klientów. Według decyzji problem polegał na tym, że bank zbierał kopie dokumentów częściej, niż pozwalało prawo. Dlatego opisujemy ją w Aktualnościach, a nie jako zdarzenie w rejestrze.

Ustawa o przeciwdziałaniu praniu pieniędzy (AML) w art. 34 ust. 4 pozwala bankom sporządzać kopie dokumentów tożsamości na potrzeby środków bezpieczeństwa finansowego. Prezes UODO podkreślił, że to **uprawnienie, a nie obowiązek**. Każdą decyzję o skanowaniu powinna poprzedzać analiza, czy w danej sytuacji kopia jest rzeczywiście potrzebna.

Według ustaleń urzędu bank przed nowelizacją ustawy AML z 13 lipca 2018 r. nie kopiował dokumentów, a później zmienił procedury. Przyjął, że w każdym wskazanym w nich przypadku należy wykonać skan, i często uzależniał od tego wykonanie czynności. W decyzji opisano osobę, która chciała złożyć reklamację bankomatu w placówce: najpierw usłyszała, że potrzebny jest skan dokumentu. Skan usunięto dopiero po ustaleniu, że nie jest klientem banku.

Urząd uznał, że bank przetwarzał te dane bez podstawy prawnej i naruszył **art. 5 ust. 1 lit. a, b i c oraz art. 6 ust. 1 RODO**. Przy wymiarze kary wziął pod uwagę masową skalę przetwarzania i profesjonalny charakter banku. Bank zmienił praktykę: od 23 września 2020 r. ograniczył skanowanie do przypadków związanych z ustawą AML, a od 14 marca 2022 r. wprowadził kolejne zmiany.

Skan dowodu to komplet danych w jednym pliku. Decyzja wymienia m.in. imię i nazwisko, numer PESEL, wizerunek, datę urodzenia, imiona rodziców, nazwisko rodowe oraz serię i numer dokumentu. Urząd wskazał, że PESEL wraz z imieniem i nazwiskiem pozwala przypisać konkretnej osobie skutki takie jak kradzież tożsamości czy wyłudzenie pożyczki.

Stąd praktyczne znaczenie tej sprawy dla rejestru. Im mniej zbędnych kopii powstaje, tym mniej dokumentów może później wyciec. Dane z dokumentów tożsamości pojawiają się w opisanych u nas zdarzeniach, między innymi w wycieku danych z Cyfrowego Polsatu.

Uczciwie: **kara trafia do budżetu państwa, a nie do klientów**. Ani decyzja UODO, ani wyrok WSA nie rozstrzygają o odszkodowaniu, bo takie spory należą do sądu cywilnego. Sprawa nie oznacza też, że każda prośba banku o skan jest bezprawna, ponieważ ustawa AML dopuszcza kopiowanie w sytuacjach, które opisuje.

Gdy bank prosi o kopię dokumentu, można zapytać, w jakim celu i na jakiej podstawie to robi. Art. 15 RODO pozwala też sprawdzić, jakie dane o nas przetwarza, w tym czy ma skan dowodu; odpowiedź zasadniczo powinna przyjść w ciągu miesiąca. Skarga do UODO jest dostępna, gdy ktoś uważa, że jego dane przetwarzano bez podstawy prawnej. Służy wymuszeniu przestrzegania przepisów, a nie uzyskaniu pieniędzy.