ECLI:NL:PHR:2025:260 text/xml public 2026-06-13T00:00:50 2025-02-20 Raad voor de Rechtspraak nl Parket bij de Hoge Raad 2025-02-21 24/02161 Conclusie NL Civiel recht Arrest Hoge Raad: ECLI:NL:HR:2026:392 Arrest Hoge Raad: ECLI:NL:HR:2026:921
Rechtspraak.nl Sdu Nieuws Privacyrecht 2025/13
http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:PHR:2025:260 text/html public 2025-02-25T15:47:49 2025-02-27 Raad voor de Rechtspraak nl ECLI:NL:PHR:2025:260 Parket bij de Hoge Raad , 21-02-2025 / 24/02161
Financieel recht. Gegevensbeschermingsrecht. Opzegging creditcardovereenkomst. Vastleggen en bewaren van gegevens cliëntenonderzoek (art. 3, 33 en 38 Wwft). Verboden verwerking biometrische gegevens (art. 9 jo. art. 4 onder 14 AVG)?
PROCUREUR-GENERAAL
BIJ DE
HOGE RAAD DER NEDERLANDEN
Nummer 24/02161
Zitting 21 februari 2025
CONCLUSIE
B.J. Drijber
In de zaak van
[eiser] ,
eiseres tot cassatie,
advocaat: J.W. de Jong,
tegen
International Card Services B.V. ,
verweerder in cassatie,
advocaat: F.E. Vermeulen.
Partijen worden hierna verkort aangeduid als [eiser] respectievelijk ICS .
1 Inleiding en samenvatting
1.1 Voor de tweede keer in korte tijd wordt aan de Hoge Raad een zaak voorgelegd waarin een natuurlijk persoon om naar het lijkt principiële redenen weigert in te gaan op een verzoek op grond van de Wet ter voorkoming van witwassen en financieren van terrorisme (hierna: Wwft ) van een financiële onderneming die zijn/haar identiteit wil vaststellen. In deze zaak heeft creditcardmaatschappij ICS in het kader van hernieuwd cliëntenonderzoek (waarbij bestaande cliënten wordt gevraagd zich te identificeren) [eiser] om een kopie van haar paspoort met pasfoto (ter identificatie) en een video-selfie (ter verificatie) verzocht. ICS bewaart de ontvangen kopie van het identiteitsbewijs met pasfoto en brengt daarop een watermerk aan. [eiser] meent kort gezegd dat een pasfoto niet mag worden bewaard.
1.2
[eiser] heeft niet gereageerd op herhaalde verzoeken van ICS. Dit was voor ICS aanleiding haar creditcard te blokkeren en, later, de creditcard-overeenkomst met haar op te zeggen.
1.3
[eiser] is een procedure begonnen tegen ICS. Zij heeft een groot aantal vorderingen ingesteld. De kantonrechter heeft die vorderingen afgewezen. Het hof heeft het vonnis van de kantonrechter bekrachtigd. De opzegging van de creditcardovereenkomst door ICS is zodoende in stand gebleven.
1.4 In cassatie richt [eiser] rechtsklachten tegen het arrest van het hof. Het middel betoogt in de eerste plaats dat het door ICS toegepaste (her)identificatieproces de verwerking van biometrische gegevens behelst, wat in beginsel verboden is op grond van artikel 9 van de Algemene verordening gegevensbescherming (hierna: AVG ). Het middel betoogt in de tweede plaats dat artikel 33 van de Wwft aan financiële ondernemingen geen wettelijke grondslag biedt voor het bewaren van een kopie van een identiteitsbewijs met pasfoto. ICS bestrijdt deze beide stellingen. Zij meent verder dat [eiser] geen belang heeft bij haar klachten.
1.5 Ik zal concluderen tot verwerping van het beroep. Hoewel het middel de uitleg van en de verhouding tussen twee Europese regelingen aan de orde stelt, te weten de AVG en de vierde anti-witwasrichtlijn (zoals omgezet in de Wwft), zie ik in dit geval geen aanleiding voor het stellen van prejudiciële vragen aan het Hof van Justitie van de Europese Unie (hierna: het Hof van Justitie ).
2 Feiten
2.1 In cassatie kan van de volgende feiten worden uitgegaan.
2.2
[eiser] heeft in september 2008 bij creditcardmaatschappij ICS een digitale aanvraag gedaan voor een ‘Panda Visa Creditcard’. Nadat ICS die aanvraag had goedgekeurd, hebben partijen een creditcard-overeenkomst gesloten, op grond waarvan [eiser] de beschikking kreeg over een creditcard met een bestedingslimiet van € 2.500.
2.3 Bij brief van 21 juli 2020 heeft ICS in het kader van een hernieuwd cliëntenonderzoek [eiser] verzocht om zich vóór 16 augustus 2020 online te identificeren. ICS heeft toegelicht dat deze identificatie noodzakelijk is vanwege het bepaalde in de Wwft. Bij dezelfde brief heeft ICS uitgelegd hoe [eiser] zich veilig online kan identificeren, door het maken van een kopie van een identiteitsbewijs met foto en door het maken van een selfie en die beide digitaal aan te leveren. Een medewerker van een door ICS ingehuurd bedrijf vergelijkt de selfie met de pasfoto om de authenticiteit daarvan te kunnen vaststellen. ICS wees erop dat de creditcard kan worden geblokkeerd als zij de gevraagde gegevens niet tijdig ontvangt. Ook staat in de brief dat [eiser] voor meer informatie kan kijken op de website van ICS of telefonisch contact kan opnemen met de ‘Identificatie Desk’.
2.4
[eiser] heeft de gevraagde informatie niet aan ICS verstrekt.
2.5 ICS heeft bij e-mails van 31 juli 2020 en 6 augustus 2020 en bij sms-bericht van 11 augustus 2020 [eiser] nogmaals verzocht zich online te identificeren en erop gewezen dat bij het uitblijven daarvan de creditcard geblokkeerd wordt. [eiser] heeft daar geen gevolg aan gegeven.
2.6 ICS heeft [eiser] bij brief van 17 augustus 2020 bericht dat [eiser] ' creditcard is geblokkeerd omdat zij zich niet heeft geïdentificeerd, en dat ICS de creditcard-overeenkomst per 10 november 2020 heeft opgezegd tenzij [eiser] zich voor die datum alsnog identificeert. Dat laatste is niet gebeurd. [eiser] heeft geen medewerking aan haar identificatie verleend.
2.7
[eiser] heeft de onderhavige procedure tegen ICS aanhangig gemaakt. Nadat zij door [eiser] was gedagvaard, heeft ICS tevergeefs geprobeerd met [eiser] in contact te komen om haar klachten te bespreken. Bij e-mail van 6 oktober 2020 heeft [betrokkene 1] (hierna: [betrokkene 1] ), die [eiser] in deze procedure heeft vertegenwoordigd en bij de kantonrechter ook als haar gemachtigde optrad, ICS gesommeerd om geen contact te zoeken met [eiser] of met hem.
2.8 Op 8 oktober 2020 heeft ICS aan [eiser] bericht dat zij definitieve beëindiging van de creditcardovereenkomst kan voorkomen door zich alsnog te identificeren. [eiser] heeft volhard in haar weigering zich te identificeren. ICS heeft de opzegging van de creditcard-overeenkomst na het vonnis in eerste aanleg geëffectueerd.
3 Procesverloop
3.1 Op 11 september 2020 heeft [eiser] ICS gedagvaard voor de kantonrechter in de rechtbank Amsterdam (hierna: de kantonrechter ). [eiser] stelde een groot aantal vorderingen in, waaronder een vordering om ICS te veroordelen de creditcard-overeenkomst voort te zetten.
3.2 ICS heeft verweer gevoerd.
3.3 Ten behoeve van de mondelinge behandeling op 17 februari 2021 heeft [betrokkene 1] namens [eiser] op 15 februari 2021 per e-mail een pleitnota van 148 pagina’s en 250 bijlagen ingediend. ICS heeft daar bezwaar tegen gemaakt.
3.4 Op de mondelinge behandeling van 17 februari 2021 was [eiser] zelf niet aanwezig. [betrokkene 1] heeft gebruikgemaakt van een verkorte pleitnota waarin tevens een vermeerdering van eis was opgenomen. De kantonrechter heeft ter zitting beslist dat deze vermeerdering van eis wegens strijd met de eisen van een goede procesorde buiten beschouwing diende te worden gelaten, net als de op voorhand toegezonden pleitnota en de daarbij gevoegde producties.
3.5 Bij vonnis van 28 mei 2021 (hierna: het vonnis ) heeft de kantonrechter [eiser] in een aantal vorderingen niet-ontvankelijk verklaard en haar overige vorderingen afgewezen, met veroordeling van [eiser] in de proceskosten.
3.6 Bij dagvaarding van 25 augustus 2021 is [eiser] bij het gerechtshof Amsterdam (hierna: het hof ) van het vonnis in hoger beroep gekomen.
3.7 Op 22 juni 2022 vond een mondelinge behandeling na aanbrengen plaats. [eiser] liet zich vertegenwoordigen door [betrokkene 1] , bijgestaan door advocaat mr. F.A.J.H. de Lugt. Van deze zitting, die niet tot een schikking tussen partijen heeft geleid, is proces-verbaal opgemaakt.
