Kopie onbewerkt legitimatiebewijs opslaan, mag dat?

20 januari 2022 om 13:45

Een klant heeft een betaalrekening bij de bank. Op enig moment is zij door de bank verzocht zich online te identificeren. De klant levert een kopie legitimatiebewijs aan zonder foto en met afgeschermd BSN. De bank geeft aan dat zij alleen aan haar verplichtingen op grond van de Wwft kan voldoen door identificatie en verificatie aan de hand van een foto of scan van een onbewerkt identiteitsdocument en het vastleggen en bewaren van een volledige kopie daarvan. Is dat wel zo? 

De feiten 

Vanaf 2019 controleert de bank opnieuw de identiteit van haar klanten. In 2020 wordt de klant benaderd met het verzoek zich online te identificeren, inclusief een uitleg waarom dit moet en hoe dit moet gebeuren. Na een herinnering van de bank doorloopt de klant het onlineproces en levert een kopie van een identiteitsbewijs aan waarvan de pasfoto en BSN onleesbaar zijn gemaakt en waar de naam van de bank op staat. De bank reageert hierop dat het identificatieproces niet goed is doorlopen en verzoekt de klant dit opnieuw te doen. De klant dient hierop een klacht in. 

Na telefonisch contact met een bankmedewerker, die aangeeft dat er best een tekst op de kopie mag staan als de pasfoto maar goed zichtbaar is, levert de klant een nieuw kopie van het identiteitsbewijs aan. Deze wordt wederom afgekeurd door de bank. 

De klant dient een klacht in bij het Kifid met de vraag of een foto of scan van haar bewerkte identiteitsdocument voldoende is om te voldoen aan de identificatieplicht zoals vastgelegd in de Wwft, zolang al haar persoonsgegevens zichtbaar zijn. 

Als verweer geeft de bank het volgende aan. Op grond van de Wwft is een financieel dienstverlener verplicht bij bestaande klanten het cliëntenonderzoek, als bedoeld in de Wwft, (opnieuw) te verrichten bij de eerste gelegenheid. Het cliëntenonderzoek bestaat uit identificatie van de cliënt en het verifiëren van diens identiteit. Identificatie en verificatie geschieden door vast te stellen dat een cliënt is wie hij zegt te zijn aan de hand van een foto of scan van een onbewerkt identiteitsdocument. De bank controleert daarbij de echtheidskenmerken van het identiteitsdocument. Deze bevinden zich op verschillende plekken over het gehele document. Het tonen van een beschreven of bewerkt identiteitsdocument verhindert de controle van die echtheidskenmerken. Het aanleveren van een bewerkt identiteitsdocument volstaat daarom niet.  

Daarnaast is de bank verplicht om de documenten en gegevens die zijn gebruikt voor het cliëntenonderzoek op opvraagbare wijze vast te leggen. De bank doet dat door een kopie te maken van het identiteitsdocument. De Autoriteit Persoonsgegevens (AP) bevestigt op haar website dat banken gerechtigd zijn een kopie of scan van identiteitsbewijzen van haar klanten te maken. 
 
Wat de verwerking van het BSN betreft, stelt de bank dat zij verplicht is informatie over haar cliënten aan de belastingdienst door te geven en daarbij het BSN te vermelden. Ook dient de bank het BSN te verwerken voor het depositogarantiestelsel van De Nederlandsche Bank. De bank geeft aan dat het daarom gerechtigd is het BSN te verwerken. 

De beoordeling 

De vraag die de geschillencommissie moet beantwoorden is of de bank een foto of scan van een onbewerkt identiteitsdocument van de consument mag verwerken om te voldoen aan de verplichtingen onder de Wwft. De commissie komt tot de conclusie dat de bank een foto of scan van een onbewerkt identiteitsdocument mag opvragen om te voldoen aan de identificatie- en verificatieplicht. Een kopie van de foto of scan mag vervolgens alleen worden vastgelegd als de pasfoto is afgeschermd en een watermerk is aangebracht. De consument mag daarom niet schrijven op de foto of scan die zij aanlevert ter identificatie. Zij mag wel van de bank eisen dat de kopie die zij vastlegt en bewaart door de bank bewerkt wordt.  

Wat kunt u doen? 

Ook adviseurs en bemiddelaars zijn verplicht om de identiteit van de klant vast te stellen en te verifiëren als het om levensverzekeringen gaat. Als u de klant heeft gezien en zelf een kopie heeft kunnen maken van het originele legitimatiebewijs is dat niet moeilijk. Als u de klant alleen online heeft gezien, zult u een kopie van de klant moeten ontvangen en deze moeten controleren aan de hand van het origineel dat de klant u laat zien. In uw dienstverlening zal ook regelmatig voorkomen dat het BSN van de klant moet worden doorgegeven aan een aanbieder, maar u mag als financieel dienstverlener deze nooit verwerken (en dus ook niet doorgeven) volgens de AVG. Zorg ervoor dat nergens in uw administratie kopieën van een pasfoto en BSN van uw klanten zichtbaar zijn op ID-bewijzen. Denk hierbij niet alleen aan uw CRM-applicatie, maar ook aan e-mail en bijvoorbeeld Whatsapp. Een alternatief is om in uw CRM op te slaan dat u de kant heeft geïdentificeerd aan de hand van rijbewijs, paspoort of ID kaart en het betreffende documentnummer en datum geldigheid. Ook daarmee toont u aan dat u de klant heeft geïdentificeerd en kunt u het document zelf verwijderen. 

Wat kan SVC voor u doen? 

In onze Kennisportal hebben wij voorbeelden van beleid en procedures die u kunnen ondersteunen bij uw werkzaamheden in het kader van de Wwft. Ook geven wij workshops over de Wwft. Wilt u hier meer informatie over? Neemt u dan contact met ons op.