Gdy procedury compliance stają się naruszeniem prawa

Zdjęcie: Gdy procedury compliance stają się naruszeniem prawa

Gdy procedura bezpieczeństwa staje się naruszeniem prawa. Granice compliance w przedsiębiorstwie Gdy procedury compliance stają się naruszeniem prawa. Przedsiębiorca może naruszyć prawo nie tylko dlatego, iż nie wdrożył wymaganych procedur, ale również dlatego, iż stosuje je zbyt szeroko. Potwierdza to sprawa ING Banku Śląskiego, w której Wojewódzki Sąd Administracyjny oddalił skargę banku na decyzję Prezesa UODO nakładającą ponad 18,4 mln zł kary za nieuzasadnione kopiowanie dokumentów tożsamości. Spór ujawnia problem znacznie szerszy niż ochrona danych osobowych: czy przedsiębiorstwo, powołując się na obowiązek zapewnienia bezpieczeństwa i zgodności z przepisami, może tworzyć procedury ingerujące w prawa klientów bardziej, niż jest to rzeczywiście konieczne? Przestrzeganie prawa nie daje nieograniczonej swobody działania. 23 października 2026 r. Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę ING Banku Śląskiego na decyzję Prezesa Urzędu Ochrony Danych Osobowych, nakładającą karę w wysokości 18 416 400 zł. Informację o rozstrzygnięciu UODO opublikował 2 listopada. Wyrok nie jest prawomocny, a bank zapowiedział jego zaskarżenie. Sprawa dotyczy praktyki stosowanej w latach 2019-2020, kiedy bank kopiował dokumenty tożsamości klientów i potencjalnych klientów. Jak ustalił organ nadzorczy, czynności te podejmowano również w sytuacjach, w których nie wykazano ich związku z obowiązkami wynikającymi z przepisów o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu. Przykładem było skanowanie dokumentów przy rozpatrywaniu reklamacji dotyczących bankomatów. Bank uzasadniał przyjęte rozwiązania koniecznością realizacji obowiązków wynikających z ustawy AML. Prezes UODO zakwestionował jednak praktykę polegającą na kopiowaniu dokumentów bez uprzedniej oceny, czy w konkretnej sytuacji jest to niezbędne. Nie oznacza to, iż bankom nie wolno kopiować dokumentów tożsamości. Przepisy dopuszczają takie działania w określonych okolicznościach. Problemem stało się przekształcenie uprawnienia służącego realizacji konkretnego obowiązku w szeroko stosowaną procedurę organizacyjną. W tym właśnie tkwi najważniejszy aspekt sprawy. Przedsiębiorca może działać z zamiarem przestrzegania prawa, a mimo to naruszać inne obowiązujące go regulacje. Co więcej, źródłem naruszenia może być nie jednostkowe działanie pracownika, ale formalnie zatwierdzona i konsekwentnie wykonywana procedura. Gdy wyjątek staje się regułą. Współczesne przedsiębiorstwa funkcjonują w coraz bardziej złożonym otoczeniu regulacyjnym. Muszą identyfikować klientów, przeciwdziałać oszustwom, zapewniać bezpieczeństwo informacji, dokumentować transakcje, kontrolować ryzyka oraz wykazywać organom nadzorczym zgodność swoich działań z prawem. Naturalną odpowiedzią organizacyjną jest standaryzacja postępowania. Z perspektywy zarządzania przedsiębiorstwem jednolita procedura ma niewątpliwe zalety. Ogranicza uznaniowość pracowników, ułatwia kontrolę wewnętrzną i pozwala wykazać, iż określone czynności były rzeczywiście wykonywane. Powstaje jednak pytanie, czy procedura, która zapewnia organizacji większą wygodę i przewidywalność, zawsze pozostaje zgodna z granicami uprawnień wynikających z przepisów. Nie musi tak być. o ile ustawa uzależnia zastosowanie określonego środka od charakteru transakcji, poziomu ryzyka albo rzeczywistej potrzeby, przedsiębiorca nie powinien zastępować tych przesłanek automatyczną regułą obejmującą wszystkie przypadki. W przeciwnym razie rozwiązanie, które miało ograniczać ryzyko naruszenia prawa, samo zaczyna takie ryzyko generować. W sprawie ING istotne znaczenie miała właśnie relacja między obowiązkiem identyfikacji klienta a zakresem danych pozyskiwanych w tym celu. Samo istnienie obowiązków wynikających z ustawy AML nie oznacza, iż każda czynność wykonywana przez bank uzasadnia kopiowanie dokumentu tożsamości. Jest to rozróżnienie o podstawowym znaczeniu: uprawnienie do zastosowania określonego środka nie jest równoznaczne z obowiązkiem jego