Sprawa dotyczyła praktyk stosowanych przez bank po zmianie przepisów o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu. Do 13 lipca 2018 r. ING nie kopiował dokumentów tożsamości klientów. Po wejściu w życie znowelizowanej ustawy AML zmienił jednak procedury. Bank przyjął, że w każdej sytuacji opisanej w nowych zasadach należy zeskanować dokument. Niekiedy uzależniał od tego wykonanie danej czynności na rzecz klienta.

Kontrola Urzędu Ochrony Danych Osobowych wykazała, że bank nie sprawdzał indywidualnie, czy w konkretnym przypadku kopiowanie dokumentu jest rzeczywiście potrzebne. Skanował je również przy sprawach, które nie miały związku z obowiązkami wynikającymi z ustawy AML. Przykładem była reklamacja dotycząca bankomatu.

ING skanował dokumenty tożsamości bez indywidualnej oceny ryzyka

Prezes UODO Mirosław Wróblewski uznał, że samo powołanie się na przepisy AML nie wystarcza, by uzasadnić kopiowanie dokumentów tożsamości. Bank powinien najpierw ocenić ryzyko prania pieniędzy i finansowania terroryzmu związane z konkretnym klientem oraz jego działaniami. Dopiero na tej podstawie powinien dobrać odpowiednie środki bezpieczeństwa.

Kopiowanie dokumentu jest dopuszczalne wtedy, gdy rzeczywiście wymaga tego zastosowanie takich środków. Instytucja musi więc wykazać, że do realizacji obowiązków wynikających z ustawy AML potrzebuje informacji zawartych w dokumencie i jego kopii. Nie może traktować skanowania jako automatycznej procedury stosowanej przy każdej czynności.

Według UODO ING Bank Śląski naruszył w ten sposób przepisy RODO dotyczące legalności przetwarzania danych, ograniczenia celu i minimalizacji danych. Bank przetwarzał dane obecnych i potencjalnych klientów, choć w części przypadków nie miał do tego odpowiedniej podstawy.

Przy ustalaniu wysokości kary urząd wziął pod uwagę skalę działalności banku. ING przetwarza dane na dużą skalę, dlatego powinien zachować szczególną staranność. Prezes UODO podkreślił też, że od instytucji finansowej należy oczekiwać profesjonalnego podejścia do ochrony danych osobowych.

Kara wyniosła dokładnie 18 416 400 zł. 23 października 2026 r. Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę ING Banku Śląskiego, podtrzymując decyzję prezesa UODO. Bank może jeszcze złożyć skargę kasacyjną do Naczelnego Sądu Administracyjnego.