UODO наложи санкция от 18,4 млн. PLN заради ненужно сканиране на документи за самоличност
Полският надзорен орган за защита на данните (UODO) съобщи, че от 1 април 2019 г. до 23 септември 2020 г. ING Bank Śląski сканира документите за самоличност на клиенти и потенциални клиенти. Не беше проверено дали подобни действия са оправдани от изискването банката да прилага мерки за финансова сигурност съгласно Закона за противодействие на прането на пари и финансирането на тероризма (AML).
Службата за защита на личните данни извърши проверка относно обработването на лични данни на клиенти и потенциални клиенти от банката. Става дума за копия (сканирания) на документи за самоличност. По време на инспекцията са проверени правното основание за обработка на лични данни, обхвата и вида на обработените лични данни, както и метода и целта за събиране и споделяне на данни.
Оказва се, че преди изменението на разпоредбите на Закона за AML от 13 юли 2018 г., банката не копира документите за самоличност на клиентите. След това, след анализи, договорености и промени в банковите процеси, има промяна в практиката и процедурите. Предполага се, че във всеки от случаите, посочени в тези процедури и инструкции, в много ситуации трябва да се извърши сканиране на документа за самоличност на клиента или потенциалния клиент.
Според UODO банката не оценява индивидуално риска, свързан с даден клиент, и действията, предприети от него, Документите за самоличност са сканирани в случаи, които не включват изпълнение на задължения, посочени в разпоредбите на Закона за AML (например в жалба относно банкомат).
Сканирането на лични карти от задължени институции е законно в контекста на Закона за АМЛ само ако включва необходимото прилагане на мерки за финансова сигурност за противодействие на прането на пари и финансирането на тероризма от гледна точка на този закон.
Задачата на банката е да извърши индивидуална оценка на риска от пране на пари и финансиране на тероризма и да разработи подходящи мерки за сигурност (подход, основан на риска). Само ако задължената институция докаже, че за да противодейства на изпирането на пари и финансирането на тероризма, е необходимо да се прилагат мерки за финансова сигурност, включващи обработка на информация, съдържаща се в документи за самоличност и изготвяне на копия (сканирания) от тях, тогава тя има право да поиска те да бъдат изпълнени.
UODO посочва, че банката като администратор на лични данни е нарушила разпоредбите за защита на личните данни с действията си (член 5, параграф 1, букви а), б) и в), както и член 6, параграф 1 от GDPR). Нарушението се изразява в неоснователно обработване на лични данни на настоящи и потенциални клиенти, получени чрез сканиране на документи за самоличност в ситуации, които не са свързани със задълженията му по Закона за борба с изпирането на пари.
Според докладите на банката, напр. през 2020 г. броят на клиентите е 4,72 милиона, включително 4,24 милиона индивидуални клиенти и 486 000. корпоративни клиенти. Масовата обработка трябва да включва по-високо ниво на отговорност на администратора и по-високо ниво на надлежна проверка, изисквана от администратора, тъй като може да доведе до отрицателни последици за много хора.
Трябва също така да се отбележи, че се очаква Банката да предприеме професионален подход към правното основание за обработка на данни.
Обясненията на Банката показват, че практиката на копиране на документи за самоличност засяга потенциално голяма група клиенти за сравнително дълго време (т.е. за период от приблизително 18 месеца: от 1 април 2019 г. до 23 септември 2020 г.), което показва големия мащаб на тази обработка, но не беше установено, че клиентите са претърпели някакви вреди в резултат на това.
Личните данни, обработвани от Банката, получени чрез сканиране на документи за самоличност, не принадлежат към конкретни категории лични данни, посочени в чл. 9 раздел 1 и чл. 10 GDPR, но техният обхват (т.е. наред с други: име и фамилия, номер на PESEL, изображение, дата на раждане, имена на родители, фамилно име, брой и серия на документ за самоличност) е свързан с висок риск от нарушаване на правата или свободите на физическите лица.
Номерът на PESEL заедно с име и фамилия ясно идентифицира физическото лице по начин, който позволява отрицателните ефекти от нарушението (например кражба на самоличност, измама със заем) за това конкретно лице.
Според председателя на Службата за защита на личните данни, прилаганата административна глоба 18 416 400 PLN е ефективна, пропорционална и възпираща.