L’autorité polonaise de protection des données (UODO) a publié une décision de sanction à l’encontre d’ING Bank Śląski, comprenant le prononcé d’une amende de 18 416 400 zł (~ 4 315 000 euros) pour des manquements liés à la copie excessive de documents d’identité des clients sans analyse préalable de la nécessité de cette opération. Cette affaire débute par un contrôle mené par l’UODO portant sur le traitement des données personnelles des clients et potentiels clients de la banque, notamment les copies (scans) des documents d’identité. L’enquête visait à vérifier la base légale, l’étendue, la nature, ainsi que le but de la collecte et du partage de ces données.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité, loyauté et transparence du traitement (articles 5 et 6 du RGPD) : La banque a procédé à la copie systématique des documents d’identité sans vérifier si cette opération était nécessaire au regard des obligations de lutte contre le blanchiment d’argent et le financement du terrorisme (AML). Elle n'a pas n’a pas réalisé d’évaluation individuelle des risques liés à chaque client ni adapté son "niveau de vérification" en fonction de cette analyse, procédant à des scans même dans des situations non liées aux obligations AML.

En conséquence, la structure s’est vue sanctionner de l’amende mentionnée ci-dessus. L’autorité souligne que le traitement massif de données personnelles sensibles, incluant des informations telles que nom, numéro d’identification national, image, date de naissance et autres données permettant une identification précise, impose un niveau élevé de responsabilité et de diligence de la part de l’administrateur. L’amende a été jugée efficace, proportionnée et dissuasive dans ce cas particulier.