Le Tribunal administratif provincial de Varsovie a confirmé une décision de l'autorité polonaise sanctionnant une banque pour avoir systématiquement numérisé les documents d'identité de ses clients, sans procéder à une analyse de risque individuelle justifiant cette mesure au regard de la législation anti-blanchiment.

Faits et contexte

L'autorité polonaise de protection des données (UODO) a publié une décision, confirmée par le Tribunal administratif provincial de Varsovie le 23 octobre 2026, prononçant une amende de 18 416 400 PLN (environ 4 282 884 €) à l'encontre de ING Bank Śląski pour des manquements liés à la collecte excessive de données par la numérisation systématique de documents d'identité.

L'affaire trouve son origine dans un contrôle mené par l'UODO auprès de la banque, visant à examiner les pratiques de numérisation des documents d'identité des clients et prospects, mises en place après une modification de la loi sur la lutte contre le blanchiment d'argent et le financement du terrorisme (LBC-FT) le 13 juillet 2018.

Motifs de la décision

• Obligation de licéité et de minimisation des données (article 5, paragraphe 1, points a, b et c du RGPD et article 6, paragraphe 1 du RGPD): L'autorité a constaté que la banque numérisait systématiquement les documents d'identité, y compris pour des opérations non soumises à la législation LBC-FT, comme une réclamation concernant un distributeur automatique. L'autorité a jugé que la banque n'avait pas démontré la nécessité de cette collecte généralisée, en se contentant d'invoquer la loi LBC-FT sans effectuer d'analyse de risque individuelle pour chaque situation. Selon l'autorité, la copie de documents d'identité n'est licite au titre de cette loi que si elle est indispensable à l'application de mesures de sécurité financière, ce qui doit être démontré au cas par cas sur la base d'une évaluation des risques. En l'absence d'une telle justification, la collecte systématique était dépourvue de base légale et violait le principe de minimisation des données.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 18 416 400 PLN (environ 4 282 884 €) à ING Bank Śląski. Pour fixer ce montant, l'autorité a notamment pris en compte le traitement de données à grande échelle, qui impose un niveau de diligence plus élevé, ainsi que le professionnalisme attendu d'une institution bancaire.

Enseignements

Cette décision rappelle que :

• L'invocation d'une obligation légale, telle que la législation LBC-FT, ne dispense pas le responsable du traitement de respecter le principe de minimisation des données et de justifier la nécessité de chaque opération de traitement.
• La collecte de données par la copie de documents d'identité doit reposer sur une analyse de risque individuelle et documentée, démontrant que cette mesure est indispensable pour atteindre l'objectif poursuivi, et ne peut être systématisée pour toutes les interactions avec les clients.
• Les institutions traitant des données à grande échelle, notamment les établissements financiers, sont soumises à une exigence de diligence accrue et doivent faire preuve d'un professionnalisme particulier dans l'application des principes de protection des données.