Bank mag onbewerkte persoonsgegevens bewaren
De Commissie van Beroep Financiële Dienstverlening van het Kifid (hierna: de Commissie) heeft geoordeeld dat een bank de onbewerkte persoonsgegevens van haar klanten mag bewaren in het kader van haar verplichting op grond van de Wwft[1]. Het opvragen of bewaren van een kopie of scan van het onbewerkte identiteitsdocument is niet in strijd met de AVG[2].
De feiten
Een consument heeft al langere tijd een bankrekening. De bank moet op grond van de Wwft de identiteit van haar klant controleren. Dit doet de bank aan de hand van een kopie van het identiteitsdocument. De consument had de voor- en achterkant en het BSN op haar identiteitsdocument afgeplakt en foto hiervan ingediend. Dit volstond niet volgens de bank, waarop de consument nogmaals een kopie van het afgeplakte identiteitsdocument heeft ingediend, welke weer werd afgewezen. De consument had een klacht ingediend bij de bank. De klacht is door de bank afgewezen waarna de consument een klacht bij Kifid heeft ingediend.
Oordeel Geschillencommissie
De geschillencommissie van het Kifid oordeelt dat het de bank is toegestaan om een onbewerkt identiteitsdocument te vragen voor identificatie- en verificatiedoeleinden. De bank mag deze gegevens niet zomaar bewaren, dit zou namelijk in strijd zijn met het beginsel van minimale gegevensverwerking.
De bank mag dus onbewerkte kopieën van identiteitsdocumenten verzoeken. De klant mag daarentegen wel eisen dat de bank de kopie die zij vastlegt en bewaart wel bewerkt. Kifid laat zich ook uit over het verwerken van het BSN. De bank mag het BSN verwerken op grond van de Algemene wet inzake rijksbelastingen en niet zozeer op grond van de Wwft.
Oordeel Commissie
Wwft
De bank is in beroep gegaan tegen het oordeel van de geschillencommissie. De Commissie erkent dat de bank op grond van de Wwft verplicht haar klanten te identificeren en de identiteit te verifiëren. Zonder dit proces mag de bank geen zakelijke relatie aangaan met haar klant. Het staat de bank vrij om dit proces naar eigen keuze in te richten.
Om te voldoen aan haar verplichting moet de bank beschikken over onbewerkte identiteitsdocumenten, dit is namelijk noodzakelijk om de echtheid ervan te controleren.[3] Ook is de bank verplicht om deze gegevens vast te leggen om haar eigen verplichtingen na te leven.[4] Dit moet zij namelijk doen tot 5 jaar nadat de relatie met haar klant is geëindigd.[5] Gelet hierop acht de Commissie het noodzakelijk voor de bank om alle gegevens die nodig zijn voor het klantenonderzoek te bewaren, dus ook een onbewerkt identiteitsdocument met een herkenbare pasfoto daarop.
AVG
Het beginsel van minimale gegevensverwerking vloeit voort uit de AVG.[6] De verwerking van gegevens moeten worden beperkt tot alleen wat noodzakelijk is. Verwerking van biometrische gegevens tot identificatie van een persoon is verboden tenzij er een uitzonderingsgrond van toepassing is.[7] Een foto is een biometrische gegeven[8] wanneer de verwerking daarvan gebeurt met het oog op identificatie.[9] Omdat dit het geval is bij de bank, is het in beginsel verboden om deze gegevens te verwerken. De uitzondering is van toepassing als de verwerking ziet op onder meer het verwerken met het oog op de identificatie van de betrokkene, en slechts voor zover de verwerking voor dat doel onvermijdelijk is.[10]
Doordat het bewaren van het onbewerkte identiteitsdocument door de bank noodzakelijk is en voor de identificatie van haar klant onvermijdelijk, en omdat aan de hand daarvan zij kan voldoen aan haar eigen verplichtingen, valt dit onder de uitzondering. Gelet hierop oordeelt de Commissie dat de bank een onbewerkt identiteitsdocument van haar klant mag opvragen en verwerken.
Heeft u vragen over persoonsgegevens? Neem dan contact op met een van onze specialisten.
[1] Wet ter voorkoming van witwassen en financieren van terrorisme.
[2] Algemene verordening gegevensbescherming.
[3] Artikel 11 lid 1 Wwft en artikel 4 Uitvoeringsbesluit Wwft.
[4] Artikel 33 lid 1 Wwft.
[5] Artikel 33 lid 3 Wwft.
[6] Artikel 5 lid 1 aanhef en onder c AVG.
[7] Artikel 9 AVG.
[8] Artikel 14 en artikel 4 definitie AVG.
[9] Artikel 15 AVG.
[10] Artikel 25 Uitvoeringswet AVG, artikel 9 lid 2 aanheft en onder g AVG.
