Z jednej strony RODO, z drugiej ustawa o przeciwdziałaniu praniu pieniędzy, z trzeciej wirus, który zmusza nas do przestawienie się na kontakt online – powodują zamieszanie i niepewność. Kiedy można więc skserować dokumenty tożsamości? A kiedy wystarczy tylko weryfikacja?
Prezes Urzędu Ochrony Danych Osobowych zwrócił się z prośbą o rekomendacje do KNF i GIIF i opracowanie wytycznych w sprawie kopiowania dokumentów tożsamości. – Brak jednolitych standardów w tym obszarze generuje wątpliwości zarówno podmiotów obowiązanych, jak i klientów – czytamy w komunikacie UODO.
Do Urzędu Ochrony Danych Osobowych zgłosiło się wiele osób z zapytaniem, kiedy kopiowanie naszych dokumentów jest zasadne, a kiedy naruszeniem prawa. Z jednej bowiem strony są obowiązki wynikające z ustawy o przeciwdziałaniu praniu pieniędzy (u.p.p.p.), a z drugiej RODO.
Według Prezesa UODO, art. 34 ust. 1 u.p.p.p., określający środki bezpieczeństwa finansowego, stanowi, że środkiem tym jest m.in. identyfikacja klienta oraz weryfikacja jego tożsamości, a nie kopiowanie dokumentu tożsamości.
“W przepisach przewidziano możliwość kopiowania dokumentów tożsamości. Takie rozwiązanie należy uznać za uprawnienie przysługujące instytucjom obowiązanym, a nie obowiązek” – czytamy.
Prezes UODO nie kwestionuje zasadności sporządzania kopii dokumentów tożsamości przez instytucje obowiązane w ogóle, gdyż takie uprawnienie przysługuje im na mocy art. 34 ust. 4 u.p.p.p. Podważa jednak to, że taka praktyka musi być realizowana przy każdej czynności wykonywanej przez instytucje obowiązane.
Według niego decyzja o skopiowaniu dokumentu tożsamości, czy też żądanie przedstawienia takich kopii powinna być poprzedzona dokładną analizą czy rzeczywiście jest to niezbędne.
Weryfikacja taka uwzględniać powinna przepisy RODO, w szczególności pozostawać w zgodzie z zasadami ograniczenia celu oraz minimalizacji danych.
Prezes UODO w piśmie z 10 września 2019 r. do Generalnego Inspektora Informacji Finansowej (GIIF) zwrócił się z pytaniem, jakimi środkami instytucje obowiązane powinny dokonywać identyfikacji klientów i czy w każdym przypadku instytucje te w celu wypełnienia obowiązku identyfikacji klientów powinny pozyskiwać od nich kopie dokumentów, w tym dokumentów tożsamości.
“W odpowiedzi GIIF zgodził się ze stanowiskiem Prezesa Urzędu Ochrony Danych Osobowych, iż weryfikacja tożsamości klienta nie musi w każdym przypadku polegać na pozyskiwaniu kopii dokumentów. Mimo zajętego przez GIIF stanowiska problem jest powszechny i nadal aktualny. Dlatego Prezes UODO zdecydował się objąć planem kontroli sektorowych banki pod kątem kopiowania dokumentów tożsamości” – czytamy w komunikacie.
W ocenie Prezesa UODO pomocnym narzędziem dla podmiotów obowiązanych byłyby rekomendacje wydane przez odpowiedniego regulatora, które określiłyby, kiedy pozyskiwanie kopii dokumentów tożsamości jest zasadne, kiedy skorzystać z innych narzędzi, jakie to mogą być narzędzia.
Jak podkreślono w komunikacie, właściwe zalecenia wydane przez regulatora stanowiłyby cenną wskazówkę i odniesienie dla podmiotów zobowiązanych stosować środki bezpieczeństwa. Brak jednolitych standardów w tym obszarze generuje wątpliwości zarówno podmiotów obowiązanych, jak i klientów, którzy proszeni są o przedkładanie kopii dokumentów tożsamości.
Źródło: UODO
