ING Bank Śląski utrzymuje karę 18,4 mln zł po wyroku WSA w sprawie danych klientów
Warszawski sąd administracyjny podtrzymuje decyzję prezesa UODO wobec ING Banku Śląskiego w sprawie przetwarzania danych ze skanów dokumentów tożsamości. Nieprawomocny wyrok oznacza utrzymanie kary przekraczającej 18,4 mln zł, a bank zapowiada wniesienie skargi kasacyjnej.
Najważniejsze
- ING Bank Śląski otrzymuje karę 18,416,400 zł od UODO za nieprawidłowe przetwarzanie i skanowanie danych osobowych klientów poza zakresem AML.
- Wojewódzki Sąd Administracyjny w Warszawie 23 października 2026 r. utrzymuje decyzję UODO, oddalając skargę banku; możliwa skarga kasacyjna.
- Praktyki objęte karą dotyczą okresu kwiecień 2019–wrzesień 2020, a bank zapowiada zaskarżenie rozstrzygnięcia, twierdząc, że działał zgodnie z ustawą AML.
Podstawa kary i stanowisko regulatora
Jak podaje TVN24 Biznes, powołując się na UODO, sprawa wynika z kontroli przeprowadzonej w ING Banku Śląskim, która obejmowała podstawę prawną przetwarzania danych, ich zakres i rodzaj oraz cele zbierania i udostępniania informacji.Urząd wskazuje, że przed wejściem w życie znowelizowanych przepisów ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu, czyli przed 13 lipca 2018 r., bank nie kopiował dokumentów tożsamości klientów. Po zmianie przepisów bank zmienia jednak procedury i uznaje, że w przewidzianych przypadkach konieczne jest wykonywanie skanu dokumentu tożsamości, a czasem uzależnia od jego przekazania wykonanie określonej czynności na rzecz klienta.
Według prezesa UODO bank powołuje się na ustawę AML, ale nie przeprowadza odpowiedniej analizy celowości takich działań. Organ uznaje też, że bank nie dokonuje indywidualnej oceny ryzyka związanego z konkretnym klientem i jego działaniami, a dokumenty są skanowane także w sytuacjach niezwiązanych z obowiązkami AML, w tym przy składaniu reklamacji dotyczącej bankomatu.
UODO podkreśla, że skanowanie dokumentów tożsamości przez instytucje obowiązane jest legalne tylko wtedy, gdy pozostaje konieczne z punktu widzenia środków bezpieczeństwa finansowego służących przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu. Dopiero po wykazaniu takiej konieczności instytucja ma prawo żądać przetwarzania informacji z dokumentów tożsamości i sporządzania ich kopii.
Skala sankcji i dalsze kroki banku
Przy ustalaniu wysokości sankcji prezes UODO bierze pod uwagę masową skalę przetwarzania danych przez bank oraz profesjonalny charakter jego działalności. W ocenie organu od instytucji finansowej należy oczekiwać podwyższonego poziomu staranności przy przetwarzaniu i zabezpieczaniu danych osobowych, dlatego kara 18 416 400 zł ma być skuteczna, proporcjonalna i odstraszająca.UODO informuje, że Wojewódzki Sąd Administracyjny w Warszawie 23 października 2026 r. oddala skargę banku i utrzymuje w mocy decyzję prezesa urzędu. Od tego wyroku przysługuje jeszcze skarga kasacyjna do Naczelnego Sądu Administracyjnego.
Rzecznik ING Banku Śląskiego Piotr Utrata przekazuje, że bank zamierza zaskarżyć rozstrzygnięcie. Bank utrzymuje, że pobierał skany dokumentów tożsamości wyłącznie wtedy, gdy było to niezbędne do realizacji obowiązków wynikających z ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, a wszystkie zebrane skany były wykorzystywane tylko w tym celu.
W sierpniu ubiegłego roku rzecznik banku wskazywał, że decyzja prezesa UODO dotyczy praktyki skanowania dowodów osobistych w okresie od kwietnia 2019 r. do września 2020 r. Podkreślał także, że bank współpracował z organem na każdym etapie postępowania.
W naszym wcześniejszym artykule o karach UOKiK dla banków opisaliśmy sankcje nałożone na PKO BP, mBank, ING Bank Śląski i Bank Millennium za sposób prezentowania warunków kredytów, który miał wprowadzać klientów w błąd co do rzeczywistych kosztów finansowania. Zwracaliśmy uwagę, że zastrzeżenia dotyczyły m.in. niejasnych informacji o oprocentowaniu i dodatkowych opłatach, a bankom przysługiwała droga odwoławcza. Materiał pokazywał rosnącą presję regulacyjną na sektor w zakresie przejrzystości wobec klientów.