3.8
[eiser] heeft op 20 september 2022 een memorie van grieven tevens houdende akte wijziging van eis ingediend, met producties. Zij heeft geconcludeerd dat het hof het vonnis zal vernietigen en – uitvoerbaar bij voorraad – alsnog haar (gewijzigde) vorderingen zal toewijzen. De vorderingen tegen ICS komen op het volgende neer:
i. veroordeling van ICS tot onmiddellijke reactivering van de creditcard van [eiser] , en tot betaling van € 2.500, met rente, ten behoeve van betaling aan [betrokkene 1] , tot betaling van € 50 per dag dat de creditcard geblokkeerd is geweest, en tot betaling van € 100 per dag voor iedere dag dat de creditcard niet tot een bedrag van ten minste € 2.500 wordt gedeblokkeerd;
ii. verbod aan ICS op het eenzijdig verbreken van de creditcard-overeenkomst;
v. verklaring voor recht dat het opvragen, opslaan en verwerken van een (pas)foto in welke vorm dan ook onrechtmatig is, en veroordeling van ICS om foto’s die zij in haar bezit heeft te vernietigen en een verbod aan ICS om foto’s in welke vorm dan ook op te vragen, te bewaren of op te slaan;
vi. verklaring voor recht dat het opvragen, verkrijgen en opslaan en verwerken van het BSN door derden onrechtmatig is;
vii. verklaring voor recht dat de (identificatie)procedure en opslagmethodiek, zoals beschreven in de brief van ICS onrechtmatig is;
viii. veroordeling van ICS om in Nederland en in landen waarin klanten van ICS wonen, kantoorlocaties beschikbaar te stellen waar klanten zich ten overstaan van geautoriseerde werknemers en met inachtneming van de Wwft en de bankierseed kunnen legitimeren;
ix. verklaring voor recht dat ICS sinds 2006 haar bijzondere zorgplicht, informatieplicht, onderzoeksplicht en waarschuwingsplicht jegens haar klanten, onder wie [eiser] , schendt;
x. verklaring voor recht dat ICS [eiser] heeft overgekrediteerd, door nimmer de financiële situatie van [eiser] te inventariseren en presenteren, geen compleet dossier van [eiser] aan te leggen, en rente over het maximale krediet te berekenen;
xi. verklaring voor recht dat ICS schadeplichtig is wegens het uitbesteden van informatie aan derden en daarmee in overtreding is van de AVG;
xvi. veroordeling van ICS tot bevestiging van de datum waarop haar medewerkers, externe medewerkers en werknemers van extern ingehuurde bedrijven de bankierseed hebben afgelegd, voordat zij met hun werkzaamheden van het vergaren van identificatiegegevens zijn begonnen;
xviii. veroordeling van ICS om [eiser] kosteloze opnames van € 2.500 aan een geldautomaat of kassier toe te staan, ter aflossing van haar schuld uit geldlening aan [betrokkene 1] , met een rentevergoeding;
xix. veroordeling van ICS om [eiser] online toegang te (blijven) verstrekken tot de transacties die zij met behulp van haar creditcard is aangegaan, gedurende de bewaarmijn zoals opgelegd door de belastingdienst, inclusief door deze dienst verleend uitstel; en
xx. veroordeling van ICS in de proceskosten, waaronder de nakosten.
3.9 ICS heeft een memorie van antwoord tevens houdende antwoordakte eiswijziging ingediend.
3.10 Op 9 februari 2024 heeft een meervoudige mondelinge behandeling plaatsgevonden. [eiser] heeft producties in het geding gebracht. [eiser] was zelf opnieuw niet aanwezig. Van de mondelinge behandeling is proces-verbaal opgemaakt. Daaruit blijkt onder meer dat [betrokkene 1] heeft verklaard dat de weigering mee te werken aan een (her)identificatie voor [eiser] (en [betrokkene 1] zelf) een principekwestie is.
3.11 Bij arrest van 5 maart 2024 (hierna: het bestreden arrest ) heeft het hof het vonnis bekrachtigd, met veroordeling van [eiser] in de proceskosten. Voor zover in cassatie relevant, overweegt het hof ( mijn onderstrepingen , ook in de navolgende citaten):
“5.3. Door middel van haar derde tot en met haar negende grief bestrijdt [eiser] vanuit verschillende invalshoeken het oordeel van de kantonrechter dat ICS de creditcard-overeenkomst met [eiser] heeft mogen opzeggen omdat [eiser] niet wilde meewerken aan de vaststelling van haar identiteit. Deze grieven lenen zich voor gezamenlijke behandeling. Bij de beoordeling daarvan strekt tot uitgangspunt dat de algemene voorwaarden van ICS geen deel uitmaken van de overeenkomst. [eiser] heeft betwist dat ICS haar algemene voorwaarden tijdig aan [eiser] ter hand heeft gesteld en ICS – op wie de bewijslast ter zake rust (HR 11 juli 2008, ECLI:NL:HR:2008:BD1394) – heeft het tegendeel niet aannemelijk gemaakt, zodat aan de vernietiging van de algemene voorwaarden van ICS het beoogde rechtsgevolg moet worden toegekend.
ICS kan de opzegging van de overeenkomst dus niet door een beroep op haar algemene voorwaarden rechtvaardigen. Dat neemt echter niet weg dat de creditcard-overeenkomst een duurovereenkomst is die in beginsel opzegbaar is. Bij gebreke van een wettelijke of contractuele regeling van de opzegging, moet aan de hand van de aanvullende en derogerende werking van de redelijkheid en billijkheid (art. 6:248 BW) worden beoordeeld of ICS de overeenkomst met [eiser] kon opzeggen (vgl. HR 28 oktober 2011, ECLI:NL:HR:2011:BQ9854).
5.4. Ter implementatie van de vierde anti-witwasrichtlijn is de Wwft in 2018 gewijzigd. Sindsdien verplicht art. 38 Wwft ICS tot actualisering van de cliëntenonderzoeken die zij bij aanvang van creditcard-overeenkomsten al op grond van art. 3 Wwft had verricht. In dat verband zijn ook de Uitvoeringswet Wwft en de Leidraad Wwft en Sanctiewet van De Nederlandsche Bank van belang. ICS is verplicht haar cliënten ten minste te identificeren en hun identiteit te verifiëren en de gegevens die met het oog daarop zijn verkregen, te bewaren. In de wijze waarop ICS aan deze verplichting vormgeeft, is zij tot op zekere hoogte vrij; zij mag bij wijze van uitgangspunt kiezen voor een online-identificatie en ook mag zij daarbij hulppersonen inschakelen, die geen bankierseed hoeven te hebben afgelegd omdat ze geen handelingen verrichten als bedoeld in art. 3:17b Wet financieel toezicht (Wft). In het kader van het cliëntenonderzoek van ICS is de verwerking van persoonsgegevens een noodzakelijke verwerking in de zin van de Algemene Verordening Gegevensbescherming (AVG), waarbij overigens de opslag van een foto, anders dan [eiser] stelt, niet kan worden aangemerkt als de verwerking van een biometrisch gegeven . Het hernieuwde cliëntenonderzoek voldoet aan het transparantiebeginsel van de AVG: doel en werkwijze van de verwerking van de persoonsgegevens worden duidelijk en begrijpelijk beschreven in het Privacystatement van ICS.
5.5.
De herhaalde verzoeken van ICS aan [eiser] in 2020 om zich te identificeren, vinden hun verklaring in de verplichtingen die ten gevolge van de wijziging van de Wwft in 2018 op ICS waren komen te rusten. was naar maatstaven van redelijkheid en billijkheid (art. 6:248 lid 1 BW) gehouden daaraan haar medewerking te verlenen . Het feit dat ICS, volgens het besluit van de Autoriteit Persoonsgegevens van 18 december 2023, voorafgaand aan haar identificatie- en verificatieproces heeft nagelaten een gegevensbeschermings-effectbeoordeling in de zin van art. 35 AVG uit te voeren, doet aan deze verplichting niet af.
Toen [eiser] op de herhaalde verzoeken van ICS niet reageerde, heeft ICS gevolg kunnen geven aan haar aankondiging dat de creditcard van [eiser] zou worden geblokkeerd en dat de overeenkomst met haar zou worden opgezegd. De redenen die [eiser] voor haar stilzwijgen heeft aangevoerd – ze vertrouwde de aankondigingen van ICS niet en beschouwde ze als spam – staan daaraan niet in de weg, omdat die redenen niet rechtvaardigen dat [eiser] op geen enkele manier contact met ICS heeft gezocht om de (niet-)authenticiteit van de afzender van de berichten vast te stellen.
5.6.
