Skan dowodu klienta: sąd utrzymał 18,4 mln zł kary dla ING, a sklep z dowozem dostał 5,9 mln zł. Kiedy mała firma może kopiować dowód, a kiedy wystarczy wgląd i spisanie danych

Bank przegrał, bo skanował z automatu

Historia zaczyna się 13 lipca 2018 r., gdy weszła w życie nowa ustawa o przeciwdziałaniu praniu pieniędzy. Do tego dnia ING nie kopiował dokumentów klientów. Po zmianie procedur zaczął skanować dowód w każdej sytuacji opisanej w instrukcji, a w wielu przypadkach bez skanu nie dało się załatwić sprawy. Trwało to około 18 miesięcy, od początku kwietnia 2019 r. aż do 23 września 2020 r.

Prezes UODO sprawdził podstawę prawną, zakres danych i cel ich zbierania. Ustalił, że bank nie robił indywidualnej oceny ryzyka dla konkretnego klienta i konkretnej czynności. Dowody trafiały do systemu także wtedy, gdy ktoś składał reklamację dotyczącą bankomatu, czyli w sprawie, która z praniem pieniędzy nie ma nic wspólnego. Urząd stwierdził naruszenie trzech zasad z art. 5 RODO (zgodności z prawem, ograniczenia celu i minimalizacji) oraz brak podstawy przetwarzania z art. 6 i w sierpniu 2025 r. nałożył karę 18 416 400 zł. Przy jej wysokości wziął pod uwagę skalę: w 2020 r. bank obsługiwał 4,72 mln klientów.

Bank bronił się ustawą AML i poszedł do sądu. Wojewódzki Sąd Administracyjny w Warszawie 23 października 2026 r. oddalił skargę, a UODO ogłosił to 2 listopada. Bank może jeszcze złożyć skargę kasacyjną do NSA i zapowiada, że to zrobi. Rzecznik banku przekonuje, że skany pobierano tylko tam, gdzie było to niezbędne.

Druga kara: aplikacja z jedzeniem i skan na wszelki wypadek

Ten sam mechanizm wrócił w decyzji z 19 lutego 2026 r. Spółka prowadząca w Polsce aplikację do zamawiania jedzenia prosiła użytkowników o zdjęcie lub skan dowodu albo paszportu, gdy podejrzewała oszustwo przy płatności. Według mediów chodzi o Restaurant Partner Polska, operatora Glovo. UODO uznał, że walka z oszustami nie uzasadnia zbierania całego dokumentu, że spółka nie wykazała niezbędności takiej weryfikacji i że ustawa o świadczeniu usług drogą elektroniczną nie daje do tego podstawy. Kara: 5 898 064 zł, do tego nakaz zaprzestania i usunięcia zebranych skanów w 30 dni.

Obie decyzje łączy jedno zdanie, które możesz powiesić nad ladą: najpierw powód, potem kopia. Nie odwrotnie.

Co mówi prawo małej firmie

Po pierwsze, RODO. Art. 5 ust. 1 lit. c każe zbierać tylko dane niezbędne do celu, a art. 6 ust. 1 wymaga podstawy prawnej dla każdego przetwarzania. UODO od lat powtarza, że najczęściej wystarczające jest okazanie dokumentu do wglądu. Skan to coś więcej: tworzysz nowy zbiór z PESEL-em, wizerunkiem, datą urodzenia, imionami rodziców, nazwiskiem rodowym i numerem dokumentu. Urząd pisze wprost, że taki zestaw wiąże się z wysokim ryzykiem kradzieży tożsamości i wyłudzenia pożyczki. Musisz go chronić, ograniczyć do niego dostęp i w końcu usunąć.

Po drugie, ustawa AML. Jej art. 34 ust. 4 pozwala instytucjom obowiązanym przetwarzać dane z dokumentów tożsamości i sporządzać ich kopie, ale tylko na potrzeby środków bezpieczeństwa finansowego. Te środki stosuje się według art. 35 między innymi przy nawiązywaniu stałej relacji z klientem i przy transakcji okazjonalnej od 15 000 euro. Instytucją obowiązaną jest bank, ale też biuro rachunkowe prowadzące księgi i każdy przedsiębiorca, który przyjmuje lub płaci gotówką za towar kwoty od 10 000 euro. Jeśli Twoja firma nie jest na tej liście, nie masz tego przepisu w ręku. Jeśli jest, to i tak przepis daje prawo, a nie obowiązek, a przed kopią ma być ocena ryzyka.

