Przyglądam się już od pewnego czasu toczącej się tu dyskusji. Toczyłem ją w tym temacie z innym bankiem która zakończona została decyzją w sprawie indywidualnej DS.523.3010.2021 Prezesa UODO z dnia 25.05.2022 r. która:
"udziela [..nazwa banku..] upomnienia za naruszenie art. 6 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz.UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), polegające na udostępnieniu danych osobowych [.. poszkodowany..] innych niż nazwisko/nazwę płatnika podczas transferu środków pieniężnych (w przypadku gdy wszyscy dostawcy usług płatniczych uczestniczący w łańcuchu płatności mieli siedzibę w UE), których kwota nie przekraczała 1000 EUR i które nie wydawały się być powiązane z innymi transferami środków pieniężnych, które łącznie z przedmiotowym transferem opiewały na kwotę przekraczającą 1 000 EUR, bez podstawy prawnej, w zakresie jego adresu zamieszkania."
Bank nie odwołał się od tej decyzji więc jest ona prawomocna i jest świadomy, że każda wysyłka adresu bez zgody nadawcy jest naruszeniem RODO.
Argument dotyczący treści dowodu może być podstawą do przetwarzania danych osobowych, ale nie ma zastosowania do celu transferu środków pieniężnych, ponieważ dowód księgowy nie towarzyszy transferowi środków płatniczych, a jedynie dokumentuje go w banku nadawcy. Może ING posiada jakąś inną podstawę prawną?
Banki najczęściej jako podstawę przetwarzania adresu nadawcy przy wysyłce przelewów wskazują art 4 Rozporządzenie UE (UE) 2015/847. A zapominają o art 5 tego samego rozporządzenia (ograniczający wymóg zakresu danych jeśli transfer dotyczy transakcji do 1000 Eur na terenie EOG), zasadzie minimalizacji danych RODO, które ma prymat nad tym rozporządzeniem oraz art 15 tego rozporządzenia ograniczającym korzystanie z informacji pozyskanej zgodnie z tym rozporządzeniem wyłącznie do celów ALM. Odbiorca przelewu najczęściej nie bierze udziału w procesie AML i niekoniecznie nadawca chciałby żeby odbiorca znał jego adres - patrz casus wysyłających przelewy groszowe na rachunek Partii Prawo i Sprawiedliwość.
Zainteresowanych spojrzeniem na temat w szerszym aspekcie zachęcam do wyszukania na Linked In moich publikacji na temat "cywilizowania przelewu weryfikacyjnego". Niestety z powodów regulaminu portalu nie jestem w stanie udostępnić linku do tych publikacji, ale łatwo je odnaleźć wpisując w wyszukiwarce internetowej hasło "cywilizowanie przelewu weryfikacyjnego LN".
PS. Specyfikacja systemu SEPA dotyczącego transferu środków płatniczych w euro na terenie EOG nie ma w specyfikacji adresu nadawcy, i system jest zgodny z RODO w przeciwieństwie do naszego krajowego Elixiru. A samo imię i nazwisko bez adresu to nie są dane osobowe z powodu niejednoznaczności.
