Wojewódzki Sąd Administracyjny w Warszawie utrzymał 18 416 400 zł kary dla ING Banku Śląskiego za skanowanie dowodów osobistych bez sprawdzenia, czy skan jest potrzebny, nawet przy reklamacji bankomatu. Według UODO taki skan dowodu osobistego narusza RODO, a przepisy, na które powołał się urząd, obowiązują każdy bank. Sąd oddalił skargę banku 23 października 2026 roku, a UODO ogłosił wyrok 2 listopada. Wyrok jest nieprawomocny, bo bankowi przysługuje skarga kasacyjna do Naczelnego Sądu Administracyjnego. Rzecznik ING zapowiedział w rozmowie z PAP, że bank zaskarży rozstrzygnięcie. Sprawa dotyczy lat 2019–2020. Stan na 2 listopada 2026 roku, godz. 16:40, według komunikatów UODO, decyzji DKN.5112.6.2020 i relacji PAP.
Co orzekł sąd w sprawie ING i co z tego wynika dla klienta
WSA uznał, że kara nałożona przez Prezesa UODO Mirosława Wróblewskiego jest zasadna, i oddalił skargę banku. Urząd ogłosił to w komunikacie z 2 listopada 2026 roku. Decyzja zapadła 23 lipca 2025 roku, a UODO opisał ją publicznie 26 sierpnia 2025 roku. W bazie orzeczeń urzędu wciąż ma status “nieprawomocna”, bo spór trwa.
Uzasadnienia wyroku WSA nie znaleźliśmy, a UODO nie podał jego sygnatury. Nie wiemy więc, którymi argumentami banku sąd zajął się dokładnie. Znamy za to pełną treść decyzji, z której pochodzą szczegóły opisane niżej.
Klient ING nie musi dziś niczego robić. UODO nie stwierdził, żeby klienci ponieśli szkodę. Postępowanie dotyczyło bezprawnego pozyskiwania skanów, o wycieku danych komunikaty UODO nie wspominają. Urząd nie nakazał też bankowi usuwania nadmiarowych skanów. W pkt 70 decyzji wyjaśnił, że przepisy przewidują sytuacje, w których bank może kopiować dokumenty, a także okres ich przechowywania.
Na zdjęciu wyróżniającym: oddział ING Banku Śląskiego w Tarnowskich Górach. Fot. Gabriel Wilk, Wikimedia Commons, licencja CC BY-SA 4.0.
Za co UODO ukarał ING: skanowanie przy reklamacji bankomatu
ING Bank Śląski od 1 kwietnia 2019 roku do 23 września 2020 roku skanował dokumenty tożsamości klientów i osób, które dopiero mogły nimi zostać. Wcześniej, przed nowelizacją ustawy AML z 13 lipca 2018 roku, bank dokumentów nie kopiował. Po zmianie przepisów uznał, że w każdym przypadku opisanym w jego procedurach trzeba zeskanować dokument. Według komunikatu UODO bank w wielu sytuacjach uzależniał od skanu wykonanie czynności dla klienta.
Decyzja opisuje konkretny przypadek z protokołu kontroli (pkt 13). Osoba korzystała z bankomatu w placówce i chciała zgłosić reklamację jego działania. Pracownik poinformował ją, że przed przyjęciem reklamacji wymagany jest skan dokumentu tożsamości. Skan usunięto z systemu dopiero wtedy, gdy okazało się, że ta osoba nie jest klientem banku.
UODO uznał, że bank nie oceniał ryzyka indywidualnie, dla danego klienta i jego sprawy. Naruszył przez to art. 5 ust. 1 lit. a, b i c oraz art. 6 ust. 1 RODO. Skan obejmował między innymi imię i nazwisko, PESEL, wizerunek, datę urodzenia, imiona rodziców, nazwisko rodowe oraz serię i numer dokumentu. Przy wysokości kary urząd wziął pod uwagę skalę: według raportów banku w 2020 roku ING miał 4,72 mln klientów. Ile dowodów zeskanowano, urząd nie podał.
