ING Bank Śląski ukarany rekordową grzywną

UODO przeprowadził kontrolę dotyczącą przetwarzania danych klientów oraz potencjalnych klientów banku, skupiając się na skanach dokumentów tożsamości. Kontrola objęła m.in. analizę podstaw prawnych przetwarzania danych, zakres zbieranych informacji oraz cel i sposób ich udostępniania.

Skanowanie dokumentów nie było potrzebne

Stwierdzono, że od 1 kwietnia 2019 r. do 23 września 2020 r. ING Bank Śląski skanował dokumenty tożsamości, często bez związku z obowiązkami wynikającymi z ustawy AML (o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu). Po nowelizacji ustawy z 13 lipca 2018 r., bank wdrożył procedury wymagające skanowania dokumentów w wielu sytuacjach, nawet tych niezwiązanych z obowiązkami wynikającymi z obowiązującego prawa.

Bank nie przeprowadzał indywidualnej analizy ryzyka klientów ani oceny, czy przetwarzanie ich dokumentów było rzeczywiście niezbędne.

Środki bezpieczeństwa tylko po ocenie ryzyka

UODO przypomniał bankom, że tylko po indywidualnej ocenie ryzyka można podjąć adekwatne środki bezpieczeństwa finansowego wymagane przez przepisy AML, a dopiero ich niezbędność uprawnia do skanowania dokumentów tożsamości klientów.