Decyzja Prezesa UODO o ukaraniu jednego z Banków na nowo rozgrzała dyskusję, co do interpretacji przepisów ustawy przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Organ nadzorczy wskazał w sentencji decyzji, że stwierdzone naruszenie trwało od od 1 kwietnia 2019 r. do 23 września 2020 r.  i polegało na przetwarzaniu bez podstawy prawnej danych osobowych: pozyskiwanych poprzez dokonywanie kopii (skanów) dokumentów tożsamości klientów i potencjalnych klientów bez odpowiedniej weryfikacji, czy w danym przypadku działania takie są uzasadnione wymogiem stosowania przez ten podmiot środków bezpieczeństwa finansowego na podstawie ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu[1] (w związku ze stosowaniem których instytucje obowiązane mogą korzystać z uprawnienia z art. 34 ust. 4 tej ustawy) Prezesa Urzędu Ochrony Danych Osobowych (zwanego dalej „Prezesem UODO” lub „organem nadzorczym”), dokonali od 3 do 6 lutego 2020 r. czynności kontrolnych. Z czynności tych sporządzono protokół, zwany dalej: „Protokołem kontroli”, do którego załączono obszerną dokumentację (w aktach oznaczoną jako załączniki). Protokół ten został podpisany 6 lutego 2020 r. przez osobę reprezentującą Bank, przy czym nie wniosła ona do niego żadnych zastrzeżeń. Prezes UODO uzasadnił decyzję wskazując, że: Procedury Banku oraz instrukcje przekazywane pracownikom Banku poprzez Intranet nie tylko pozostają w pewnych zakresach niespójne, ale również nie różnicują sytuacji, w jakich stosowanie środków bezpieczeństwa finansowego określonych w ustawie AML (w związku ze stosowaniem których instytucje obowiązane dysponują uprawnieniem do przetwarzania informacji z dokumentów tożsamości oraz ich kopiowania) byłoby uzasadnione przeciwdziałaniem praniu pieniędzy oraz finansowaniu terroryzmu (co stanowi obowiązek Banku jako instytucji obowiązanej), a w których nie. Przyjęto po prostu, że w każdym z przypadków wskazanych w ww. procedurach i instrukcjach powinno się wykonać skan dokumentu tożsamości klienta lub potencjalnego klienta – w wielu sytuacjach od jego uzyskania uzależniając wykonanie czynności na rzecz klienta. Bank nie dokonywał więc indywidualnej oceny ryzyka wiążącego się z danym klientem i podejmowanymi przez niego działaniami. Stosowanie praktyki Banku ukształtowanej ww. procedurami oraz instrukcjami przekazywanymi przez Intranet prowadziło m.in. do sytuacji, w których dochodziło do skanowania dokumentów tożsamości w przypadkach niewiążących się z realizacją obowiązków określonych […]