Po trzecie, ustawa o dokumentach publicznych. Jej art. 58 grozi grzywną, ograniczeniem wolności albo do 2 lat więzienia za wytwarzanie, oferowanie lub sprzedaż repliki dokumentu publicznego. Replika to odwzorowanie wielkości 75–120 proc. oryginału z cechami autentyczności, a zwykła kserokopia do celów służbowych jest z definicji wyłączona. Ksero nie wyśle Cię więc do więzienia, ale od RODO nie uwalnia.

Po czwarte, ustawa o dowodach osobistych. Art. 79 pkt 2 mówi, że kto zatrzymuje bez podstawy prawnej cudzy dowód osobisty, podlega karze ograniczenia wolności albo grzywny. UODO w poradniku dla wypożyczających sprzęt dodaje, że nie wszystkie dane z dowodu są potrzebne do wypożyczenia kajaka czy nart.

Wypożyczalnia, pensjonat, komis, sklep z dowozem

Wypożyczalnia rowerów bierze dowód „w zastaw”. To wykroczenie z ustawy o dowodach osobistych, a dowód nie jest zabezpieczeniem umowy. Zabezpieczeniem jest kaucja, blokada na karcie albo podpisana umowa z danymi spisanymi z dokumentu: imię, nazwisko, adres, ewentualnie numer dokumentu. Spisujesz, nie kserujesz.

Pensjonat przy zameldowaniu skanuje dowód każdego gościa. Żaden przepis nie każe hotelowi przechowywać kopii. Do rachunku, faktury i ewidencji wystarczą dane spisane z dokumentu. Jeśli recepcja chce „mieć dowód na wypadek szkody”, to jest ten sam argument, który nie obronił operatora aplikacji z jedzeniem.

Komis i skup elektroniki chcą kopii dowodu sprzedającego, żeby mieć ślad w razie kradzionego towaru. Dane sprzedającego trafiają do umowy, a przy większych kwotach gotówkowych obowiązki wynikają z ustawy AML. Kopia dowodu nie zastępuje umowy i nie chroni przed paserstwem lepiej niż poprawnie spisane dane.

Sklep z dowozem albo serwis online wykrył podejrzaną płatność i prosi o zdjęcie dowodu. To wariant sprawy z lutego. UODO wskazał, że jeśli o weryfikację nie zadbano przy zakładaniu konta, nie można tego nadrabiać zbieraniem nadmiarowych danych później. Do dyspozycji masz potwierdzenie płatności, kontakt z bankiem i blokadę konta, a nie archiwum skanów.

Pracownik i kandydat: lista jest w Kodeksie pracy

Art. 22 (1) Kodeksu pracy wylicza, czego pracodawca żąda od kandydata: imię i nazwisko, data urodzenia, dane kontaktowe, wykształcenie, kwalifikacje i przebieg zatrudnienia. Od pracownika dodatkowo między innymi adres, PESEL albo rodzaj i numer dokumentu oraz dane potrzebne do uprawnień z prawa pracy. Nigdzie nie ma tam skanu dowodu. Kadrowa sprawdza dokument, wpisuje dane do kwestionariusza i oddaje dowód. Kopia w teczce osobowej to nadmiarowe dane, których nie potrzebujesz i które musisz chronić.

Co z tego dla Ciebie

1. Zrób listę sytuacji, w których Twoja firma dotyka dowodu klienta lub pracownika. Przy każdej odpowiedz: po co i na jakiej podstawie. Jeśli odpowiedź brzmi „na wszelki wypadek”, kopia odpada.
2. Zamień skan na wgląd i spisanie danych: wzór umowy, kwestionariusz albo formularz z polami imię, nazwisko, adres, numer dokumentu. Zaznacz, kto w firmie może poprosić o dokument.
3. Jeśli jesteś instytucją obowiązaną (biuro rachunkowe, duże płatności gotówkowe), zapisz w procedurze AML, kiedy kopia jest konieczna i jaki wynik oceny ryzyka ją uzasadnia. Bez tego zapisu masz model ING.
4. Przejrzyj archiwum: skany dowodów w mailach, na dysku współdzielonym i w teczkach osobowych. Czego nie potrzebujesz, usuń i zapisz, że to zrobiłeś.
5. Wywieś przy ladzie jedno zdanie dla zespołu i klientów: dowód pokazujesz, nie zostawiasz. To samo napisz w regulaminie wypożyczalni czy pensjonatu.

Stan na: 05.11.2026. Tekst nie jest poradą prawną.