Czy instytucja obowiązana może skanować lub kserować dowód osobisty klienta i czy musi to robić?

Może, ale nie musi. Art. 34 ust. 4 ustawy AML pozwala instytucji obowiązanej przetwarzać informacje z dokumentu tożsamości klienta i osoby upoważnionej do działania w jego imieniu oraz sporządzać kopie tych dokumentów - wyłącznie na potrzeby stosowania środków bezpieczeństwa finansowego. To uprawnienie, a nie obowiązek. Obowiązkiem jest identyfikacja klienta (art. 36) i weryfikacja jego tożsamości (art. 37), do której zwykle wystarcza okazanie dokumentu i zapisanie danych. Kopia jest uzasadniona wtedy, gdy wynika z oceny ryzyka (art. 33 ust. 4) i zasad opisanych w procedurze wewnętrznej. Gdy środków bezpieczeństwa finansowego się nie stosuje, ustawa AML nie daje podstawy do kopiowania dowodu. Kopie przechowuje się 5 lat (art. 49 ust. 1 pkt 1), z zachowaniem zasady minimalizacji danych i zabezpieczeń z RODO.