In het kader van de toets van de opzegging van de creditcard-overeenkomst door ICS aan de maatstaven van redelijkheid en billijkheid, heeft het hof de volgende omstandigheden meegewogen . Nadat [eiser] ICS in de onderhavige procedure had betrokken, heeft ICS de beëindiging van de overeenkomst opgeschort. Omdat [eiser] en [betrokkene 1] geen ander contact met ICS wilden hebben dan in het kader van deze procedure, heeft ICS voor het eerst tijdens de procedure in eerste aanleg kennisgenomen van de bezwaren van [eiser] tegen een online-identificatie. Zij heeft [eiser] toen verschillende alternatieven geboden. [eiser] heeft van die alternatieven geen gebruik willen maken, maar de redenen die zij daarvoor aanvoert, zijn naar het oordeel van het hof ondeugdelijk . [eiser] stelt dat een vastlegging van haar pasfoto neerkomt op de verwerking van een door de AVG in beginsel verboden verwerking van biometrische gegevens en dat ICS in geen geval een foto van haar mag bewaren (ook niet via een kopie van haar identiteitsbewijs), dat hulppersonen van ICS een bankierseed moeten hebben afgelegd, en dat ICS de kosten van alternatieven voor een online-identificatie voor haar rekening moet nemen. Deze stellingen zijn ongegrond . Ook de stelling dat ICS niet over het BSN van [eiser] mag beschikken is ongegrond; ICS heeft terecht gesteld dat ze het BSN van [eiser] nodig heeft vanwege haar verplichtingen uit de AWR en het depositogarantiestelsel van De Nederlandsche Bank.
5.7. ICS heeft de aangekondigde opzegging van de overeenkomst dus mogen effectueren. Ze heeft daarbij geen zorgplichten jegens [eiser] geschonden. De grieven 3 tot en met 9 falen.
(…)
5.12. De slotsom luidt dat alle grieven falen. Er is geen bewijs aangeboden van stellingen die, indien bewezen, tot een ander oordeel kunnen leiden, zodat het hof aan het bewijsaanbod van [eiser] voorbijgaat. Het hof zal het vonnis waarvan beroep bekrachtigen en [eiser] als de in het ongelijk gestelde partij verwijzen in de kosten van het geding in hoger beroep. (…)”
3.12
[eiser] heeft tegen het bestreden arrest – tijdig – beroep in cassatie ingesteld. ICS heeft haar standpunten schriftelijk toegelicht. [eiser] heeft gerepliceerd.
4 Bespreking van het cassatiemiddel
Inleidende opmerkingen
4.1 Met onderdeel 1 klaagt het middel dat het hof heeft miskend dat het in strijd zou zijn met de AVG om [eiser] ’ identiteitsbewijs met pasfoto en een video-selfie te verwerken. Het hof zou hiermee blijk gegeven hebben van een onjuiste rechtsopvatting omtrent het begrip (verwerking van) biometrische gegevens in de zin van de AVG.
4.2 Met onderdeel 2 klaagt het middel dat het hof ten onrechte heeft geoordeeld dat het vastleggen en bewaren van een pasfoto op een identiteitsbewijs is toegestaan in het kader van de verplichting tot actualisering van de cliëntenonderzoeken die ICS bij aanvang van de creditcard-overeenkomst al op grond van art. 3 Wwft had verricht. Deze oordelen zouden blijk geven van een onjuiste rechtsopvatting omtrent de bewaarplicht van art. 33 Wwft.
4.3 ICS stelt voorop dat [eiser] bij haar rechtsklachten geen belang heeft. In wezen klaagt [eiser] namelijk alleen dat het op grond van de AVG niet zou zijn toegestaan om een selfie en een, niet vooraf bewerkt, identiteitsbewijs met pasfoto te verwerken. [eiser] klaagt niet over het oordeel in rov. 5.3 van het bestreden arrest dat ICS de creditcardovereenkomst kon beëindigen, terwijl het [eiser] in deze procedure daar juist om te doen leek te zijn.
4.4 Dit (meest verstrekkende) verweer van ICS kan mijns inziens pas goed worden beoordeeld na inhoudelijke bespreking van de klachten. Ik kom daarom aan het slot van deze conclusie nog kort terug op de vraag of [eiser] belang heeft bij de aangevoerde klachten.
Onderdeel 1: verwerking biometrische gegevens bij foto’s
4.5
[eiser] klaagt in onderdeel 1 dat het hof in rov. 5.4 en 5.6 blijk heeft gegeven van een onjuiste rechtsopvatting omtrent het begrip (verwerking van) ‘biometrische gegevens’ in art. 4, aanhef en onder 14, AVG (in samenhang met art. 4, aanhef en onder 2, AVG).
4.6 Het hof heeft in de hier bestreden overwegingen het oog op het opslaan/bewaren door ICS van een pasfoto van [eiser] , al dan niet via een kopie van haar identiteitsbewijs. Volgens het hof vormt dát geen verwerking van biometrische gegevens (zie de onderstreepte zinsdelen in beide hiervoor geciteerde rechtsoverwegingen).
4.7 De daartegen gerichte klacht slaagt niet omdat het bestreden oordeel van het hof juist is. Voordat ik dit concreet toelicht, schets ik het juridisch kader.
Juridisch kader: de AVG en de verwerking van biometrische gegevens
4.8 Bescherming van persoonsgegevens is een grondrecht. Dit grondrecht wordt beschermd door art. 8 EVRM, dat voorziet in het recht op eerbiediging van privé-, familie- en gezinsleven, het staat in art. 16 lid 1 VWEU en het wordt verankerd in art. 8 lid 1 EU-Handvest, waarin is bepaald dat eenieder recht heeft op bescherming van zijn persoonsgegevens.
4.9 De AVG harmoniseert de regels over gegevensbescherming verdergaand dan het geval was onder Richtlijn 95/46/EG (de Richtlijn bescherming persoonsgegevens ).
4.10 Het antwoord op de vraag of sprake is van rechtmatige verwerking van persoonsgegevens omvat in zijn algemeenheid, en kort gezegd, drie stappen: (i) er moet een persoonsgegeven zijn, (ii) dat wordt verwerkt, en (iii) de verwerking moet voldoen aan een aantal beginselen, en een toereikende grondslag hebben.
- Ad (i): Het begrip ‘persoonsgegevens’ is gedefinieerd als: “ alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon ” (art. 4, aanhef en onder 1, AVG).
- Ad (ii): De ‘verwerking’ heeft betrekking op het gehele proces dat een persoonsgegeven doormaakt vanaf het moment van het verzamelen (en dus verkrijgen) ervan tot aan het moment van vernietiging. Hierbij gaat het om het raadplegen van persoonsgegevens, maar ook om het vastleggen en bewaren ervan (zie art. 4, aanhef en onder 2, AVG).
- Ad (iii): De verwerking van persoonsgegevens moet voldoen aan een aantal algemene beginselen, die staan vermeld in hoofdstuk II van de AVG (art. 5-11 AVG). Art. 5 (‘Beginselen inzake verwerking van persoonsgegevens’) noemt in het eerste lid als beginselen onder meer: ‘rechtmatigheid, behoorlijkheid en transparantie’ (onder a), ‘doelbinding’ (onder b), ‘minimale gegevensverwerking’ (onder c) en ‘integriteit en vertrouwelijkheid’ (onder f). Ingevolge art. 6 AVG (‘Rechtmatigheid van de verwerking’) is de verwerking van persoonsgegevens alleen rechtmatig indien – en voor zover – ten minste is voldaan aan één van de voorwaarden uit het eerste lid. Het gaat hier om de verwerkingsgrondslagen a t/m f, waaronder toestemming van de betrokkene (onder a), noodzaak voor de uitvoering van een overeenkomst (onder b), noodzaak om te voldoen aan een wettelijke plicht (onder c) en het bestaan van gerechtvaardigd belang (onder f).
4.11 Ten aanzien van de verwerking van ‘bijzondere categorieën van persoonsgegevens’ gelden aanvullende vereisten. Die categorieën worden als ‘gevoelig’ gekwalificeerd in de overwegingen 10 en 51 van de AVG. Art. 9 AVG beoogt betere bescherming te bieden tegen verwerkingen die vanwege de grote gevoeligheid van de gegevens een bijzonder ernstige inmenging in de grondrechten van de betrokkenen kunnen opleveren.
4.12 Art. 9 lid 1 AVG vermeldt de ‘bijzondere categorieën van persoonsgegevens’ en bepaalt dat de verwerking daarvan verboden is:
“Verwerking van bijzondere categorieën van persoonsgegevens
1. Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon , of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden .”
4.13 Art. 9 lid 2 AVG bevat een limitatieve lijst van uitzonderingen op dat verbod. Het Hof van Justitie heeft geoordeeld dat die uitzonderingen restrictief moeten worden uitgelegd.
4.14 Art. 9 lid 2, aanhef en onder g, AVG luidt:
“Lid 1 is niet van toepassing wanneer aan een van de onderstaande voorwaarden is voldaan:
(…)
g. de verwerking is noodzakelijk om redenen van zwaarwegend algemeen belang, op grond van Unierecht of lidstatelijk recht , waarbij de evenredigheid met het nagestreefde doel wordt gewaarborgd, de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de fundamentele belangen van de betrokkene;”
4.15 Daarnaast gelden de in 4.10 onder ad (iii) genoemde vereisten uit art. 5 en 6 AVG onverkort.
4.16 Ik richt mij hierna uitsluitend op de in art. 9 lid 1 AVG genoemde verwerking van biometrische gegevens . Dit soort gegevens worden in toenemende mate gebruikt voor het reguleren van toegang, met name tot informatiesystemen (bijvoorbeeld door een vingerafdruk) en tot gebouwen (bijvoorbeeld door een irisscan).
4.17 Biometrische gegevens vormen de enige van de in art. 9 lid 1 AVG genoemde bijzondere persoonsgegevens waar de kwalificatie ‘bijzonder’ afhangt van het doel van de verwerking van die gegevens (“ met het oog op de unieke identificatie van een persoon ”).
