Banken mogen onbewerkt ID opvragen, maar niet zomaar bewaren

Financiële dienstverleners moeten zorgvuldig omgaan met persoonsgegevens van klanten, vooral bij het verwerken van identiteitsbewijzen. Het Kifid, het financiële klachteninstituut, heeft zich hierover recent uitgesproken. Een bank mag een onbewerkt identiteitsbewijs opvragen voor identificatie en verificatie, maar moet dit document voor opslag aanpassen om de privacy van de klant te beschermen.

De uitspraak van het Kifid volgt op een klacht van een klant van ABN AMRO. De bank vroeg de klant in 2020 om opnieuw een identiteitsbewijs aan te leveren vanwege aangescherpte anti-witwasregels. De klant voorzag de bank van een bewerkte foto van haar ID, waarbij het BSN was afgeplakt en een watermerk was toegevoegd. De bank accepteerde dit niet en eiste een onbewerkt document, wat leidde tot de klacht bij het Kifid.

Identificatie versus opslag

De Geschillencommissie van het Kifid maakt een duidelijk onderscheid tussen het identificeren en verifiëren van een klant, en het vastleggen en bewaren van diens gegevens. Voor identificatie is een onbewerkt identiteitsbewijs noodzakelijk. Dit stelt banken in staat de echtheidskenmerken van het document geautomatiseerd te controleren en zo te voldoen aan de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft). Een bewerkt document belemmert deze controle, zo stelt de commissie.

Echter, de noodzaak voor het bewaren van een *onbewerkt* identiteitsbewijs is er niet. Volgens de Algemene Verordening Gegevensbescherming (AVG) mogen gegevens alleen worden verwerkt als dit noodzakelijk is voor het gestelde doel. De Wwft specificeert welke gegevens een bank moet bewaren voor klantenonderzoek, bijvoorbeeld voor meldingen van ongebruikelijke transacties. De Wwft vereist niet dat de pasfoto op het ID-bewijs wordt bewaard. Daarom oordeelt het Kifid dat banken bij het bewaren van een kopie van het ID-bewijs de pasfoto moeten afschermen en een watermerk moeten aanbrengen om misbruik te voorkomen.

Het Burgerservicenummer (BSN) vormt een uitzondering. Banken mogen het BSN wel opvragen, vastleggen en bewaren. Dit is toegestaan omdat banken wettelijk verplicht zijn het BSN te gebruiken voor bijvoorbeeld de Belastingdienst en het depositogarantiestelsel van De Nederlandsche Bank. De bank moet de klant echter wel informeren dat het BSN uitsluitend voor deze wettelijke verplichtingen wordt verwerkt.

Lees ook: Evaluatie Kifid: onafhankelijkheid geborgd, behandeltijden onder druk · Verzekeraar moet uitvaartkosten betalen na onduidelijke gezondheidsvragen