ING się z tym nie zgadza. “Bank pobierał skany dokumentów tożsamości w sytuacjach, w których było to niezbędne do realizacji obowiązków wynikających z ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu” – przekazał PAP 2 listopada rzecznik ING Banku Śląskiego Piotr Utrata.
Czy bank może skanować dowód osobisty? Co mówią przepisy
Bank może skopiować dowód osobisty na potrzeby środków bezpieczeństwa finansowego z ustawy AML. Mówi o tym art. 34 ust. 4 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Według tego przepisu instytucje obowiązane “mogą przetwarzać informacje zawarte w dokumentach tożsamości klienta i osoby upoważnionej do działania w jego imieniu oraz sporządzać ich kopie”.
W pkt 49 decyzji UODO pisze, że kopiowanie jest uprawnieniem instytucji i nie można uznać, że mają obowiązek kopiować dokumenty tożsamości. Każda decyzja o skanie ma być poprzedzona sprawdzeniem, czy jest naprawdę niezbędny. Prawo bankowe w art. 112b pozwala bankom przetwarzać dane z dokumentów tożsamości. Według stanowiska UODO z 2022 roku nie oznacza to prawa do robienia kopii, bo “najczęściej bowiem wystarczające jest okazanie dokumentu tożsamości do wglądu”.
Środki bezpieczeństwa finansowego bank stosuje w sytuacjach wymienionych w art. 35 ustawy AML. Najważniejsze dla zwykłego klienta to:
- nawiązanie stosunków gospodarczych, czyli na przykład otwarcie konta albo zawarcie umowy;
- transakcja okazjonalna o równowartości co najmniej 15 000 euro;
- transakcja okazjonalna będąca przelewem na kwotę powyżej równowartości 1000 euro;
- podejrzenie prania pieniędzy lub finansowania terroryzmu;
- wątpliwości, czy dane klienta są prawdziwe i kompletne;
- u stałego klienta między innymi zmiana jego danych albo charakteru współpracy z bankiem.
Nawet wtedy skan nie jest automatyczny. Bank najpierw ocenia ryzyko i dopiero od wyniku tej oceny zależy, jakie środki zastosuje. Dowód zawiera też więcej danych, niż potrzeba do identyfikacji, na przykład zdjęcie, podpis czy imiona rodziców (pkt 48 decyzji). RODO wymaga, żeby dane były “ograniczone do tego, co niezbędne do celów, w których są przetwarzane”.
Bank prosi o skan dowodu osobistego: co możesz zrobić
Możesz zapytać, po co bankowi skan i na jakiej podstawie go robi. Bank ma odpowiedzieć konkretnie, a nie ogólnym hasłem o RODO. Przy otwieraniu konta albo przy transakcji okazjonalnej bank musi cię wcześniej poinformować o przetwarzaniu danych (art. 34 ust. 5 ustawy AML). Gdy uważasz, że skan jest zbędny, kolejność jest taka:
- Zapytaj pracownika, w jakiej sytuacji z ustawy AML bank żąda kopii i czy wystarczy okazanie dowodu do wglądu.
- Napisz do inspektora ochrony danych banku. Jego adres jest w klauzuli informacyjnej, a RODO pozwala kontaktować się z nim “we wszystkich sprawach związanych z przetwarzaniem” twoich danych.
- Skorzystaj z prawa dostępu z art. 15 RODO: zapytaj, czy bank przechowuje skan twojego dokumentu, i poproś o kopię swoich danych. Administrator ma na odpowiedź miesiąc, który może przedłużyć o dwa miesiące, jeśli poinformuje cię o przyczynie.
- Jeśli odpowiedź cię nie przekonuje, złóż skargę do Prezesa UODO, papierowo albo elektronicznie. Dołącz korespondencję z bankiem.
Jeśli sytuacja naprawdę wymaga środków bezpieczeństwa finansowego, a bank nie może ich zastosować, art. 41 ustawy AML każe mu nie nawiązywać współpracy albo nie przeprowadzać transakcji. Przy otwieraniu konta odmowa może więc skończyć się tym, że konta nie dostaniesz. Przy zwykłej reklamacji bankomatu takiego argumentu bank nie ma.