4.18 Art. 4 onder 14 AVG bevat de volgende definitie van ‘biometrische gegevens’:
“persoonsgegevens die het resultaat zijn van een specifieke technische verwerking met betrekking tot de fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon op grond waarvan eenduidige identificatie van die natuurlijke persoon mogelijk is of wordt bevestigd, zoals gezichtsafbeeldingen of vingerafdrukgegevens;
4.19 Overweging 51 van de AVG gaat in op de verwerking van foto’s van natuurlijke personen:
“De verwerking van foto's mag niet systematisch worden beschouwd als verwerking van bijzondere categorieën van persoonsgegevens, aangezien foto's alleen onder de definitie van biometrische gegevens vallen wanneer zij worden verwerkt met behulp van bepaalde technische middelen die de unieke identificatie of authenticatie van een natuurlijke persoon mogelijk maken. (…)”
4.20 Hieruit volgt dat bij een foto (slechts) sprake is van verwerking van biometrische gegevens als aan de volgende vereisten is voldaan:
(i) een verwerking van fysieke, fysiologische of gedragsgerelateerde kenmerken van een persoon (object van de verwerking);
(ii) er vindt een specifieke technische verwerking plaats (wijze van de verwerking);
(iii) die de unieke identificatie of authenticatie van een natuurlijk persoon mogelijk maakt (resultaat van de verwerking).
Voorwaarde (ii) betekent dat van een verwerking van biometrische gegevens in de zin van de AVG alleen sprake is als de biometrische kenmerken van een natuurlijk persoon door middel van een technische toepassing worden gemeten en verwerkt, bijvoorbeeld door middel van gezichtsherkenningssoftware die punten op het gezicht meet en deze softwarematig vergelijkt met een in een database opgeslagen foto.
4.21 In lijn hiermee heeft de wetgever in de memorie van toelichting bij de Uitvoeringswet AVG erop gewezen dat foto’s alleen onder de definitie van ‘biometrische gegevens’ vallen wanneer zij worden verwerkt met behulp van bepaalde technische middelen die de unieke identificatie of authenticatie van een natuurlijke persoon mogelijk maken.
4.22 Ook de European Data Protection Board (hierna: EDPB ) vat het begrip ‘biometrische gegevens’ in de zojuist genoemde zin op. Ik verwijs naar de ‘Guidelines 3/2019 on processing of personal data through video devices’:
“To qualify as biometric data as defined in the GDPR, processing of raw data, such as the physical, physiological or behavioural characteristics of a natural person, must imply a measurement of this characteristics. Since biometric data is the result of such measurements, the GDPR states in its Article 4.14 that it is “(…) resulting from specific technical processing relating to the physical, physiological or behavioural characteristics of a natural person, which allow or confirm the unique identification of that natural person (…)” . The video footage of an individual cannot however in itself be considered as biometric data under Article 9, if it has not been specifically technically processed in order to contribute to the identification of an individual . ”
4.23 Een pasfoto op een identiteitsbewijs is niet ‘ technically processed’ . Een door de klant gemaakte en opgestuurde video-selfie is dat evenmin. Dat de foto en de selfie met een digitale camera zijn gemaakt en er communicatie via een app plaatsvindt, wijzigt daaraan niets. Het opslaan en bewaren van een kopie van een identiteitsbewijs met pasfoto is dan ook geen specifieke technische verwerking als bedoeld in art. 4 onder 14 AVG en dient daarom niet te worden aangemerkt als het verwerken van biometrische persoonsgegevens in de zin van art. 9 lid 1 AVG.
4.24 Om te kunnen spreken van de verwerking van biometrische gegevens is vereist dat op foto’s een techniek wordt toegepast, waarbij iemands identiteit door het tonen van een uniek, biometrisch kenmerk wordt vastgesteld aan de hand van een technisch middel. Voorbeelden van technische verwerking van biometrische gegevens zijn gezichtsherkenning bij het opnieuw betreden van een ruimte of de situatie waarin een werknemer met een vingerafdruk moet in- en uitklokken of daardoor wordt geïdentificeerd.
4.25 Ik wijs erop dat de Commissie van Beroep van het Kifid hier anders over heeft geoordeeld. In een uitspraak van 8 februari 2023 overweegt deze commissie het volgende:
“5.26. Uit art. 4, definitie 14, AVG blijkt dat een foto moet worden beschouwd als een biometrisch gegeven (en niet, zoals onder de Wet bescherming persoonsgegevens het geval was, als een persoonsgegeven waaruit ras of etnische afkomst kan worden afgeleid). Dit geldt echter alleen, zo blijkt uit de definitie, wanneer verwerking gebeurt met het oog op identificatie. Dat volgt ook uit overweging 51 van de AVG .
5.27.
In het voorliggende geval is hiervan sprake : de bank vraagt het onbewerkte identiteitsdocument, met foto, immers op met het oog op identificatie van de cliënt. Naar het oordeel van de Commissie van Beroep moet worden aangenomen dat ook het vastleggen en bewaren van het identiteitsdocument met foto (als vereist door art. 33 Wwft) plaatsvindt met het oog op identificatie. Het bewaren van het onbewerkte identiteitsdocument heeft immers (onder meer) tot doel om aan te tonen dat dit cliëntenonderzoek heeft plaatsgevonden overeenkomstig de wettelijke eisen. Daarmee valt de verwerking van een onbewerkt identiteitsdocument in beginsel onder het verbod van art. 9 lid 1 AVG .”
Hier wordt vastleggen en bewaren van een identiteitsdocument met foto in het kader van art. 33 Wwft als een in beginsel verboden verwerking van biometrische gegevens aangemerkt.
4.26 Of dat oordeel juist is, valt te betwijfelen. Ik wijs op een nadien uitgebracht bindend advies van de Geschillencommissie van het Kifid van 19 juli 2024. In die zaak ging het om een bank (Lease Plan Bank) die voor het openen van een spaarrekening eiste dat de klant een verificatiefilmpje aanlevert. De klanten in kwestie hadden dat gedaan, maar meenden dat de bank daarmee biometrische persoonsgegevens van hen verwerkt in strijd met art. 9 lid 1 AVG. Zij vorderden dat de bank die persoonsgegevens verwijdert. De geschillencommissie heeft twee deskundigenadviezen ingewonnen, van prof. mr. A. Berlee en van Riverworks Legal Services. De centrale vraag die aan de deskundigen werd voorgelegd was of deze wijze van identificatie en verificatie gerechtvaardigd is in het licht van de AVG, met inachtneming van de verplichtingen op grond van de Wwft. Aan die vraagstelling lag de aanname ten grondslag dat Lease Plan Blank biometrische gegevens had verwerkt.
4.27 Beide deskundigen trekken de juistheid van die aanname in twijfel. Berlee is op dit punt het meest uitvoerig. Na te hebben verwezen naar overweging 51 van de AVG merkt zij op:
“21. Er is evenwel géén sprake van de verwerking van biometrische gegevens wanneer bijvoorbeeld een potentiële klant wordt gevraagd om in een video-opname bepaalde handelingen uit te voeren zoals het heen en weer bewegen van het hoofd, of dat op afstand een video-opname wordt gebruikt om door iemand (in opdracht) van de financiële dienstverlener vervolgens te worden beoordeeld of deze persoon overeenkomt met de foto op het al eerder aangeleverde kopie identiteitsbewijs of het identiteitsbewijs dat werd getoond in de video-opname . In deze voorgaande gevallen wordt de video-opname gebruikt voor de unieke identificatie, maar is er geen sprake van dat het de technische middelen zijn die tot deze unieke identificatie of authenticatie te komen . Dit is anders bij bijvoorbeeld het softwarematig vergelijken van een vingerafdruk met een vingerafdruk opgeslagen in het paspoort, of de inzet van gezichtsherkenningssoftware die bepaalde punten op het gezicht gebruikt en de afstand daartussen meet om deze te vergelijken met een database met templates van gezichten.”
4.28 Mede op basis van de bevindingen van de deskundigen kijkt de Geschillencommissie anders aan tegen de kwalificatie als biometrische gegevens in de zin van de AVG dan het College van Beroep in de in 4.25 aangehaalde uitspraak nog deed, en dus ook anders dan waar zij zelf aanvankelijk van uitging toen zij de onderzoeksvraag voor de twee deskundigen formuleerde. De Geschillencommissie oordeelt namelijk het volgende:
“3.15 De commissie stelt vast dat de uiteenzetting van de bank van de aard van het verificatiefilmpje aansluit bij de weergave uit het advies van prof. mr. A. Berlee. Met het uitvoeren van handelingen zoals in de camera kijken, enkele cijfers hardop zeggen en het hoofd bewegen voert de bank een liveness check uit. Het enkele feit dat een verificatiefilmpje moet worden aangeleverd maakt nog niet dat biometrische gegevens moeten worden verstrekt . Tegenover deze gemotiveerde betwisting van de bank hebben de consumenten niet nader onderbouwd dat de bank wel biometrische gegevens verwerkt. Er is dan ook niet komen vast te staan dat de bank met het verificatiefilmpje biometrische gegevens verwerkt. Waar de commissie bij het formuleren van de onderzoeksvraag is uitgegaan van een verificatiefilmpje dat biometrische gegevens bevat, kan de commissie, met name gelet op de inhoud van de uitgebrachte adviezen, nu niet anders dan tot de vaststelling komen dat daarvan in dit geval geen sprake is geweest . Om die reden kan dan ook niet worden geconcludeerd dat de bank ongeoorloofd handelt door van de consumenten te verlangen dat zij een verificatiefilmpje verstrekken. De vordering om de bank te verbieden biometrische gegevens op te vragen voor het openen van een spaarrekening zal dan ook worden afgewezen .”
