Kifid: botsen de regels van AVG en antiwitwassen (Wwft), of niet?

Het is niet de eerste keer dat een consument bij Kifid klaagt over de zogenoemde identificatieplicht als onderdeel van het klantenonderzoek door financiële instellingen. Consumenten vragen zich af of een financiële dienstverlener hen wel kan verplichten om zich (opnieuw) te identificeren. En vaak betwisten ze ook de manier waarop ze zich moeten identificeren. De discussie over het ‘of’ en ‘hoe’ is mede het gevolg van de heel algemeen geformuleerde regels in de relevante wetgeving, aldus de Geschillencommissie van Kifid in een vandaag gepubliceerde uitspraak. In deze klachtzaak concludeert de Geschillencommissie dat DeGiro een kopie van het identiteitsbewijs met zichtbare pasfoto en machinaal leesbare identiteitsgegevens (mrz) van de klant mag verlangen. Ze hoeven geen genoegen te nemen met een ID-bewijs waarop de pasfoto en het gedeelte met de machinaal leesbare identiteitsgegevens onzichtbaar zijn gemaakt. Werkt de klant daar niet aan mee, dan mag DeGiro de beleggingsrekening blokkeren.

Identificatie eisen mag

Voor de beoordeling van deze en soortgelijke klachten heeft de Geschillencommissie van Kifid te maken met zowel de algemene verordening gegevensbescherming (AVG) als met de wet ter voorkoming van witwassen en financiering van terrorisme (Wwft). Het uitgangspunt is dat een financiële dienstverlener alleen persoonsgegevens mag verwerken als daarvoor een reden is te vinden in de AVG. Zo staat er in de AVG dat de verwerking van persoonsgegevens is toegestaan als dit noodzakelijk is om te voldoen aan een wettelijke verplichting. In deze zaak heeft DeGiro zo’n wettelijke verplichting: volgens de Wwft moet de financiële dienstverlener de identiteit van nieuwe en bestaande klanten controleren. De wet laat daarbij ruimte aan de financiële dienstverlener om zelf te bepalen hoe hij dat doet. Weigert een klant medewerking, dan mag de financiële dienstverlener geen transacties voor die klant uitvoeren.

Wat is ‘noodzakelijk’ voor identificatie

In de klacht van de consument tegen DeGiro heeft de Geschillencommissie zich gebogen over de vraag wat ‘noodzakelijk’ is. Is het noodzakelijk, om te voldoen aan het klantenonderzoek van de Wwft, dat DeGiro een kopie van een ID-bewijs opvraagt waarop de pasfoto en de zone met ‘door de computer in te lezen gegevens’ (mrz) zichtbaar zijn? Voor het antwoord op deze vraag is gekeken naar zowel de bewoording in de wet, als naar wat hierover in de Memorie van toelichting bij de Wwft is te vinden en in relevante leidraden van toezichthouders.

‘Hoe’ mogen financiële instelling zelf bepalen

Zo blijkt uit de memorie van toelichting bij de Wwft dat de wetgever financiële instellingen de ruimte wilde geven om zelf te bepalen hoe zij het klantenonderzoek willen doen. De wetgever is uitgegaan van een klantenonderzoek dat risicogericht is. Afhankelijk van de ingeschatte risico’s bij bepaalde klanten en producten kan het klantenonderzoek verschillen. Aangezien financiële instellingen eigen beleid mogen maken voor hun klantenonderzoek, kan de manier waarop een financiële instelling vraagt om (her)identificatie van een klant per instelling dus verschillend zijn.

Verband tussen privacyregels (AVG) en antiwitwasregels (Wwft)

Over hoe de privacywetgeving en de Wwft zich tot elkaar verhouden is meer te vinden in de algemene leidraad bij de Wwft en in de memorie van toelichting. Zo verwijst de leidraad naar een publicatie van de Autoriteit Persoonsgegevens, waarin staat dat banken en andere financiële dienstverleners een kopie van een identiteitsbewijs mogen maken omdat zij op grond van de Wwft de identiteit van hun klant moeten vaststellen.

Alles afwegend en kijkend naar zowel de AVG als naar de Wwft oordeelt de Geschillencommissie dat DeGiro van de consument een kopie van zijn ID-bewijs met zichtbare pasfoto en machinaal leesbare identiteitsgegevens (mrz) mag verlangen. Voor DeGiro is dit noodzakelijk om te voldoen aan het wettelijk verplichte klantenonderzoek. Wanneer de financiële instelling een kopie van het ID-bewijs zonder pasfoto en machinaal leesbare identiteitsgegevens zou accepteren, zou haar klantenonderzoek minder effectief zijn.

De uitspraak GC 2021-0879 in deze klacht van een consument tegen DeGiro is bindend. Vanwege het belang van deze klachtzaak heeft de Geschillencommissie bepaald dat de consument desgewenst tegen de uitspraak in beroep kan gaan bij de Commissie van Beroep.