WSA uchyla decyzję wobec Banku nakazującą usunięcie skanu dowodu osobistego

Jak wiemy przetwarzanie danych osobowych w relacjach finansowych nie jest prostym zagadnieniem. 

W tej sprawie Obywatel złożył skargę do Prezesa UODO w zakresie:

na nieprawidłowości w procesie przetwarzania jego danych osobowych przez […] Bank S.A., polegające na przetwarzaniu jego danych osobowych utrwalonych w dniu […] maja 2022 r. w skanie jego dowodu osobistego bez podstawy prawnej oraz na niespełnieniu żądania usunięcia ww. danych osobowych

Prezes UODO w uzasadnieniu wskazał, że w dniu […] maja 2022 r. podczas wizyty w placówce spółki, zażądała ona od wnioskodawcy zgody na wykonanie skanu jego dowodu osobistego pod rygorem odmowy realizacji dyspozycji wypłaty gotówki.

Spółka wskazała, że pozyskała dane osobowe wnioskodawcy bezpośrednio od niego w związku z zawarciem w dniu […] lipca 2005 r. z poprzednikiem prawnym spółki, tj. Bankiem […] umowy o prowadzenie rachunku oszczędnościowo – rozliczeniowego o wskazanym numerze.

Spółka wskazała, że od dnia fuzji operacyjnej z Bankiem […], tj. od […] marca 2017 r., dane osobowe wnioskodawcy nie były zweryfikowane wraz ze skanem dowodu osobistego.

Zgodnie z wyjaśnieniami spółki, w dniu […] grudnia 2020 r. skarżący odbył wizytę w oddziale spółki w celu złożenia dyspozycji wypłaty środków pieniężnych z rachunku bankowego w wysokości 12 000 PLN.

W związku z tym, przy pierwszej wizycie wnioskodawcy w oddziale spółki pracownik przystąpił do identyfikacji wymienionego zgodnie z przyjętą procedurą, a w momencie zidentyfikowania braku skanu dokumentu tożsamości, miał obowiązek pozyskać do skarżącego skan dokumentu.

Spółka wskazała, że data ważności dokumentu tożsamości, którego ww. skan pozyskała spółka upływał […] maja 2021 r. Zgodnie z wyjaśnieniami spółki, w dniu […] maja 2021 r. wnioskodawca za pośrednictwem bankowości internetowej dokonał aktualizacji danych dotyczących dokumentu tożsamości w zakresie serii, numeru dokumentu oraz daty ważności.

Spółka wskazała, że podstawą pozyskania ww. skanu dowodu osobistego skarżącego jest art. 34 ust. 4 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz. U. z 2022 r., poz. 593), zwanej dalej ustawą AML.

Spółka wskazała, że nie w każdym przypadku obsługi operacyjnej wykonuje skan dowodu osobistego.

Spółka przesłała zapisy wspomnianej instrukcji identyfikacji klienta w ww. zakresie: “Jeśli w systemie nie ma skanu dokumentu lub jest nieprawidłowy i klient nie zgadza się na jego zeskanowanie, to obsługa jest możliwa tylko w następujących przypadkach: a. Klient podczas obsługi wyłącznie: wnioskuje o realizację praw wynikających z RODO, składa reklamacje, aktualizuje zgody udzielane bankowi (marketing, BIK).

Według Prezesa UODO:

Spółka natomiast nie wykazała, że decyzja o zeskanowaniu dokumentu tożsamości skarżącego została poprzedzona analizą, czy taka czynność jest niezbędna, zgodnie z zasadami celowości i minimalizacji danych, o których mowa w art. 5 ust. 1 lit b i lit. c RODO. Organ podniósł, że Spółka nie wykazała także, że zaszła którakolwiek z przesłanek wskazanych w art. 35 ust. 1-2 ustawy AML.