4.29 Ik keer nu terug naar de klacht.
Bespreking van de klacht
4.30 Ik roep in herinnering wat het door ICS toegepaste identificatie- en verificatieproces inhoudt. De klant wordt gevraagd om een identiteitsbewijs met pasfoto. Daarnaast wordt hij gevraagd een selfie te maken en die op te sturen. De selfie wordt gebruikt voor de verificatie van de opgegeven identiteit volgens het getoonde identiteitsbewijs. De verificatie dient om vast te stellen dat sprake is van een bestaand (en levend) persoon. De verificatie wordt niet softwarematig of anderszins met een technisch middel uitgevoerd, maar door een medewerker van de firma die ICS daarvoor heeft ingehuurd. Deze vergelijkt de selfie met de pasfoto om vast te stellen of de foto authentiek is.
4.31 De klacht van onderdeel 1 houdt enkel in dat het hof blijk heeft gegeven van een onjuiste opvatting omtrent het begrip (verwerking van) ‘biometrische gegevens’ in art. 4, aanhef en onder 14, AVG (in samenhang met art. 4 aanhef en onder 2 AVG).
4.32 De klacht faalt. Anders dan het middel aanvoert, betekent het enkele vastleggen en opslaan van foto’s met gezichtsafbeeldingen (zoals pasfoto’s, al dan niet als onderdeel van een kopie van een paspoort) niet dat sprake zou zijn van (de verwerking van) biometrische gegevens als bedoeld in art. 4 onder 14 AVG. Daartoe is immers een technische verwerking vereist, die hier ontbreekt. Ik verwijs naar de toelichting in 4.18-4.28 hiervoor: de tekst van art. 4, onder 14, AVG, overweging 51 van de AVG, de wetsgeschiedenis bij art. 29 UAVG, de uitleg in de richtsnoeren van de gezaghebbende EDPB, de beslissing van de Kifid-geschillencommissie en het advies van prof. Berlee dat daar mede aan ten grondslag ligt.
4.33 Ik wijs er nog op dat het Hof van Justitie zich tot dusverre nog niet heeft uitgelaten over biometrische gegevens in de context van de AVG. Toch meen ik dat in het licht van het voorgaande over de hier aan de orde zijnde vraag van uitleg van art. 4, onder 14, AVG, in combinatie met art. 9 lid 1 AVG, geen redelijke twijfel kan bestaan. Daarom bestaat er mijns inziens geen noodzaak om over genoemde bepalingen uit de AVG prejudiciële vragen te stellen aan het Hof van Justitie. Dat de Commissie van Beroep van het Kifid in 2023 afwijkend heeft geoordeeld, leidt niet tot een andere afweging.
4.34 Tot slot: [eiser] voert bij repliek nog aan dat de opvattingen verschillen over de vraag of de verwerking van een pasfoto neerkomt op de verwerking van persoonsgegevens waaruit ras of etnische afkomst blijkt (in welk geval in beginsel sprake zou zijn van een op grond van art. 9 lid 1 AVG verboden verwerking). Voor zover dit als klacht zou moeten worden opgevat, is deze pas bij repliek en dus te laat naar voren gebracht. In de procesinleiding heeft [eiser] dit aspect wel kort genoemd, maar enkel ter toelichting op onderdeel 2, waar wordt geklaagd over de rechtsopvatting van het hof ten aanzien van art. 33 Wwft. Ik kom daar nu aan toe.
Onderdeel 2: bewaren van een kopie van een identiteitsbewijs met pasfoto (art. 33 Wwft)
4.35 Onderdeel 2 keert zich tegen de oordelen van het hof dat, kort gezegd, het opslaan/vastleggen van de pasfoto c.q. het bewaren van een foto (ook via een kopie van het identiteitsbewijs) is toegestaan in het kader van de verplichting tot actualisering van de cliëntenonderzoeken die ICS bij aanvang van de creditcard-overeenkomst al op grond van art. 3 Wwft had verricht. Geklaagd wordt dat deze oordelen blijk geven van een onjuiste rechtsopvatting omtrent art. 33 Wwft.
4.36 De klacht neemt tot uitgangspunt dat art. 33 Wwft geen grondslag biedt voor de opslag van (pas)foto’s, “ laat staan een verplichting daartoe ”. Dat is een onjuist uitgangspunt. Op grond van art. 33 Wwft mag een instelling wel degelijk een kopie van het identiteitsbewijs te bewaren. Ik meen zelfs dat zij daartoe gehouden is en dat het vastleggen van de daarop vermelde gegevens niet volstaat.
4.37 Onderdeel 2 slaagt dan ook niet. Ik licht dat hieronder nader toe.
Juridisch kader: cliëntenonderzoek en bewaarplicht (art. 33 Wwft)
4.38 Instellingen in de zin van de Wwft zijn verplicht om cliëntenonderzoek te verrichten ter voorkoming van witwassen en financieren van terrorisme (zie art. 3 Wwft). Dit is één van de twee hoofdverplichtingen uit de Wwft, naast het melden van ongebruikelijke transacties.
4.39 De Wwft heeft een grotendeels Europese achtergrond. In dat kader valt te wijzen op de opeenvolgende anti-witwasrichtlijnen, die deels de neerslag vormen van de aanbevelingen van de Financial Action Task Force (FATF). Deze aanbevelingen vormen de wereldwijde standaard bij het voorkomen van witwassen en het tegengaan van terrorismefinanciering. De eerste anti-witwasrichtlijn (Richtlijn 91/308/EG) stamt uit 1991 en de vijfde (Richtlijn (EU) 2018/843) uit 2018.
4.40 Volledigheidshalve noem ik ook de recente Verordening (EU) 2024/1624 tot voorkoming van het gebruik van het financiële stelsel voor witwassen of terrorismefinanciering van 31 mei 2024 (hierna: AMLR ) en Richtlijn (EU) 2024/1640 (hierna: zesde anti-witwasrichtlijn ). Deze wetgevingsinstrumenten, die ná het bestreden arrest zijn vastgesteld, maken deel uit van een pakket ter versterking van het Europese kader voor de bestrijding van witwassen en terrorismefinanciering. De AMLR, die rechtstreeks van toepassing wordt, zal grote delen van de Wwft gaan vervangen. Dat gaat in met ingang van 10 juli 2027.
4.41 De Nederlandse implementatie van de Europese anti-witwasregels vond aanvankelijk plaats in de Wet identificatie bij dienstverlening en de Wet melding ongebruikelijke transacties. Per 1 augustus 2008 zijn die wetten vervangen door de Wwft, gelijktijdig met de implementatie van Richtlijn 2005/60/EG (hierna: derde anti-witwasrichtlijn ).
4.42 De instelling moet de identiteit van haar klanten kennen en verifiëren door het uitvoeren van ene cliëntenonderzoek ter voorkoming van witwassen en het financieren van terrorisme (art. 3 lid 1 Wwft). Identificeren is het laten doen van opgave van de identiteit; verifiëren is het vaststellen dat de opgegeven identiteit overeenkomt met de werkelijke identiteit (art. 1 lid 1 Wwft). Het onderscheid tussen identificeren en verifiëren is overgenomen uit de derde anti-witwasrichtlijn.
4.43 Gaat het om de verificatie van de identiteit van een natuurlijk persoon, dan maakt de instelling gebruik van “ documenten, gegevens of inlichtingen uit betrouwbare bron ” (art. 11 lid 1 Wwft). De minister kan documenten aanwijzen op basis waarvan aan deze verplichting kan worden voldaan. Eén van de aangewezen documenten is, niet verrassend, een geldig paspoort (art. 4 lid 1 Uitvoeringsregeling Wwft). De lijst van aangewezen documenten is niet-limitatief. Verificatie kan ook plaatsvinden aan de hand van andere documenten, gegevens of inlichtingen uit onafhankelijke bron.
4.44 Paragraaf 5.1 van de Wwft heeft betrekking op het bewaren van bewijsstukken en vangt aan met art. 33 Wwft. Die bepaling luidt sinds 25 juli 2018 als volgt:
“ Artikel 33 Wwft
1. Een instelling die op grond van deze wet cliëntenonderzoek heeft verricht (…) legt op opvraagbare wijze de documenten en gegevens vast die zijn gebruikt voor de naleving van het bepaalde in artikel 3, tweede tot en met vierde lid (…).
2. Onder de documenten en gegevens , bedoeld in het eerste lid, zijn ten minste begrepen :
a. van natuurlijke personen (…):
1° de geslachtsnaam, de voornamen, de geboortedatum, het adres en de woonplaats, dan wel de plaats van vestiging van de cliënt alsmede van degene die namens die natuurlijke persoon optreedt, of een afschrift van het document dat een persoonidentificerend nummer bevat en aan de hand waarvan de verificatie van de identiteit heeft plaatsgevonden ;
2° de aard, het nummer en de datum en plaats van uitgifte van het document met behulp waarvan de identiteit is geverifieerd;
b. (…)
c. (…)
d. (…)
3. Een instelling bewaart de in het eerste en tweede lid bedoelde gegevens op toegankelijke wijze gedurende vijf jaar na het tijdstip van het beëindigen van de zakelijke relatie of gedurende vijf jaar na het uitvoeren van de desbetreffende transactie.
