Sąd potwierdza zasadność kary

Stołeczny organ orzekający wydał 23 października 2026 r. wyrok, w którym nie uwzględnił argumentów przedstawionych przez ING Bank Śląski. W mocy pozostaje tym samym decyzja wydana przez Prezesa Urzędu Ochrony Danych Osobowych Mirosława Wróblewskiego. Na instytucję nałożono sankcję finansową w wysokości 18 416 400 zł za niewłaściwe praktyki w gromadzeniu kopii dokumentów tożsamości. Rozstrzygnięcie jest nieprawomocne, a bank zapowiedział już złożenie skargi kasacyjnej do Naczelnego Sądu Administracyjnego.

Przyczyny nałożenia sankcji

Przeprowadzona przez urząd kontrola wykazała, że w okresie od kwietnia 2019 r. do września 2020 r. instytucja stosowała wewnętrzne procedury wymuszające automatyczne pozyskiwanie skanów dokumentów. Według ustaleń nadzorcy, kopiowano dowody nawet wtedy, gdy nie wynikało to z przepisów ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu, jako przykład podając procedurę obsługi reklamacji w bankomatach.

Okres, którego dotyczyły nieprawidłowości, to kwiecień 2019 r. – wrzesień 2020 r., w którym bank masowo pobierał kopie dokumentów bez indywidualnej oceny ryzyka. W opinii regulatora brak zindywidualizowanej analizy ryzyka dla poszczególnych działań doprowadził do naruszenia zasad ograniczenia celu oraz minimalizacji danych zawartych w RODO.

Podejście oparte na ryzyku

Szef UODO podkreślił, że przepisy AML nie stanowią dla banków podstawy do nieograniczonego kopiowania dokumentacji. Podmioty te muszą kierować się zasadą proporcjonalności i każdorazowo oceniać niezbędność swoich działań. W przypadku ING Banku Śląskiego, biorąc pod uwagę masową skalę operacji, wymagano wyższego poziomu staranności. Urząd zaznaczył jednocześnie, że chociaż w toku postępowania nie wykazano, by klienci ponieśli konkretną szkodę, nałożona kara ma pełnić funkcję odstraszającą i proporcjonalną.

Stanowisko banku

Rzecznik ING Banku Śląskiego Piotr Utrata przekazał, że instytucja zamierza skarżyć orzeczenie. Bank utrzymuje, że pobieranie skanów dokumentów było konieczne do wypełnienia obowiązków wynikających z ustawy AML, a wszystkie zgromadzone informacje były wykorzystywane wyłącznie w tym celu zgodnie z wewnętrznymi zasadami compliance.