Onlangs heeft de Geschillencommissie van Kifid zich opnieuw uitgesproken over de manier waarop een bank de identificatieplicht moet uitvoeren. Dit nadat iemand had geklaagd, dat ABN-AMRO geen genoegen nam met een kopie waarop de foto en het BSN waren afgeplakt. Wat mag nu wel en wat mag nu niet?

In deze klachtzaak maakt de Geschillencommissie onderscheid tussen enerzijds het moeten identificeren en verifiëren van de identiteit van de klant en anderzijds het vastleggen en bewaren van de gegevens van de klant. Voor het (opnieuw) identificeren en verifiëren van de identiteit van de consument mag de bank een foto of scan van een onbewerkt ID-bewijs opvragen. Echter, voor het vastleggen en bewaren van een kopie van dit ID-bewijs moet de bank de pasfoto afschermen en een watermerk aanbrengen om misbruik te voorkomen. Doet de bank dat niet, dan is dat in strijd met de Algemene verordening gegevensbescherming (AVG), zo blijkt uit de uitspraak.

Klacht
Een consument met een betaalrekening bij ABN AMRO kreeg in september 2020 van de bank het verzoek om opnieuw haar identiteitsdocument aan te leveren. Op die manier zou de bank kunnen voldoen aan de aangescherpte eisen van de Europese anti-witwasregels. De consument voorzag de bank van een foto van haar ID-bewijs, waarbij het Burgerservicenummer was afgeplakt en de voor- en achterkant van het ID-bewijs waren voorzien van plakband met daarop de tekst ‘ABN AMRO’. De bank liet weten dat de foto van haar bewerkte ID-bewijs niet voldoet. De bank verlangde een scan of kopie van een onbewerkt ID-bewijs. De consument ging hier niet in mee en stelde dat een foto of scan van haar bewerkte ID-bewijs voldoende moest zijn zolang al haar persoonsgegevens zichtbaar waren. Zij beklaagde zich hierover vervolgens bij Kifid.

Bewerkt of onbewerkt ID-bewijs?
De hoofdvraag voor de Geschillencommissie is of de bank voor het klantenonderzoek een foto of scan van een onbewerkt ID-bewijs mag opvragen, vastleggen en bewaren. Voor beantwoording hiervan is zowel de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) van belang als de AVG. Volgens de AVG moet de verwerking van gegevens worden beperkt tot dat wat noodzakelijk is voor het doel van de gegevensverwerking. Voor beantwoording van de vraag ‘of een onbewerkt ID-bewijs noodzakelijk is om te voldoen aan de anti-witwasregels’, maakt de Geschillencommissie een onderscheid tussen enerzijds de identificatie- en verificatieplicht en anderzijds de verplichting tot het vastleggen en bewaren van de gegevens uit het klantenonderzoek.

Identificatie- en verificatieplicht
Financiële dienstverleners zijn wettelijk verplicht om de identiteit van nieuwe en bestaande klanten te controleren. De bank moet er zeker van kunnen zijn dat de klant is wie hij zegt dat hij is. De bank doet dit door de echtheidskenmerken van het ID-bewijs geautomatiseerd te controleren. Hiervoor is een onbewerkt ID-bewijs noodzakelijk; bij een bewerkt ID-bewijs zijn de echtheidskenmerken niet goed leesbaar. Dit brengt de Geschillencommissie tot de conclusie dat de bank een foto of scan van een onbewerkt ID-bewijs mag opvragen voor het identificeren en verifiëren van de identiteit van de consument. Alleen dan kan de bank voldoen aan de wettelijke identificatie- en verificatieplicht.

ID-bewijs vastleggen en bewaren
Van die noodzaak is de Geschillencommissie niet overtuigd als het gaat om het vastleggen en bewaren van het onbewerkte ID-bewijs. Welk doel is hiermee gediend? Een financiële dienstverlener moet gegevens uit het klantenonderzoek vastleggen en bewaren om bij ongebruikelijke transacties een melding te kunnen doen aan het centrale meldpunt. En de gegevens moeten worden bewaard om wanneer nodig te kunnen voldoen aan een bevel van een opsporingsorganisatie. In artikel 33 van de Wwft is vermeld welke gegevens hiervoor moeten worden vastgelegd en bewaard. Gegeven het uitgangspunt van minimale gegevensverwerking in de AVG, mogen gegevens die in artikel 33 van de Wwft niet worden genoemd alleen worden verwerkt als de financiële dienstverlener motiveert waarom dat noodzakelijk is, aldus de Geschillencommissie. Uit de Wwft volgt niet dat het noodzakelijk is om de pasfoto op het ID-bewijs vast te leggen en te bewaren. En in deze klachtzaak heeft de bank onvoldoende duidelijk gemaakt waarom zij meer gegevens zou moeten verwerken.

Afschermen en watermerk
De Geschillencommissie oordeelt dat de bank voor het vastleggen en bewaren van een kopie van het gebruikte ID-bewijs de pasfoto hierop moet afschermen. Ook moet de bank misbruik met de vastgelegde kopie van het ID-bewijs voorkomen, bijvoorbeeld door het aanbrengen van een watermerk.
De slotconclusie is dat de bank voor het identificeren en verifiëren van de identiteit van een klant een onbewerkte kopie van het ID-bewijs mag verlangen. Echter, de bank mag geen onbewerkte kopie van het ID-bewijs van een consument vastleggen en bewaren; doet de bank dit wel, dan is dat in strijd met de minimale gegevensverwerking volgens de AVG.

Burgerservicenummer vastleggen en bewaren
Volgens de AVG is het verwerken van het Burgerservicenummer alleen toegestaan als de wet dit vereist. Banken zijn wettelijk verplicht om bij het verstrekken van informatie aan de belastingdienst het Burgerservicenummer te vermelden. En vanwege het depositogarantiestelsel moeten banken het Burgerservicenummer van hun rekeninghouders delen met De Nederlandsche Bank. Dit leidt tot de conclusie dat banken de Burgerservicenummers van de consumenten mogen opvragen, vastleggen en bewaren. De bank hoeft voor het vastleggen en bewaren van de kopie van het ID-bewijs het Burgerservicenummer niet af te schermen. Wel is de bank verplicht om de consument te informeren dat het Burgerservicenummer alleen voor de hiervoor genoemde wettelijke verplichtingen wordt verwerkt.

De uitspraak GC 2022-0013 in deze klacht van een consument tegen ABN AMRO is bindend.