(…)”
4.45 De tekst van art. 33 Wwft bevat niet de verplichting van een instelling om een kopie van het identiteitsbewijs te bewaren. Het middel leidt uit het woord ‘of’ in lid 2 onder a onder 1° af dat een instelling een kopie van het identiteitsbewijs met pasfoto niet mag bewaren . Die uitleg houd ik voor onjuist. Uit het gebruik van het voegwoord ‘of’ blijkt mijns inziens juist dat een instelling een document dat een persoonidentificerend nummer bevat, mag gebruiken als het ingevolge het eerste lid vast te leggen document. Indien dat niet zou mogen omdat gebruik van de gegevens die in het zinsdeel van lid 2 onder a onder 1° voorafgaand aan het woord ‘of’ zijn genoemd beter zou voldoen aan het beginsel van ‘minimale gegevensverwerking’ als bedoeld in art. 5 lid 1, onder c, AVG, dan zou het zinsdeel dat volgt op ‘of’ feitelijk een dode letter zijn.
4.46 Dat art. 33 Wwft de mogelijkheid biedt een kopie van het identiteitsbewijs te bewaren maar niet daartoe verplicht, strookte met art. 30 van de in 2008 te implementeren derde anti-witwasrichtlijn:
“ Artikel 30
De lidstaten vereisen van de onder deze richtlijn vallende instellingen en personen dat zij de volgende documenten en inlichtingen bewaren met het oog op het gebruik ervan bij een onderzoek naar, of een analyse van, mogelijk witwassen van geld of financiering van terrorisme, door de FIE of andere bevoegde autoriteiten overeenkomstig het nationaal recht:
a) wat de klantenonderzoeksprocedure betreft, afschriften van of verwijzingen naar de vereiste stukken , gedurende een periode van ten minste vijf jaar na beëindiging van de zakelijke relatie met hun cliënt;
b) (…)”
Met ‘verwijzingen naar de vereiste stukken’ is bedoeld de situatie dat wordt vastgelegd welke stukken voor de identificatie van de klant zijn gebruikt maar de stukken zelf niet worden bewaard. Net als in het geval dat afschriften van stukken wél worden bewaard, geldt voor de vastlegging van de gebruikte stukken een bewaartermijn van ten minste vijf jaar (zie ook art. 33 lid 3 Wwft, geciteerd in 4.44).
4.47 De vierde anti-witwasrichtlijn biedt niet langer de mogelijkheid om bij de bewaring van bewijsstukken in het kader van het cliëntenonderzoek te volstaan met het bewaren van een verwijzing naar de vereiste stukken . Het document met een persoonidentificerende nummer zelf moet worden bewaard, zo blijkt uit art. 40 van die richtlijn:
“Artikel 40
1. De lidstaten verlangen dat meldingsplichtige entiteiten overeenkomstig het nationale recht met het oog op het voorkomen, opsporen of onderzoeken door de FIE of door andere bevoegde autoriteiten van mogelijke gevallen van witwassen of terrorismefinanciering, de volgende documenten en informatie bewaren :
a) wat het cliëntenonderzoek betreft , een afschrift van de documenten en inlichtingen die nodig zijn voor het naleven van de cliëntenonderzoeksvoorschriften vastgelegd in hoofdstuk II, gedurende een termijn van vijf jaar vanaf het einde van de zakelijke relatie met hun cliënt of vanaf de datum van een occasionele transactie;
b) de bewijsstukken en registratiegegevens van transacties (…).
Bij het verstrijken van de in de eerste alinea bedoelde bewaringstermijnen (…)
2. (…)”
Hieruit volgt dat de lidstaten ervoor dienen te zorgen dat de instelling een afschrift bewaart van het paspoort of ander identiteitsbewijs dat die instelling heeft gebruikt bij de verificatie van de identiteit van een natuurlijk persoon. Met de vierde anti-witwasrichtlijn werd het bewaren van een afschrift een verplichting.
4.48 De wetgever heeft art. 40 lid 1, aanhef en onder a), vierde anti-witwasrichtlijn bedoeld te implementeren in art. 33 Wwft. Hierbij is onder ogen gezien dat die richtlijn bepaalt dat instellingen een afschrift moeten bewaren van de documenten en de inlichtingen die nodig zijn voor het naleven van de cliëntenonderzoeksverplichtingen. In de memorie van toelichting bij het implementatiewetsvoorstel is echter opgemerkt dat het voorgestelde art. 33 Wwft niet voorziet in een wijziging van de documenten en gegevens die van natuurlijke personen moeten worden vastgelegd en bewaard. Ik vraag mij af of art. 33 Wwft op dit punt volledig strookt met art. 40 lid 1 vierde anti-witwasrichtlijn, zoals zojuist geciteerd, omdat het voorgeschreven resultaat, het bewaren van een afschrift van gebruikte identificerende documenten, niet (volledig) wordt bereikt als daartoe geen verplichting bestaat.
4.49 Richtlijnconforme uitleg van art. 33 Wwft zou hier uitkomst kunnen bieden. Richtlijnconforme uitleg zou hier betekenen dat instellingen gebruik moeten maken van de door dat artikel geboden mogelijkheid om een dergelijk afschrift (volledig) te bewaren en dat zij daarom niet langer kunnen volstaan met een verwijzing naar gebruikte documenten. Het zou de duidelijkheid ten goede zijn gekomen indien de overgang van een mogelijkheid naar een verplichting ook in de tekst van art. 33 Wwft tot uitdrukking was gekomen.
4.50 Voor de goede orde wijs ik er nog op dat het voorgaande met de vijfde anti-witwasrichtlijn niet anders wordt. De daarin opgenomen wijziging van art. 40 lid 1 van de vierde anti-witwasrichtlijn houdt slechts in dat onder de bewaarplicht ook wordt geschaard de informatie die langs elektronische weg is verkregen. Dat laat art. 33 Wwft ongemoeid.
4.51 Het voorgaande betekent mijns inziens dat naar huidig recht , daar waar een instelling voor het vaststellen van de identiteit van een natuurlijk persoon een identiteitsbewijs met een pasfoto heeft gebruikt, richtlijnconforme uitleg van art. 33 Wwft meebrengt dat die instelling gehouden is een afschrift te bewaren van het gebruikte identiteitsbewijs. Het dient daarbij om een volledig afschrift te gaan. De op het identiteitsbewijs opgenomen pasfoto kan niet worden weggelakt of anderszins achterwege worden gelaten. Men herkent mensen vooral aan hun gezicht.
4.52 De Nederlandsche Bank, de Wwft-toezichthouder voor de banken, verwacht ook dat banken een afschrift van het identiteitsdocument bewaren, inclusief een pasfoto, en wijst in dat kader eveneens op art. 40 lid 1 vierde anti-witwasrichtlijn. Daarin zie ik ook een indicatie dat er een verplichting bestaat om een dergelijk document te bewaren. Inmiddels werd in dezelfde zin geoordeeld door het Kifid, de rechtbank Amsterdam en het gerechtshof Amsterdam.
4.53 Hierover wordt echter ook wel anders gedacht. Zo schrijft het Bureau Financieel Toezicht, de Wwft-toezichthouder voor o.a. het notariaat, in een leidraad dat een instelling op grond van de Wwft een kopie identiteitsbewijs mag vastleggen, maar dat het voor het correct naleven van de Wwft niet noodzakelijk is dat een instelling een kopie van het identiteitsbewijs in het (cliënten)dossier heeft (en dus bewaart). Uit de in die leidraad opgenomen verwijzingen blijkt niet dat er rekening mee is gehouden dat na de vierde anti-witwasrichtlijn de mogelijkheid om in het kader van het cliëntenonderzoek te volstaan met het bewaren van een verwijzing naar de vereiste stukken niet meer bestaat.
4.54 Tot slot noem ik de website van de Rijksoverheid, waar ook [eiser] zich op beroept. Daar staat, kort samengevat, dat banken een kopie van het identiteitsbewijs mogen maken maar daartoe niet verplicht zijn. Dat is in lijn met de tekst van art. 33 Wwft, maar zoals hiervoor uiteengezet leidt richtlijnconforme interpretatie tot een bewaar plicht .
Bespreking van de klacht
4.55 Ik keer terug naar het onderdeel. Dát bij de verificatie van een paspoort gebruik kan worden gemaakt staat in deze zaak niet ter discussie. Ook is onbestreden dat op ICS een plicht rustte tot heridentificatie van [eiser] in het kader van het cliëntenonderzoek als bedoeld in art. 33 Wwft. Het onderdeel spitst zich toe op de vraag hoe met het paspoortkopie en de daarop vermelde gegevens door de instelling mag of moet worden omgegaan.
4.56 Het onderdeel berust op het uitgangspunt dat art. 33 Wwft geen grondslag biedt voor de opslag en het bewaren van (pas)foto’s. Uit het vorenstaande volgt dat ik dit uitgangspunt onjuist acht: art. 33 Wwft staat het een instelling toe een kopie van het identiteitsbewijs te bewaren en biedt daarvoor dus een wettelijke grondslag. Niet kan worden volstaan met het vastleggen (en bewaren) van de op het gebruikte identiteitsbewijs vermelde gegevens. Het middel gaat daarom uit van een onjuiste rechtsopvatting. Bovendien meen ik, zoals hiervoor toegelicht, dat richtlijnconforme uitleg van art. 33 Wwft meebrengt dat een instelling verplicht is om een kopie van het gebruikte identiteitsbewijs te bewaren.