W skardze nie możesz żądać nałożenia kary na bank, bo o tym decyduje wyłącznie Prezes UODO. Odszkodowania możesz dochodzić tylko przed sądem cywilnym, nie w postępowaniu przed urzędem.
Kserowanie dowodu osobistego poza bankiem: hotel, sklep, wypożyczalnia
Kopię dowodu na podstawie ustawy AML mogą robić tylko instytucje obowiązane. UODO wymienia wśród nich banki, fundusze inwestycyjne, kantory i notariuszy przy określonych czynnościach w formie aktu notarialnego. Hotel, wypożyczalnia czy sklep internetowy tej podstawy nie mają. Jeśli chcą kopii, muszą ją uzasadnić innym przepisem albo zasadami RODO, w tym minimalizacją danych.
Ustawa o dowodach osobistych nie zawiera ogólnego zakazu kserowania dowodu, choć w wyszukiwarce często pada pytanie o taki przepis. Karze za to zatrzymywanie dowodu: art. 79 przewiduje karę ograniczenia wolności albo grzywny dla tego, kto “zatrzymuje bez podstawy prawnej cudzy dowód osobisty”.
Sam fakt, że ktoś ma skan twojego dowodu, nie jest jeszcze powodem do unieważniania dokumentu. Według art. 48a ustawy o dowodach osobistych zgłoszenie podejrzenia nieuprawnionego wykorzystania danych składa się w celu unieważnienia dowodu, więc potem trzeba wyrobić nowy. To krok na sytuację, w której masz podstawy podejrzewać, że ktoś użył twoich danych. Różnice między zastrzeżeniem a unieważnieniem opisujemy w tekście o tym, jak zastrzec dowód osobisty. Lżejszą ochroną na co dzień jest zastrzeżenie numeru PESEL, które utrudnia wzięcie kredytu na twoje dane.
FAQ
Czy bank może zeskanować dowód osobisty bez mojej zgody?
Skan w ramach ustawy AML nie opiera się na twojej zgodzie, tylko na przepisie. Bank może go zrobić, gdy stosuje środki bezpieczeństwa finansowego, na przykład przy otwieraniu konta, i gdy jego ocena ryzyka uzasadnia kopię. Przy sprawach bez związku z tą ustawą, takich jak reklamacja bankomatu, UODO uznał skan za bezprawny.
Gdzie zgłosić skargę do UODO na kopiowanie dowodu?
Przed skargą najlepiej zgłosić bankowi albo jego inspektorowi ochrony danych konkretne żądanie. UODO podkreśla, że bez tego nie może nakazać spełnienia żądania, na przykład dostępu do danych albo ich usunięcia. Skargę złożysz w siedzibie urzędu przy ul. Moniuszki 1A w Warszawie, pocztą albo elektronicznie na adres do e-Doręczeń AE:PL-67085-31860-RWFHC-35. Uważaj przy tym na fałszywe pisma podszywające się pod UODO.
Podsumowanie
WSA w Warszawie 23 października 2026 roku utrzymał karę 18 416 400 zł dla ING Banku Śląskiego. Prezes UODO nałożył ją za skanowanie dowodów osobistych bez analizy, czy skan jest potrzebny. Wyrok jest nieprawomocny, bank zapowiada skargę kasacyjną do NSA, a uzasadnienia sądu jeszcze nie znamy. Sprawa dotyczy lat 2019–2020, a UODO nie stwierdził szkody klientów. Decyzja dotyczy ING, ale jej wnioski są ważne dla klientów każdego banku. Skan dowodu osobistego jest dopuszczalny wtedy, gdy wymagają tego środki bezpieczeństwa z ustawy AML i ocena ryzyka, na przykład przy otwieraniu konta. Przy zwykłej reklamacji jest zbędny. Gdy bank prosi o skan, zapytaj o podstawę i o to, czy wystarczy okazanie dokumentu. Jeśli odpowiedź cię nie przekona, napisz do inspektora ochrony danych, a potem złóż skargę do UODO.
.jpg){kind=link}