stosowania w każdym przypadku. Dwie ustawy nie muszą pozostawać ze sobą w konflikcie. Na pierwszy rzut oka podobne sprawy mogą sprawiać wrażenie kolizji między regulacjami. Jedna ustawa wymaga identyfikacji klienta i dokumentowania określonych czynności, druga nakazuje ograniczanie zakresu przetwarzanych danych osobowych. W rzeczywistości nie zawsze występuje tu sprzeczność. Przepisy o przeciwdziałaniu praniu pieniędzy określają obowiązki instytucji oraz środki, które mogą lub powinny być stosowane dla ich realizacji. RODO wymaga natomiast istnienia odpowiedniej podstawy prawnej przetwarzania, zgodności działania z jego celem oraz ograniczenia danych do tego, co niezbędne. Przepisy szczególne mogą stanowić podstawę przetwarzania określonych danych, ale nie wyłączają automatycznie pozostałych zasad ich ochrony. Istotne znaczenie ma art. 5 ust. 1 lit. c RODO, ustanawiający zasadę minimalizacji danych. Zgodnie z nią dane powinny być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Nie chodzi zatem wyłącznie o ustalenie, czy przedsiębiorca ma prawo żądać określonych informacji. Równie ważne jest pytanie, czy rzeczywiście potrzebuje ich w danym zakresie i w związku z konkretną czynnością. Można przecież zgodnie z prawem ustalić tożsamość osoby, a jednocześnie bez wystarczającego uzasadnienia utrwalić znacznie szerszy zestaw informacji zawartych w jej dokumencie. Podobnie samo okazanie dokumentu tożsamości i jego skopiowanie nie są czynnościami prawnie równoważnymi. Kopia tworzy dodatkowy zbiór danych, który następnie podlega przechowywaniu, zabezpieczaniu, udostępnianiu i ewentualnemu usuwaniu. Każda z tych operacji ma znaczenie z punktu widzenia odpowiedzialności administratora. Compliance nie może być oderwane od celu regulacji. Najbardziej interesujący w tej sprawie jest jednak problem sposobu rozumienia zgodności regulacyjnej. W wielu przedsiębiorstwach compliance utożsamiane jest przede wszystkim z posiadaniem procedur, dokumentowaniem czynności i możliwością wykazania, iż pracownicy postępowali zgodnie z wewnętrznymi instrukcjami. Takie podejście bywa niewystarczające. Procedura nie jest samodzielnym źródłem uprawnienia przedsiębiorcy. Nie może rozszerzać zakresu ingerencji w prawa klientów, pracowników czy kontrahentów ponad to, na co pozwalają przepisy. o ile organizacja przyjmie błędną interpretację obowiązku ustawowego, konsekwentne stosowanie wynikającej z niej procedury nie usuwa problemu. Przeciwnie, może prowadzić do jego zwielokrotnienia. Pojedyncza nieprawidłowość może mieć ograniczony zasięg. Nieprawidłowo zaprojektowana procedura, stosowana przez setki pracowników wobec tysięcy klientów, przekształca ten sam błąd w praktykę o charakterze systemowym. To właśnie stanowi jedno z największych ryzyk regulacyjnych dużych organizacji. Nie wystarczy wykazać, iż określone działanie zostało przewidziane w regulaminie, zaakceptowane przez kierownictwo i wykonywane zgodnie z instrukcją. Konieczne pozostało ustalenie, czy sama instrukcja odpowiada obowiązującemu prawu. Z perspektywy odpowiedzialności przedsiębiorcy istotne jest więc nie tylko przestrzeganie procedur, ale również jakość decyzji prawnych, na których zostały one oparte. Problem wykracza daleko poza sektor bankowy. Choć rozstrzygnięcie dotyczy instytucji finansowej, podobne mechanizmy występują w wielu innych sektorach gospodarki. Przedsiębiorstwa uzasadniają gromadzenie danych potrzebą przeciwdziałania nadużyciom, zabezpieczenia transakcji, weryfikacji kontrahentów czy ochrony własnego majątku. Cele te mogą być w pełni uzasadnione, ale nie przesądzają jeszcze o dopuszczalności każdego zastosowanego środka. Przykładowo przedsiębiorca może potrzebować potwierdzenia tożsamości osoby uprawnionej do odbioru towaru o znacznej wartości. Nie oznacza to automatycznie, iż powinien przechowywać kopię jej dowodu osobistego. Podobne pytania pojawiają się przy weryfikacji osób reprezentujących kontrahentów, przyznawaniu dostępu do obiektów przemysłowych czy obsłudze reklamacji. Nie można jednak mechanicznie przenosić oceny konkretnej praktyki bankowej na wszystkie te