4.57 Het vervolg van onderdeel 2, waarbij [eiser] de AVG betrekt, bouwt voort op hetzelfde onjuiste uitgangspunt en kan daarom onbesproken blijven.
Heeft [eiser] belang bij haar cassatieberoep?
4.58 ICS voert aan dat [eiser] geen belang heeft bij haar cassatieklachten (zie reeds 4.3-4.5).
4.59 De kern van dit verweer is dat na vernietiging en verwijzing geen andere uitkomst mogelijk is: omdat vaststaat dat [eiser] moest meewerken aan (her)identificatie én zij geen enkele identificerende informatie heeft verstrekt zoals bedoeld in art. 3 jo. 38 Wwft, was ICS verplicht de relatie met [eiser] te beëindigen uit hoofde van art. 5 lid 3 Wwft, aldus ICS.
4.60 Voor de vraag of dit verweer kans van slagen heeft, is beslissend welke uitleg moet worden gegeven aan rov. 5.3, welke overweging in cassatie onbestreden is.
4.61 Na te hebben geoordeeld dat de algemene voorwaarden van ICS geen deel uitmaken van de overeenkomst, overweegt het hof in rov. 5.3 van het bestreden arrest:
“5.3 (…) ICS kan de opzegging van de overeenkomst dus niet door een beroep op haar algemene voorwaarden rechtvaardigen. Dat neemt echter niet weg dat de creditcard-overeenkomst een duurovereenkomst is die in beginsel opzegbaar is. Bij gebreke van een wettelijke of contractuele regeling van de opzegging , moet aan de hand van de aanvullende en derogerende werking van de redelijkheid en billijkheid (art. 6:248 BW) worden beoordeeld of ICS de overeenkomst met [eiser] kon opzeggen (vgl. HR 28 oktober 2011, ECLI:NL:HR:2011:BQ9854).”
4.62 Laat het hof hier in het midden of ICS zich in dit geval zou kunnen beroepen op een wettelijke regeling van opzegging? Het hof besteedt immers in het bestreden arrest geen aandacht aan de regeling uit art. 5 lid 3 Wwft, waarop ICS zich wél had beroepen. Of bevat rov. 5.3 het oordeel dat geen sprake is van een wettelijke regeling van de opzegging? Dat laatste is hoe [eiser] het bestreden arrest kennelijk leest.
4.63 Ik neig ernaar om de lezing van [eiser] te volgen, in welk geval met het uitblijven van een incidenteel cassatieberoep zijdens ICS in deze zaak tussen partijen heeft te gelden dat geen sprake is van een wettelijke regeling van opzegging. Ik denk evenwel dat dit er weinig toe doet, aangezien de beide onderdelen reeds falen op inhoudelijke gronden.
Slotsom
4.64 De slotsom is dat de aangevoerde klachten geen doel treffen.
5 Conclusie
De conclusie strekt tot verwerping van het cassatieberoep.
De Procureur-Generaal bij de
Hoge Raad der Nederlanden
A-G
Zie HR 15 november 2024, ECLI:NL:HR:2024:1664, RvdW 2024/1107 (art. 81 RO) ( Van Leeuwen/SRLEV ).
Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PbEU 2016, L 119).
Richtlijn (EU) 2015/849 van het Europees Parlement en de Raad van 20 mei 2015 inzake de voorkoming van het gebruik van het financiële stelsel voor het witwassen van geld of terrorismefinanciering, tot wijziging van Verordening (EU) nr. 648/2012 van het Europees Parlement en de Raad en tot intrekking van Richtlijn 2005/60/EG van het Europees Parlement en de Raad en Richtlijn 2006/70/EG van de Commissie (PbEU 2015, L 143/71).
Ontleend aan het betreden arrest van hof Amsterdam van 5 maart 2024, ECLI:NL:GHAMS:2024:419, rov. 3.2.
Weergegeven in het vonnis van de kantonrechter van 28 mei 2021 onder 2. De toelichting in de dagvaarding gaat voor een belangrijk deel over (vermeende) praktijken van ABN AMRO, in Nederland en elders in de wereld.
Ktr. Amsterdam 28 mei 2021, zaaknr. 8772430 CV EXPL 20-16931 (niet gepubliceerd op rechtspraak.nl), rov. 5.
Wat de niet-ontvankelijkheid betreft gaat het om de vorderingen die namens [eiser] jegens ABN AMRO zijn ingesteld (nu deze geen partij in de procedure is) en om vorderingen waarbij [eiser] haar persoonlijk belang onvoldoende heeft onderbouwd. Zie het vonnis, rov. 6 en 7.
Voor zover ook vorderingen tegen ABN AMRO N.V. (de 100%-moedermaatschappij van ICS) zijn gericht, vermeld ik deze vorderingen niet. In cassatie is onbestreden het oordeel dat [eiser] niet in die vorderingen kan worden ontvangen. Zie het bestreden arrest, rov. 4.3.
Zie het proces-verbaal, blz. 3: “ (…) het gaat om het principe”; “Het is een principekwestie ten aanzien van alle banken’. Uit het proces-verbaal blz. 4 blijkt dat klanten van ICS andere mogelijkheden hebben zich te identificeren dan via de online procedure, onder andere door langs te gaan bij een notaris of identificatie te laten uitvoeren door een medewerker van AMP, waarbij het verstrekken van een selfie niet nodig is. Zie daarover ook de memorie van antwoord van ICS, nr. 5.29 en de schriftelijke toelichting van ICS nr. 22.
Hof Amsterdam 5 maart 2024, ECLI:NL:GHAMS:2024:419.
Zie rov. 5.6 van het bestreden arrest, waarin het hof uiteenzet dat de redenen die [eiser] heeft aangevoerd om van de alternatieven geen gebruik te willen maken, ondeugdelijk zijn.
Zie bijv. HR 3 december 2021, ECLI:NL:HR:2021:1814, NJ 2022/258, m.nt. E.J. Dommering ( BKR-registratie ), rov. 3.1.2.
Zie o.a. overweging 10 van de AVG.
Zie H.R. Kranenborg & L.F.M. Verhey, De Algemene verordening gegevensbescherming in Europees en Nederlands perspectief , Deventer: Wolters Kluwer 2024, par. 6.3.1.
HvJ 21 december 2023, C-667/21, ECLI:EU:C:2023:1022, AB 2024/94, m.nt. A.C. Hendriks ( Krankenversicherung Nordrhein ), punt 38.
HvJ 4 oktober 2024, C-21/23, ECLI:EU:C:2024:846, JBP 2024/113, m.nt. D.F. Berkhout ( ND/DR ), punt 89.
Zie o.a. HvJ 21 december 2023, C-667/21, ECLI:EU:C:2023:1022, AB 2024/94, m.nt. A.C. Hendriks ( Krankenversicherung Nordrhein ), punt 50, en HvJ 4 juli 2023, C-252/21, ECLI:EU:C:2023:537 ( Meta ), punt 76.
HvJ 21 december 2023, C-667/21, ECLI:EU:C:2023:1022 ( Krankenversicherung Nordrhein ), punt 73 en 77-79.
Kamerstukken II 2017/18, 34 851, nr. 3, p. 108 (MvT Implementatiewet vierde anti-witwasrichtlijn).
EDPB ‘Guidelines 3/2019 on processing of personal data through video devices’, version 2.0, adopted on 29 January 2020, par. 5.1, nr. 74.
Voetnoot in origineel: Recital 51 GDPR supports this analysis, stating that “(…) The processing of photographs should not systematically be considered to be processing of special categories of personal data as they are covered by the definition of biometric data only when processed through a specific technical means allowing the unique identification or authentication of a natural person. (…)” .
Ook de EDPB wijst erop dat technologie voor gezichtsherkenning gebaseerd is op de verwerking van biometrische gegevens; zie EDPB ‘Guidelines 05/2022 on the use of facial recognition technology in the area of law enforcement’, version 2.0, adopted on 26 April 2023.
Zo heeft de Autoriteit Persoonsgegevens in 2020 een boete opgelegd aan een bedrijf dat vingerafdrukken van het personeel scande voor de aanwezigheids- en tijdsregistratie. Het onderzoek is te raadplegen via https://autoriteitpersoonsgegevens.nl/documenten/onderzoek-vingerafdrukken-personeel.
Een voorbeeld is winkelpersoneel dat om de kassa te ontgrendelen gebruik moet maken van een vingerafdrukscan Zie daarover Ktr. Amsterdam 12 augustus 2019, ECLI:NL:RBAMS:2019:6005, JBP 2029/113, m.nt. K. Konings, JAR 2019/224, m.nt. I. de Laat.
Commissie van Beroep Financiële Dienstverlening (Kifid) 8 februari 2023, nr. 2023-0004, RF 2023/25, nrs. 5.26-5.27 (waarover ook de schriftelijke toelichting van ICS, nrs. 46-48, en de repliek van [eiser] , nr. 11).
