Poproszę o dowód osobisty albo inny dokument tożsamości – to sformułowanie słyszymy na porządku dziennym. Nasze dokumenty tożsamości są często sprawdzane przez różnego rodzaju instytucje. Począwszy od służb, banków, po pracodawców, operatorów komórkowych czy właścicieli wypożyczalni sprzętu np. narciarskiego. W wielu przypadkach jego okazanie jest wymogiem podyktowanym przepisami prawa (np. ustawą o policji) lecz bardzo często operacje na naszych dokumentach tożsamości (np. ich skanowanie czy kopiowanie) są nie do końca zgodne z prawem.
Niekiedy poprzez żądanie dokumentu tożsamości oraz jego kopiowanie czy spisywanie treści z dokumentu administrator danych osobowych narusza jedną z głównych zasad dot. przetwarzania danych osobowych tj. zasadę minimalizacji danych, która wynika z art. 5 ust. 1 lit. c RODO. Zasada minimalizacji wskazuje, że przetwarzanie danych osobowych musi być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których dane są przetwarzane („minimalizacja danych”). W jakich przypadkach mamy z nią do czynienia? O tym w dalszej części artykułu.
Skanowanie bądź kserowanie dokumentów tożsamości, w szczególności dowodów osobistych od lat wywołuje kontrowersje w środowisku związanym z ochroną danych osobowych. Wynika to głównie z faktu, że wszelkiego rodzaju kopiowanie takich dokumentów niesie za sobą szereg zagrożeń.
Po pierwsze dokument tożsamości – to naprawdę potężna broń w rękach złodzieja czy osoby która dysponuje jego treścią. Kradzież, utrata bądź związane z tym nieuprawnione użycie może poważnie zaszkodzić osobie, której dane się na nim znajdują. Złodziej, znalazca lub inna nieuprawniona osoba dzięki dokumentowi tożsamości może m.in:
Uważamy, że przykłady z życia wzięte działają najbardziej na wyobraźnię. Kilka lat temu chciałem założyć konto bankowe i poproszono mnie o możliwość zeskanowania dowodu osobistego. Po tej czynności Pani próbowała umieścić go w jednym z serwisów zmniejszających zdjęcia, ponieważ jak stwierdziła „skan nie mieści się jej w systemie”. Na pytanie czy taka praktyka obowiązuje w banku, odpowiedziała mi, że robi tak od początku swojej pracy (tj. od około 5 lat). Naturalnie poprosiłem o usunięcie skanu z komputera, zabrałem dowód osobisty a bank stracił klienta.
Kwestie konieczności kopiowania dokumentów tożsamości bardzo często są podnoszone przez banki. Art. 112b ustawy Prawo bankowe stanowi bowiem, że Banki mogą przetwarzać dla celów prowadzonej działalności bankowej informacje zawarte w dokumentach tożsamości osób fizycznych. Co za tym idzie – interpretowane jest to jako zgoda na skanowanie bądź kserowanie dokumentów tożsamości klientów. Ale czy przetwarzanie informacji zawartych w dokumentach tożsamości wiąże się bezpośrednio z ich kopiowaniem?
Zdaniem Prezesa Urzędu Ochrony Danych Osobowych art. 112b ustawy Prawo bankowe nie pozwala bankom wykonywać kserokopii i skanów dowodów osobistych klientów, żeby np. założyć konto bankowe czy zbadać zdolność kredytową klienta. Wystarczy wówczas spisanie danych z dokumentów tożsamości. Sporządzenie kopii dowodów tożsamości jest legalne jedynie wtedy, kiedy wynika to wprost z przepisów rangi ustawy. Tymczasem art. 112b Prawa bankowego pozwala przetwarzać do celów prowadzonej działalności bankowej informacje zawarte w dokumentach tożsamości osób fizycznych. Przepis ten nic nie mówi o tym, że banki mogą sporządzać kopie dowodów tożsamości. A zatem czy banki bezprawnie z każdym dniem wchodzą w posiadanie naszych skanów dokumentów?
Trochę inne światło na sprawę rzuca odpowiedź Prezes UODO do Prezesa Związku Banków Polskich z dnia 09.09.2019 r. w sprawie kserowania dokumentów tożsamości. Prezes wskazuje w niej, że w niektórych sytuacjach kopiowanie np. dowodów osobistych jest legalne. Podstawę do sporządzania kopii dokumentów tożsamości stanowią przepisy ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu. Z tym, że jest to możliwe w przypadkach określonych w tej ustawie takich jak przeprowadzanie transakcji okazjonalnej o równowartości 15 tys. euro lub większej albo przypadkach, gdy zachodzi podejrzenie prania pieniędzy lub finansowania terroryzmu.
Na tym jednak nie koniec. Jak wynika z planu kontroli sektorowych na rok 2020, Urząd Ochrony Danych Osobowych przyjrzy się kserowaniu dowodów osobistych w bankach pod kątem przetwarzania danych osobowych. Co z tego wyniknie? Szczerze mówiąc, jesteśmy bardzo ciekawi, bo jak sami Państwo widzicie skanowanie bądź kopiowanie dokumentów tożsamości zdecydowanie wymaga jeszcze doprecyzowania po stronie krajowego ustawodawcy. Szczególnie wobec tego, że pomimo dokonywania stosownych czynności kopiowania np. przez banki, PUODO nie podejmuje konkretnych kroków w kierunku egzekwowania własnego stanowiska na „nie” szczególnie w aspekcie wykraczającym poza zwalczanie terroryzmu, które uzasadnia kopiowanie dokumentów tożsamości. A jaka jest Państwa optyka na ten temat? Zapraszamy do dyskusji pod artykułem na fanpage’u IT Law Solutions.
Rekomendacja Prezesa UODO w sprawie kopiowania dokumentów tożsamości
Stanowisko UODO w sprawie kserowania przez banki dowodów osobistych
Artykuły prasowe o zapowiadanych kontrolach banków przez UODO tutaj oraz tutaj.
Autor: Centrum Audytu Bezpieczeństwa
Redakcja: IT Law Solutions (Monika Skwarek, Marcin Kaleta)
