Wojewódzki Sąd Administracyjny w Warszawie podtrzymał decyzję Prezesa UODO Mirosława Wróblewskiego nakładającą karę w wysokości ponad 18,4 mln zł na ING Bank Śląski. Sprawa związana jest z przetwarzaniem danych osobowych klientów. Bank już zapowiedział kolejne kroki.
- W poniedziałek UODO poinformował, że Wojewódzki Sąd Administracyjny oddalił skargę ING Bank Śląski, utrzymując tym samym w mocy decyzję Prezesa UODO o nałożeniu kary wynoszącej ponad 18 mln zł.
- „Prezes UODO uznał, że bank nie dokonywał indywidualnej oceny ryzyka wiążącego się z danym klientem i podejmowanymi przez niego działaniami” – czytamy w oświadczeniu na stronie UODO.
- ING Bank Śląski zamierza zaskarżyć decyzję UODO. „Podkreślamy, że ING Bank Śląski przestrzega obowiązujących przepisów prawa oraz zasad compliance” – poinformował rzecznik banku w rozmowie z PAP.
W sierpniu ubiegłego roku prezes Urzędu Ochrony Danych Osobowych (UODO) Mirosław Wróblewski postanowił nałożyć na ING Bank Śląski ponad 18,4 mln zł kary. Kontrola wykazała bowiem, że bank w „ramach identyfikacji klientów lub potencjalnych klientów skanował ich dokumenty tożsamości”. W ten sposób naruszył rozporządzenie o danych osobowych (RPDO).
W poniedziałek UODO poinformował, że zdanie to podzielił Wojewódzki Sąd Administracyjny, który oddalił skargę banku, utrzymując tym samym w mocy decyzję Prezesa UODO. Od wyroku przysługuje skarga kasacyjna do Naczelnego Sądu Administracyjnego.
„Prezes UODO uznał, że bank nie dokonywał indywidualnej oceny ryzyka wiążącego się z danym klientem i podejmowanymi przez niego działaniami. Dokumenty tożsamości skanowane były także w przypadkach niewiążących się z realizacją obowiązków określonych przepisami ustawy AML (np. przy reklamacji dotyczącej bankomatu)” – czytamy w oświadczeniu na stronie UODO.
Może cię zainteresować:
Urząd wyjaśnia, że skanowanie dokumentów tożsamości na mocy ustawy AML jest dozwolone jedynie wtedy, gdy wiąże się z koniecznym z punktu widzenia tej ustawy zastosowaniem środków bezpieczeństwa finansowego mających na celu przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu.
Czytaj także: Chaos wokół TK. Premier Tusk sugeruje „proste rozwiązanie konfliktu”
„Zadaniem banku jest przeprowadzenie indywidualnej oceny ryzyka prania pieniędzy i finansowania terroryzmu i zaprojektowanie środków bezpieczeństwa odpowiednich do jej wyniku (podejście oparte na ryzyku). Dopiero, jeśli instytucja obowiązana wykaże, że w celu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu konieczne jest stosowanie środków bezpieczeństwa finansowego wiążące się z przetwarzaniem informacji zawartych w dokumentach tożsamości oraz sporządzaniem ich kopii (skanów), wtedy ma prawo żądać ich wykonania” – podkreśla UODO.
Uzasadnienie wysokiej kary
„Określając wysokość kary Prezes Urzędu Ochrony Danych Osobowych wziął pod uwagę, że bank przetwarza dane na masową skalę. A w takiej sytuacji od administratora wymagany jest wyższy poziom należytej staranności, gdyż przetwarzanie może powodować negatywne konsekwencje dla wielu osób. Ponadto, Prezes UODO podkreślił, że od instytucji takiej jak bank należy oczekiwać profesjonalizmu w kwestii przetwarzania danych osobowych. Prezes UODO uznał więc, że administracyjna kara pieniężna w wysokości 18 416 400 zł będzie w tym wypadku skuteczna, proporcjonalna i odstraszająca” – dodano w oświadczeniu UODO.
Reakcja banku
Jeszcze w ubiegłym roku ING Bank Śląski zapowiedział, że zamierza zaskarżyć decyzję UODO. Powodem skanowania miały być wymogi ustawy o przeciwdziałaniu pieniędzy. Bank zapewniał wtedy, że w pełni współpracował z prezesem UODO na każdym etapie postępowania. Jak zaznaczał, decyzja prezesa odnosiła się do praktyki skanowania dowodów osobistych w okresie od kwietnia 2019 r. do września 2020 r.
Czytaj także: Domański spróbuje przerwać impas w NBP. „Będę rozmawiał z premierem”
W rozmowie z PAP, rzecznik banku, Piotr Utrata, przekazał, że instytucja zamierza zaskarżyć tę decyzję. „Bank pobierał skany dokumentów tożsamości w sytuacjach, w których było to niezbędne do realizacji obowiązków wynikających z ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Wszystkie zebrane skany są wykorzystywane wyłącznie w tym celu. Podkreślamy, że ING Bank Śląski przestrzega obowiązujących przepisów prawa oraz zasad compliance” – poinformował.
Nie pierwsza tak wysoka kara
Przypomnijmy, że w lutym tego roku prezes UODO nałożył na DPD Polska ponad 11 mln zł kary. Spółka DPD Polska sp. z o.o. korzystała z usług transportowych zewnętrznych przewoźników bez uprzedniego zawarcia z nimi umów powierzenia przetwarzania danych osobowych – ustalił Wróblewski.
"W DPD z należytą starannością podchodzimy do jakości i bezpieczeństwa naszych usług oraz ochrony danych powiązanych z tymi procesami.
Obecnie analizujemy otrzymaną decyzję prezesa UODO. Zależy nam na rzetelnym wyjaśnieniu sprawy i wykazaniu, że nasze rozwiązania i procedury spełniają wszystkie normy bezpieczeństwa ochrony danych osobowych" – przekazało wówczas portalowi Zero.pl DPD Polska, odnosząc się do werdyktu UODO.