W trwającej dyskusji na temat dopuszczalności kopiowania dokumentów tożsamości na potrzeby procedur AML, która objęła już PUODO, ZBP, RPO i GIIF nikt nie zauważył, że przepis, który stanowi podstawę dla instytucji obowiązanej do kopiowania dokumentu tożsamości (art. 34 ust. 4 ustawy AML) odnosi się do stosowania środków bezpieczeństwa finansowego (Instytucje obowiązane na potrzeby stosowania środków bezpieczeństwa finansowego mogą przetwarzać informacje zawarte w dokumentach tożsamości klienta i osoby upoważnionej do działania w jego imieniu oraz sporządzać ich kopie.) 

Tymczasem żaden ze środków bezpieczeństwa finansowego, o których mowa w art. 34 ust. 1 ustawy AML nie polega na utrwalaniu (kopiowaniu) dokumentów tożsamości. Tym samym, w celu stosowania środków bezpieczeństwa finansowego (w tym także - weryfikacji tożsamości klienta lub beneficjenta rzeczywistego) - w ogóle nie ma "potrzeby" kopiowania dokumentu tożsamości. Taka "potrzeba" ujawnia się jedynie w celu wykonania obowiązku dokumentowania zastosowanych środków bezpieczeństwa finansowego (art. 34 ust. 3 ustawy AML). 

Jak do tej fundamentalnej luki w przepisach odnoszą się ww. organy i ZBP?

GIIF w swoim stanowisku z 18 lipca br. w ogóle nie odnosi się to tej kwestii, koncentrując się na sposobach stosowania śbf. (Tak na marginesie: GIIF stwierdza, że w razie braku możliwości zastosowania środków identyfikacji elektronicznej instytucja powinna stosować wzmożone środki bezpieczeństwa finansowego. Tymczasem art. 43 ust. 2 pkt 7 ustawy AML wskazuje na relację zdalną jako czynnik wyższego ryzyka wtedy, gdy związane z nią ryzyko nie zostało ograniczone w inny sposób, w tym za pomocą identyfikacji elektronicznej lub usług zaufania. Ograniczenie ryzyka może zatem nastąpić także innymi skutecznymi metodami. Odnośnie do "co najmniej dwóch materiałów weryfikacyjnych" - GIIF zrównuje zalecenie nadzorcze przepisami, z treści art. 37 ustawy AML nic takiego nie wynika).

ZBP szuka podstawy prawnej kopiowania dokumentu tożsamości w uzasadnionym interesie administratora danych, jakim jest zapewnienie zgodności z obowiązkami wynikającymi z ustawy AML oraz możliwość udokumentowania wymaganej prawem należytej staranności wobec organów nadzoru Podstawą prawną przetwarzania danych osobowych w zakresie sporządzenia kopii dokumentu jest art. 6 ust. 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). O tym, że to mocno wątpliwa podstawa pisałem na LinkedIn we wpisie 2 czerwca br. (Telenowela z kopiowaniem dowodów osobistych trwa). 

Z kolei PUODO, w komunikacie do decyzji z dnia 23 lipca 2025 r. stwierdził, że skanowanie dowodów tożsamości przez instytucje obowiązane jest legalne w kontekście ustawy AML jedynie wtedy, gdy wiąże się z koniecznym z punktu widzenia tej ustawy zastosowaniem środków bezpieczeństwa finansowego mających na celu przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu. (...) Dopiero jeśli instytucja obowiązana wykaże, że w celu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu konieczne jest stosowanie środków bezpieczeństwa finansowego wiążące się z przetwarzaniem informacji zawartych w dokumentach tożsamości oraz sporządzaniem ich kopii (skanów), wtedy ma prawo żądać ich wykonania. 

Pozostają zatem nadal dwa otwarte pytania: 

1) jak wykazać "konieczność" sporządzenia kopii dokumentu w związku ze stosowaniem środków bezpieczeństwa finansowego, które nie przewidują "potrzeby" kopiowania takich dokumentów (by uniknąć kary od PUODO), oraz 

2) jak wykazać wykonanie obowiązku dokumentowania zastosowanych środków bezpieczeństwa finansowego, bez kopiowania dokumentu tożsamości (by uniknąć kary od GIIF)?