vastleggen onbewerkte kopie ID door bank in strijd met avg

Mag een bank een kopie of scan van een onbewerkt identiteitsdocument van de consument verwerken om te voldoen aan de verplichtingen onder de Wwft?

De geschillencommissie van Kifid komt in een klachtzaak tot de conclusie dat de bank een kopie of scan van een onbewerkt identiteitsdocument mag opvragen om te voldoen aan de identificatie- en verificatieplicht. Een kopie of scan mag vervolgens alleen worden vastgelegd als de pasfoto is afgeschermd en er een watermerk is aangebracht. De Geschillencommissie maakt in deze zaak onderscheid tussen enerzijds het moeten identificeren en verifiëren van de identiteit van de klant en anderzijds het vastleggen en bewaren van de gegevens van de klant.

Verplichtingen uit de Wwft

Banken zijn op grond van de Wet ter voorkoming van witwassen en financieren van terrorisme (de Wwft) verplicht cliëntenonderzoek te verrichten. Met de implementatie van richtlijn (EU) 2015/849 (de vierde anti-witwasrichtlijn) in de Wwft, zijn de eisen aan het cliëntenonderzoek en de uitvoering daarvan verder aangescherpt.

In art. 3 lid 2 sub a Wwft is opgenomen dat het cliëntenonderzoek de bank instaat moet stellen om de cliënt te identificeren en diens identiteit te verifiëren. Na het verrichten van het cliëntenonderzoek moet de bank op grond van art. 5 lid 1 onder c Wwft beschikken over alle identificatie- en verificatiegegevens en overige gegevens inzake de identiteit van de cliënt.

Uit art. 33 Wwft volgt dat de bank verplicht is om de verkregen documenten en gegevens die zijn gebruikt voor de naleving van haar verplichtingen met betrekking tot het cliëntenonderzoek vast te leggen. In geval van een natuurlijk persoon gaat het ten minste om de geslachtsnaam, de voornamen, de geboortedatum, het adres en de woonplaats, of een afschrift van het document dat een ID-nummer bevat en aan de hand waarvan de verificatie van de identiteit heeft plaatsgevonden. Van het gebruikte ID-document moet de aard, het nummer en de datum en plaats van uitgifte worden vastgelegd.

Op grond van de AVG is het verwerken van het Burgerservicenummer (BSN) alleen toegestaan als de wet dit vereist. Banken zijn wettelijk verplicht om bij het verstrekken van informatie aan de belastingdienst het BSN te vermelden. Daarnaast moeten banken vanwege het depositogarantiestelsel het BSN van hun rekeninghouders delen met de Nederlandsche Bank. De bank hoeft bij het vastleggen en het bewaren van een kopie van het ID-bewijs het BSN niet af te schermen.

Bijzondere persoonsgegevens verwerken

Mag een bank nu een kopie of scan van een geheel onbewerkt identiteitsdocument opvragen, vastleggen en bewaren in het kader van het cliëntenonderzoek? De hier bedoelde gegevens zijn te kwalificeren als bijzondere persoonsgegevens. Op grond van art. 9 AVG is het verboden om bijzondere persoonsgegevens te verwerken, tenzij er een uitzonderingsgrondslag van toepassing is. Het verwerken van deze persoonsgegevens is op grond van art. 6 lid 1 onder c AVG onder meer toegestaan wanneer de verwerking noodzakelijk is om te voldoen aan een wettelijke verplichting. Of de bank deze gegevens mag verwerken hangt dus af van de vraag of dit noodzakelijk is om te voldoen aan een wettelijke verplichting onder de Wwft en van het doel ervan. In uitspraak GC 2022-0013 gaat de geschillencommissie van Kifid op deze vraag in.

Klacht over het niet accepteren van afgeplakt ID-bewijs

Een consument met een betaalrekening bij ABN AMRO krijgt van de bank het verzoek om haar identiteitsdocument aan te leveren. De consument levert de bank een foto aan van haar ID-bewijs. Daarbij heeft zij het Burgerservicenummer afgeplakt en de kopie voorzien van de tekst “ABN AMRO”. De bank laat weten dat deze kopie niet voldoet. De bank verlangt een scan of kopie van een onbewerkt ID-bewijs. De consument is het hier niet mee eens en stelt een klacht in bij Kifid.

Identificatie- en verificatieplicht & vastleggen en bewaren

De hoofdvraag voor de geschillencommissie van Kifid is of de bank voor het klantenonderzoek een kopie of scan van een onbewerkt ID-bewijs mag opvragen, vastleggen en bewaren. Op grond van de AVG moet de verwerking van gegevens worden beperkt tot dat wat noodzakelijk is voor het doel van de gegevensverwerking. Voor de beantwoording van de vraag of een onbewerkt ID-bewijs noodzakelijk is om te voldoen aan de anti-witwasregels, maakt de geschillencommissie een onderscheid tussen enerzijds de identificatie- en verificatieplicht en anderzijds de verplichting tot het vastleggen en bewaren van de gegevens uit het klantenonderzoek.

Identificatie- en verificatieplicht

De geschillencommissie komt tot de conclusie dat de bank een kopie of scan van een onbewerkt ID-bewijs mag opvragen voor het identificeren en verifiëren van de identiteit van de consument. Alleen dan, zo motiveert de commissie, kan de bank voldoen aan de wettelijke identificatie- en verificatieplicht.

Vastleggen en bewaren

Waar het gaat om het vastleggen en bewaren van het onbewerkte ID-bewijs komt de commissie echter tot een ander oordeel. De geschillencommissie stelt zich de vraag welk doel wordt gediend met het vastleggen en bewaren van het onbewerkte ID-bewijs. Een financiële dienstverlener, zo stelt de commissie, moet gegevens uit het klantenonderzoek vastleggen en bewaren om bij ongebruikelijke transacties een melding te kunnen doen aan het centrale meldpunt. Deze gegevens moeten worden bewaard om wanneer nodig te kunnen voldoen aan een bevel van een opsporingsorganisatie.

Gegevens die in art. 33 Wwft niet worden genoemd, mogen naar het oordeel van de commissie alleen worden verwerkt als de financiële dienstverlener motiveert waarom dat noodzakelijk is. Hierbij rekening houdend met het uitgangspunt van minimale gegevensverwerking zoals dat in de AVG wordt bepaald. Noch uit de Wwft, noch uit de toelichting van de bank blijkt niet dat het nodig is om de pasfoto op het ID-bewijs vast te leggen en te bewaren.

De geschillencommissie oordeelt dat de bank voor het vastleggen en bewaren van een kopie van het gebruikte ID-bewijs de pasfoto hierop moet afschermen. Ook moet de bank misbruik met de vastgelegde kopie van het ID-bewijs voorkomen, bijvoorbeeld door het aanbrengen van een watermerk.

Afschermen en kenmerken

De commissie is van oordeel dat de bank een kopie of scan van een onbewerkt identiteitsdocument van de consument mag opvragen voor identificatie- en verificatiedoeleinden. De consument mag niets afdekken en geen kenmerken aanbrengen op de kopie of scan die zij aanlevert ter identificatie. De bank mag die kopie of scan echter niet onbewerkt vastleggen en bewaren. De bank zal in ieder geval de pasfoto moeten afschermen en een “watermerk” op de kopie of scan moeten aanbrengen.

Vragen over Privacykwesties?

Heb je nog vragen over dit onderwerp of over het privacyrecht in het algemeen, neemt dan gerust contact op of lees andere artikelen over dit onderwerp.