Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę ING Banku Śląskiego na decyzję Prezesa UODO nakładającą 18 416 400 zł kary. Sprawa dotyczyła kopiowania dokumentów tożsamości klientów i potencjalnych klientów bez odpowiedniego uzasadnienia. Od wyroku bankowi przysługuje skarga kasacyjna do Naczelnego Sądu Administracyjnego.
Wyrok zapadł 23 października 2026 r. Jak poinformował UODO, sąd podzielił stanowisko organu nadzorczego, który zakwestionował praktykę skanowania dokumentów tożsamości przez bank. Według urzędu ING Bank Śląski uzasadniał te działania przepisami ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu, nie przeprowadzając indywidualnej oceny ryzyka związanego z danym klientem i podejmowanymi przez niego czynnościami.
Podczas kontroli UODO sprawdził podstawę prawną przetwarzania danych, ich zakres i rodzaj, a także cel zbierania i udostępniania. Ustalono, że przed wejściem w życie znowelizowanych przepisów ustawy AML, czyli przed 13 lipca 2018 r., bank nie kopiował dokumentów tożsamości klientów. Po zmianie przepisów zmodyfikował jednak procedury i praktykę działania.
W procedurach przyjęto, że w określonych w nich przypadkach skanowanie dokumentu tożsamości jest konieczne. Jak podał UODO, bank niejednokrotnie uzależniał od tego wykonanie czynności na rzecz klienta. Dokumenty skanowano również w sprawach niezwiązanych z obowiązkami wynikającymi z ustawy AML, m.in. przy reklamacji dotyczącej bankomatu.
Prezes UODO wskazał, że powołanie się na przepisy ustawy AML nie uzasadnia automatycznie kopiowania dokumentów. Bank powinien najpierw indywidualnie ocenić ryzyko prania pieniędzy i finansowania terroryzmu, a następnie dobrać odpowiednie środki bezpieczeństwa finansowego. Prawo do żądania kopii dokumentu powstaje wtedy, gdy instytucja wykaże, że jest to konieczne do realizacji tych obowiązków.
W ocenie organu nadzorczego ING Bank Śląski bezpodstawnie przetwarzał dane obecnych i potencjalnych klientów, skanując dokumenty w sytuacjach niepowiązanych z obowiązkami wynikającymi z ustawy AML. Prezes UODO stwierdził naruszenie art. 5 ust. 1 lit. a, b i c oraz art. 6 ust. 1 RODO.
Ustalając wysokość kary, urząd uwzględnił masową skalę przetwarzania danych przez bank i związane z nią możliwe konsekwencje dla wielu osób. Podkreślił również, że od banku należy oczekiwać profesjonalizmu i podwyższonej staranności w ochronie danych osobowych. Uznał, że kara w wysokości ponad 18,4 mln zł będzie skuteczna, proporcjonalna i odstraszająca. WSA podtrzymał tę ocenę, oddalając skargę banku.