De deskundigenadviezen zijn van prof. mr. A. Berlee (hoogleraar gegevensbescherming en privacy aan de Open Universiteit) vanuit het oogpunt van de AVG, en van Riverworks Legal Services, vanuit het oogpunt van de Wwft. Beide adviezen dateren van 11 juli 2023 en zijn te raadplegen via https://www.kifid.nl/kifid-bank-mag-voor-identificeren-klant-vragen-om-een-filmpje/. Zie ook de schriftelijke toelichting van ICS, voetnoot 45.
Zie de citaten in 3.14 van de beslissing van de Geschillencommissie van het Kifid.
Zie Geschillencommissie Financiële Dienstverlening (Kifid) 19 juli 2024, nr. 2024-0631, kritisch geannoteerd door D. Mekić in JOR 2024/264. Diens kritiek ziet meer op de proportionaliteit en geschiktheid van de eis een selfie-video te maken dan op de door de Geschillencommissie gegeven uitleg van het begrip ‘biometrische gegevens’.
Deze categorie bijzondere persoonsgegevens is ook nieuw, in de zin dat biometrische gegevens niet werden genoemd in de Richtlijn bescherming persoonsgegevens. Volledigheidshalve: in HvJ 3 oktober 2019, C-70/18, ECLI:EU:C:2019:823, JBP 2020/129 ( Staatssecretaris van Justitie en Veiligheid vs. A, B en P) , heeft het Hof naar aanleiding van prejudiciële vragen van de Afdeling Bestuursrechtspraak geoordeeld over, kort gezegd, de Nederlandse voorwaarde die wordt gesteld aan de afgifte van een machtiging tot voorlopig verblijf aan onderdanen uit (o.a.) Turkije, te weten het afnemen, vastleggen en bewaren van bepaalde biometrische gegevens (gezicht en tien vingerafdrukken). Deze uitspraak staat echter niet in de sleutel van de AVG.
Vgl. HvJ 6 oktober 2021, C-561/19, ECLI:EU:C:2021:799 ( Consorzio Italian Management ), punt 33, 39 en 66, en HvJ 15 oktober 2024, C-144/23, ECLI:EU:C:2021:881 ( KUBERA ), punt 36.
Zie de repliek van [eiser] , nr. 12, mede onder verwijzing naar een voorafgaand aan de AVG gewezen beschikking van de strafkamer van de Hoge Raad (HR 23 maart 2010, ECLI:NL:HR:2010:BK6331, NJ 2010/355, rov. 2.6).
Zie de definitie in art. 1 lid 1 Wwft.
Zie in vogelvlucht B. Snijder-Kuipers & A.T.A. Tilleman, ‘Inleiding – FATF tot vijfde anti-witwasrichtlijn’, in: Handboek Wwft (Serie O&R nr. 111) , Deventer: Wolters Kluwer 2019, hfst. 1.
Richtlijn 91/308/EG (eerste anti-witwasrichtlijn), Richtlijn 2001/97/EG (tweede anti-witwasrichtlijn), Richtlijn 2005/60/EG (derde anti-witwasrichtlijn), Richtlijn (EU) 2015/849 (vierde anti-witwasrichtlijn), Richtlijn (EU) 2018/843 (vijfde anti-witwasrichtlijn). De anti-witwasrichtlijnen worden ook wel aangeduid als AMLD1 t/m AMLD5, als afkorting van de diverse Anti-Money Laundering Directives.
Naar de Engelse aanduiding Anti-Money Laundering Regulation.
Art. 90 van de AMLR. Per diezelfde datum moeten de lidstaten aan de zesde anti-witwasrichtlijn voldoen, zie art. 78 van de richtlijn.
Zie o.a. art. 8 van de derde anti-witwasrichtlijn; zie ook Kamerstukken II 2007/08, 31 238, nr. 6, p. 9 (NvW Wwft), en Kamerstukken II 2007/08, 31 237 en 31 238, nr. 6, p. 9 (NaV implementatie derde witwasrichtlijn en Wwft).
Die bevoegdheid is neergelegd in art. 11 lid 1 Wwft, laatste zin.
Daarnaast noemt art. 4 lid 1 onder b. t/m h. van de Uitvoeringsregeling Wwft andere identificatiemiddelen.
Stb. 2018/239 en 240. De toen doorgevoerde wijzigingen in de tekst van art. 33 Wwft vormt mede de implementatie van de vierde anti-witwasrichtlijn.
Zie bijv. ook B. Snijder-Kuipers, ‘Het Wwft 10-stappenplan’, TOP 2023/190, stap 3, noot 12.
Zie de procesinleiding, p. 4 (eerste alinea) en de repliek in cassatie, nr. 7.
Zie Kamerstukken II 2017/18, 34 808, nr. 3, p. 95 (MvT Implementatiewet vierde anti-witwasrichtlijn).
Zie Kamerstukken II 2017/18, 34 808, nr. 3, p. 28 (MvT Implementatiewet vierde anti-witwasrichtlijn).
Zie Kamerstukken II 2017/18, 34 808, nr. 3, p. 80 (MvT Implementatiewet vierde anti-witwasrichtlijn).
Zie art. 1 lid 25 onder a vijfde anti-witwasrichtlijn.
Zie ook overweging 22 van de vijfde anti-witwasrichtlijn, eveneens onder verwijzing naar Verordening (EU) 910/2014 (e-IDAS).
Zie de Implementatiewet wijziging vierde anti-witwasrichtlijn ( Stb. 2020/146). Volledigheidshalve noem ik nog de Uitvoeringswet verordening bij geldovermakingen en overdrachten van cryptoactiva te voegen informatie ( Stb. 2024/414), waarbij overigens ten aanzien van art. 33 Wwft enkel sprake is van een technische wijziging (zie ook Kamerstukken II 2023/24, 36 526, nr. 3, p. 20).
Met het van toepassing worden van de AMLR (zie 4.40) kan dit overigens weer anders worden. Art. 77 lid 2 AMLR voert namelijk de mogelijkheid van verwijzingen naar ‘de informatie’ weer in.
Zie de (bij onderdeel 1 al genoemde) uitspraak van de Commissie van Beroep Financiële Dienstverlening (Kifid) van 8 februari 2023, nr. 2023-0004, RF 2023/25, nr. 1.9. In die procedure stond centraal of een bank een kopie van een paspoort mocht bewaren waarop de pasfoto van de consument zichtbaar is. In dat kader heeft de Commissie van Beroep vragen gesteld aan DNB en de antwoorden daarop zijn in de uitspraak opgenomen.
Commissie van Beroep Financiële Dienstverlening (Kifid) van 8 februari 2023, nr. 2023-0004, RF 2023/25. Vgl. de daarbij vernietigde beslissing in eerste aanleg van 10 januari 2022, nr. 2022-0013, onder 3.9: “ Uit artikel 33 Wwft volgt niet dat de pasfoto op het identiteitsdocument moet worden vastgelegd.”
Rb. Amsterdam 11 januari 2023, ECLI:NL:RBAMS:2023:145, rov. 4.10 (vonnis na verzet; het toewijzende verstekvonnis is niet gepubliceerd op rechtspraak.nl).
Hof Amsterdam 30 april 2024, ECLI:NL:GHAMS:2024:1165, Computerrecht 2024/218, m.nt. D. Mekić, rov. 5.7 (deze uitspraak betreft het hoger beroep tegen het vonnis uit de vorige voetnoot).
BFT, ‘Specifieke leidraad voor de naleving van de Wwft voor (toegevoegd en kandidaat-)notarissen en overig juridisch dienstverleners de instellingen genoemd in artikel 1a, lid 4, letter d en letter e Wwft’, 24 oktober 2024, par. 7.2.2.2, p. 21.
Hetzelfde gebrek kleeft m.i. aan de analyse van Mekić in zijn noot in Computerrecht 2024/218 bij Hof Amsterdam 30 april 2024, ECLI:NL:GHAMS:2024:1165, en in D. Mekić, ‘Het opslaan van kopieën van legitimatiebewijzen, foto’s en video’s van cliënten: de grenzen van de Wwft-reconstructieplicht in het licht van fundamentele rechten’, P&I 2024/2. Dat leidt tot het – m.i. onjuiste – vertrekpunt dat in het kader van de bewaarplicht uit art. 33 Wwft het (enkel) bewaren van identiteitsgegevens zou volstaan.
Repliek van [eiser] , nr. 6.
Zie https://www.rijksoverheid.nl/onderwerpen/bescherming-van-consumenten/vraag-en-antwoord/moet-een-bank-een-kopie-van-mijn-paspoort-maken-en-bewaren (laatstelijk geraadpleegd op 10 februari 2025).
Rov. 5.4 van het bestreden arrest, met verwijzing naar art. 38 Wwft.
Zie de procesinleiding, onderdeel 2, derde alinea, eerste zin: “ Zonder wettelijke grondslag, laat staan verplichting daartoe, (…) .” En zie ook uitdrukkelijk de repliek van [eiser] , nr. 8: “(…) gegeven deze keuze (…) ”, waarmee wordt gedoeld op de in nr. 7 genoemde keuzemogelijkheid die art. 33 lid 2, onder a, Wwft gelet op het voegwoord ‘of’ zou bieden.
Zie schriftelijke toelichting ICS, nrs. 21-28.
Zie o.a. de memorie van antwoord van ICS, nrs. 6.21 en 6.42.
Zie de repliek van [eiser] , nr. 15.