Kifid: onbewerkte kopie van ID-bewijs vastleggen is in strijd met de AVG

Onlangs heeft de Geschillencommissie van Kifid zich opnieuw uitgesproken over de manier waarop een bank de identificatieplicht moet uitvoeren. In deze klachtzaak maakt de Geschillencommissie onderscheid tussen enerzijds het moeten identificeren en verifiëren van de identiteit van de klant en anderzijds het vastleggen en bewaren van de gegevens van de klant. Voor het (opnieuw) identificeren en verifiëren van de identiteit van de consument mag de bank een foto of scan van een onbewerkt ID-bewijs opvragen. Echter, voor het vastleggen en bewaren van een kopie van dit ID-bewijs moet de bank de pasfoto afschermen en een watermerk aanbrengen om misbruik te voorkomen. Doet de bank dat niet, dan is dat in strijd met de Algemene verordening gegevensbescherming (AVG), zo blijkt uit de vandaag gepubliceerde uitspraak.

Een consument met een betaalrekening bij ABN AMRO krijgt in september 2020 van de bank het verzoek om opnieuw haar identiteitsdocument aan te leveren. Op die manier kan de bank voldoen aan de aangescherpte eisen van de Europese anti-witwasregels. De consument voorziet de bank van een foto van haar ID-bewijs, waarbij het Burgerservicenummer is afgeplakt en de voor- en achterkant van het ID-bewijs is voorzien van plakband met daarop de tekst ‘ABN AMRO’. De bank laat weten dat de foto van haar bewerkte ID-bewijs niet voldoet. De bank verlangt een scan of kopie van een onbewerkt ID-bewijs. De consument gaat hier niet in mee en stelt dat een foto of scan van haar bewerkte ID-bewijs voldoende moet zijn zolang al haar persoonsgegevens zichtbaar zijn. Zij beklaagt zich hierover vervolgens bij Kifid.

Bewerkt of onbewerkt ID-bewijs?

De hoofdvraag voor de Geschillencommissie is of de bank voor het klantenonderzoek een foto of scan van een onbewerkt ID-bewijs mag opvragen, vastleggen en bewaren. Voor beantwoording hiervan is zowel de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) van belang als de AVG. Volgens de AVG moet de verwerking van gegevens worden beperkt tot dat wat noodzakelijk is voor het doel van de gegevensverwerking. Voor beantwoording van de vraag ‘of een onbewerkt ID-bewijs noodzakelijk is om te voldoen aan de anti-witwasregels’, maakt de Geschillencommissie een onderscheid tussen enerzijds de identificatie- en verificatieplicht en anderzijds de verplichting tot het vastleggen en bewaren van de gegevens uit het klantenonderzoek.

Identificatie- en verificatieplicht

Financiële dienstverleners zijn wettelijk verplicht om de identiteit van nieuwe en bestaande klanten te controleren. De bank moet er zeker van kunnen zijn dat de klant is wie hij zegt dat hij is. De bank doet dit door de echtheidskenmerken van het ID-bewijs geautomatiseerd te controleren. Hiervoor is een onbewerkt ID-bewijs noodzakelijk; bij een bewerkt ID-bewijs zijn de echtheidskenmerken niet goed leesbaar. Dit brengt de Geschillencommissie tot de conclusie dat de bank een foto of scan van een onbewerkt ID-bewijs mag opvragen voor het identificeren en verifiëren van de identiteit van de consument. Alleen dan kan de bank voldoen aan de wettelijke identificatie- en verificatieplicht.

ID-bewijs vastleggen en bewaren

Van die noodzaak is de Geschillencommissie niet overtuigd als het gaat om het vastleggen en bewaren van het onbewerkte ID-bewijs. Welk doel is hiermee gediend? Een financiële dienstverlener moet gegevens uit het klantenonderzoek vastleggen en bewaren om bij ongebruikelijke transacties een melding te kunnen doen aan het centrale meldpunt. En de gegevens moeten worden bewaard om wanneer nodig te kunnen voldoen aan een bevel van een opsporingsorganisatie. In artikel 33 van de Wwft is vermeld welke gegevens hiervoor moeten worden vastgelegd en bewaard. Gegeven het uitgangspunt van minimale gegevensverwerking in de AVG, mogen gegevens die in artikel 33 van de Wwft niet worden genoemd alleen worden verwerkt als de financiële dienstverlener motiveert waarom dat noodzakelijk is, aldus de Geschillencommissie. Uit de Wwft volgt niet dat het noodzakelijk is om de pasfoto op het ID-bewijs vast te leggen en te bewaren. En in deze klachtzaak heeft de bank onvoldoende duidelijk gemaakt waarom zij meer gegevens zou moeten verwerken.
De Geschillencommissie oordeelt dat de bank voor het vastleggen en bewaren van een kopie van het gebruikte ID-bewijs de pasfoto hierop moet afschermen. Ook moet de bank misbruik met de vastgelegde kopie van het ID-bewijs voorkomen, bijvoorbeeld door het aanbrengen van een watermerk.

Conclusie

De slotconclusie is dat de bank voor het identificeren en verifiëren van de identiteit van een klant een onbewerkte kopie van het ID-bewijs mag verlangen. Echter, de bank mag geen onbewerkte kopie van het ID-bewijs van een consument vastleggen en bewaren; doet de bank dit wel, dan is dat in strijd met de minimale gegevensverwerking volgens de AVG.

Burgerservicenummer vastleggen en bewaren

Volgens de AVG is het verwerken van het Burgerservicenummer alleen toegestaan als de wet dit vereist. Banken zijn wettelijk verplicht om bij het verstrekken van informatie aan de belastingdienst het Burgerservicenummer te vermelden. En vanwege het depositogarantiestelsel moeten banken het Burgerservicenummer van hun rekeninghouders delen met De Nederlandsche Bank. Dit leidt tot de conclusie dat de bank het Burgerservicenummer van de consument mag opvragen, vastleggen en bewaren. De bank hoeft voor het vastleggen en bewaren van de kopie van het ID-bewijs het Burgerservicenummer niet af te schermen. Wel is de bank verplicht om de consument te informeren dat het Burgerservicenummer alleen voor de hiervoor genoemde wettelijke verplichtingen wordt verwerkt.

De uitspraak GC 2022-0013 in deze klacht van een consument tegen ABN AMRO is bindend.