Powyższe argumenty doprowadziły organ nadzorczy do podjęcia decyzji nakazującej 

Bank S.A. z siedzibą w [….] zaprzestanie przetwarzania danych osobowych A. Z., utrwalonych w dniu […] maja 2022 r. w trakcie obsługi w oddziale ww. spółki w postaci skanu dowodu osobistego.

Sąd uchylając przedmiotową decyzję wskazując:

W ocenie Sądu rozpoznającego niniejszą sprawę Prezes UODO nie przeprowadził należycie postępowania wyjaśniającego, nie podjął wszelkich niezbędnych kroków w celu dokładnego wyjaśnienia stanu faktycznego, a w konsekwencji nie zebrał w sposób wyczerpujący całego niezbędnego do rozpatrzenia tej sprawy materiału dowodowego i nie rozpatrzył go w związku z tym na gruncie wszystkich istotnych okoliczności sprawy.

Z uwagi na powyższe, za co najmniej przedwczesne uznać należało stanowisko organu co do tego, że działanie Banku polegające na pozyskaniu skanu dowodu osobistego uczestnika postępowania w dniu 18 maja 2022 r., nie było legalne. Sąd podkreśla, że na tym etapie postępowania nie przesądza w tej kwestii. Ocena zgodności z prawem przetwarzania danych osobowych uczestnika postępowania, w kwestionowany przez niego sposób, podlegać będzie ponownej ocenie organu.

Uczestnik postępowania w skardze do Prezesa UODO wskazał natomiast, że w Oddziale Banku zażądano od niego zgody na zeskanowanie dowodu osobistego i wskazano, że jeśli nie wyrazi zgody na zeskanowanie dowodu osobistego, to pracownik Banku będzie musiał odmówić wykonania jakichkolwiek czynności.

Kwestią sporną jest zatem w tej sprawie zgodność z prawem przetwarzania danych osobowych uczestnika postępowania utrwalonych przez Bank w formie skanu dowodu osobistego w dniu […] maja 2022 r. w trakcie wizyty uczestnika postępowania w Oddziale Banku w związku z dyspozycją wypłaty gotówki.

W związku z tym, że Bank w wyjaśnieniach w toku postępowania administracyjnego powołał się na art. 34 ust. 4 ustawy AML i wskazał, że utrwalenie dowodu osobistego uczestnika postępowania, w postaci skanu dokumentu, miało na celu bezpieczeństwo środków ulokowanych w Banku i zapobieżeniu działaniom na szkodę uczestnika postępowania, organ do spraw ochrony danych osobowych obowiązany był rozstrzygnąć, czy powyższe przetwarzanie danych w dniu […] maja 2022 r. istotnie znajdowało podstawę prawną w powołanym akcie prawnym i czy nie naruszało zasady celowości i minimalizacji danych, o których to zasadach jest mowa w art. 5 ust. 1 lit.b i c RODO.

Co ważne Sąd podniósł, ze:

organ nie zwrócił się do Spółki – po uzyskaniu informacji o tym, że zastosowano art. 34 ust. 4 ustawy AML (wyjaśnienia Banku z dnia […] sierpnia 2022 r.) – o dodatkowe wyjaśnienia dotyczące dokonania bądź nie, przez Bank oceny niezbędności pozyskania w tym konkretnym przypadku skanu dowodu osobistego uczestnika postępowania.

W sprawie tej nie wyjaśniono jednak, czy w tym konkretnym przypadku, dotyczącym przetwarzania danych osobowych uczestnika postępowania w dniu […] maja 2022 r. poprzez wykonanie skanu dowodu osobistego, istniały podstawy do zastosowania tego rodzaju środka bezpieczeństwa finansowego.

Warto jednak zwrócić uwagę, że nakaz co do zasady powinien być na tyle precyzyjny, aby po stronie administratora nie powstawały wątpliwości co do samego rozumienia zwrotu “zaprzestanie przetwarzania danych osobowych”, a w konsekwencji wątpliwości, co do sposobu wykonania decyzji.