Vastleggen van de foto is niet noodzakelijk om te voldoen aan de WWFT
In een klachtzaak van een consument tegen de ABN AMRO heeft het KIFID, het Klachteninstituut Financiële Dienstverlening, een opmerkelijke uitspraak gedaan. KIFID stelt dat een bank wel om een onbewerkte kopie van een paspoort mag vragen om de echtheid daarvan te onderzoeken, maar die kopie vervolgens niet mag opslaan. Dit is volgens KIFID niet noodzakelijk om te voldoen aan de WWFT en is daarmee in strijd met de AVG.
Klager, een klant van ABN AMRO, wordt door de bank – in het kader van heridentificatie – gevraagd om zich online te identificeren. Daarbij heeft zij op de voor- en achterzijde van haar identiteitsdocument plakband aangebracht met daarop de tekst ‘ABN AMRO’ en het Burgerservicenummer (hierna: BSN) afgeplakt. De bank gaat daarmee niet akkoord. Daarover dient zij een klacht in bij KIFID.
Echtheidskenmerken
De bank voert ten verweer aan dat zij de echtheidskenmerken van het document dient te controleren. Het aanleveren van een bewerkt identiteitsdocument volstaat daarom niet. Bovendien is de bank vrij om zelf te kiezen hoe zij het identificatie- en verificatieproces inricht, aldus ABN AMRO.
Vastlegging conform WWFT
ABN AMRO stelt op grond van artikel 33 WWFT verplicht te zijn om de documenten en gegevens die zijn gebruikt voor het cliëntenonderzoek op opvraagbare wijze vast te leggen. De bank doet dat door een kopie te maken van het identiteitsdocument. Daarmee kan zij aantonen dat zij het identiteitsdocument daadwerkelijk heeft gezien en dat daarin na de identificatie geen wijzigingen zijn aangebracht. Ook om deze reden volstaat het aanleveren van een bewerkt identiteitsdocument niet. Volgens de bank bevestigt de Autoriteit Persoonsgegevens op haar website dat banken gerechtigd zijn een kopie of scan van identiteitsbewijzen van haar klanten te maken.
WWFT Cliëntenonderzoek
KIFID zet uiteen dat een bank op grond van artikel 3 lid 2 sub a WWFT verplicht is om cliëntenonderzoek te verrichten en op grond van artikel 5 lid 1 sub c WWFT gehouden is om over identificatie- en verificatiegegevens en overige gegevens inzake de identiteit van de cliënt te beschikken. De instelling is vervolgens verplicht de verkregen documenten en gegevens die zijn gebruikt voor de naleving van haar verplichtingen met betrekking tot het cliëntenonderzoek vast te leggen. Uit artikel 33 WWFT volgt dat van het gebruikte identiteitsdocument de aard, het nummer en de datum en plaats van uitgifte worden vastgelegd.
Gegevensverwerking volgens de AVG
KIFID overweegt dat zowel het opvragen van een foto of scan van het identiteitsdocument als het vastleggen daarvan, een verwerking van persoonsgegevens is als bedoeld in de Algemene verordening gegevensbescherming (AVG). Het verwerken van persoonsgegevens is onder meer toegestaan wanneer de verwerking noodzakelijk is om te voldoen aan een wettelijke verplichting (artikel 6 lid 1 onder c AVG). De AVG neemt daarbij het beginsel van minimale gegevensverwerking als uitgangspunt (artikel 5 lid 1 sub c AVG).
Bewaren van onbewerkt document met pasfoto is in strijd met AVG
KIFID overweegt vervolgens dat de bank in het kader van de identificatie en verificatie wel een onbewerkt identiteitsdocument mag opvragen, teneinde de echtheid vast te stellen. Daarbij moet ook de foto zichtbaar zijn. Uit artikel 33 WWFT volgt volgend KIFID niet dat de pasfoto op het identiteitsdocument moet worden vastgelegd. Daarmee gaat de bank te ver en handelt dus in strijd met het beginsel van minimale gegevensverwerking, zoals vastgelegd in artikel 5 lid 1 sub c van de AVG.
Wel opvragen, niet bewaren
Resumerend is de commissie van oordeel dat de bank wel een foto of scan van het onbewerkte identiteitsdocument van de consument mag opvragen voor identificatie- en verificatiedoeleinden, maar dat zij die foto of scan niet onbewerkt mag vastleggen en bewaren. De bank zal in ieder geval de pasfoto moeten afschermen en een watermerk moeten aanbrengen. De consument mag daarom niet schrijven op de foto of scan die zij aanlevert ter identificatie. Zij mag wel van de bank eisen dat de kopie die zij vastlegt en bewaart bewerkt wordt.
KIFID, Uitspraak 2022-0013 (bindend advies), 10 januari 2022
Noot
In de Algemene leidraad Wet ter voorkoming van witwassen en financieren van terrorisme, alsmede in de Richtsnoeren Identificatie en verificatie van persoonsgegevens wordt het vastleggen van een identiteitsdocument toegestaan als manier om aan te tonen dat voldaan is aan het cliëntenonderzoek van de WWFT. KIFID brengt daar dus nu, althans voor de financiële dienstverlening, een belangrijke beperking in aan. Maar aangezien dezelfde regels gelden voor alle WWFT-instellingen, zou deze interpretatie dus ook gevolgen kunnen hebben voor andere WWFT-instellingen.
