Kontrowersje w sprawie kserowania dowodów

Zdaniem Prezesa Urzędu Ochrony Danych Osobowych, prawo bankowe nie pozwala bankom wykonywać kserokopii i skanów dowodów osobistych klientów, żeby np. założyć konto bankowe czy zbadać zdolność kredytową klienta. Wystarczy wówczas spisanie danych z dokumentów tożsamości.

- Sporządzenie kopii dowodów tożsamości jest legalne jedynie wtedy, kiedy wynika to wprost z przepisów rangi ustawy. Tymczasem art. 112b Prawa bankowego pozwala przetwarzać do celów prowadzonej działalności bankowej informacje zawarte w dokumentach tożsamości osób fizycznych. Przepis ten nic nie mówi o tym, że banki mogą sporządzać kopie dowodów tożsamości - uznał urząd.

Tymczasem z takim stanowiskiem nie zgadza się m.in. Maciej Kawecki były koordynator prac nad reformą ochrony danych w Ministerstwie Cyfryzacji.

- Ze stanowiskiem wyrażonym przez UODO, odnoszącym się kserowania przez banki dokumentów tożsamości, się nie zgadzam. Prezes UODO w swojej opinii wskazał, że "sporządzanie kopii dokumentów tożsamości jest legalne tylko wtedy, kiedy wynika to wprost z przepisów rangi ustawy". Mówiąc inaczej urząd przesądził, że wyłącznie ustawa może być podstawą gromadzenia danych zawartych w kopiach dowodów osobistych. RODO mówi natomiast wyraźnie, że dane mogą być gromadzone nie tylko, gdy obowiązek ich przetwarzania wynika z prawa - argumentuje Kawecki.

Podkreśla też, że opinia wyrażona przez prezesa UODO ma ogromny wpływ na cały sektor ochrony danych osobowych. Na wszystkich, którzy dane gromadzą, w tym na najmniejszych przedsiębiorców.

Kawecki tłumaczy, że podstawą przetwarzania danych może być też np. prawnie uzasadniony interes przedsiębiorcy, interes publiczny czy chociażby ochrona życia i zdrowia. - Mimo tego, organ nie wiem na jakiej podstawie uznał, że kopie dokumentów tożsamości stanowią jakąś "nadzwyczajną kategorię danych" i nie stosuje się do nich innych przesłanek przetwarzania danych - mówi.

- Przyjęcie, że gromadzenie kopii dokumentów tożsamości możliwe jest wyłącznie, gdy mówi o tym wprost norma prawna ogranicza zastosowanie przez administratorów art. 6 i 9 RODO wyłącznie do przesłanki realizacji obowiązku wynikającego z przepisu prawa. Dokonując takiej wykładni, ograniczamy stosowanie więc prawa unijnego - argumentuje Maciek Kawecki.

Podkreśla też, że skutki takiego podejścia UODO mogą być dalekosiężne.

- Podam prosty przykład: pracodawca deleguje pracownika do pracy poza Europejskim Obszarem Gospodarczym i pośredniczy w uzyskaniu przez niego wizy, do której w wielu przypadkach dołącza się kopię dowodu osobistego. Pracodawca chciałby móc potem przechowywać w celach dowodowych kopię wniosku. Tysiące przypadków może uzasadniać konieczność sięgnięcia do takiego wniosku w przyszłości. W świetle stanowiska UODO w zasadzie żaden pracodawca w Polsce, nie mógłby tego zrobić. Nie mógłby ani świadczyć takiej usługi pośrednictwa, ani potem zarchiwizować wniosku. Dlaczego? Bo brak jest wyraźnej normy ustawowej, która wprost pracodawcę do tego uprawnia - tłumaczy Maciej Kawecki.

Ze stanowiskiem UODO nie zgadza się też Paweł Litwiński, adwokat, partner w kancelarii Barta Litwiński, ekspert w dziedzinie danych osobowych.

- Chyba wszystkich z nas zajmujących się prawem ochrony danych osobowych zaskoczyło opublikowane wczoraj stanowisko Prezesa Urzędu Ochrony Danych Osobowych dotyczące kopiowania dokumentów tożsamości. Pomijając rozważania dotyczące art. 112b ustawy Prawo bankowe (skądinąd słuszne) czytamy w nim, że "sporządzenie kopii dowodów tożsamości w ocenie organu nadzorczego jest legalne jedynie wtedy, kiedy wynika to wprost z przepisów ustawy". Prawo to nie nauka ścisła, więc rzadko można sobie w naukach prawnych pozwolić na kategorycznie formułowane stanowiska - ale tutaj zrobię wyjątek: Prezes UODO nie ma racji - napisał Paweł Litwiński w opinii zamieszczonej w mediach społecznościowych.

Przyznaje, że wzrosły - zagrożenia dla prywatności, na co słusznie zwraca uwagę Prezes UODO, ale jak zaznacza podstawowe konstrukcje prawa ochrony danych osobowych pozostały niezmienione.

- Trzeba więc pamiętać, by skopiować wyłącznie takie dane - taki zakres danych - który pozostaje w zgodzie z zasadą minimalizacji danych, wyrażoną w art. 5 RODO. Tym niemniej trzeba to powiedzieć wprost - nie istnieje konstrukcja na gruncie RODO, która wymagałby istnienia ustawowej podstawy dla wykonywania kopii dowodów tożsamości. Jest dokładnie odwrotnie - pisze Litwiński.

Przypomina też, że z punktu widzenia istnienia publicznoprawnego zakazu mamy sytuację bardzo jasną - zabronione jest wykonywanie kopii dowodu tożsamości, która nosi cechy autentyczności (repliki dokumentu publicznego). Kopia wykonana przez pracownika banku, ale też np. przez dział kadr przy zatrudnianiu pracownika takich cech nie nosi, nie jest więc objęta zakazem, a to znaczy, że jej wykonanie jest dozwolone - dodaje.

Monika Krześniak-Sajewicz

Biznes INTERIA.PL na Twitterze. Dołącz do nas i czytaj informacje gospodarcze