Als het laten tonen van een identiteitsdocument volstaat, zoals bij een leeftijdscontrole, is het overnemen van gegevens van het identiteitsdocument of het kopiëren, scannen of uitlezen ervan niet toegestaan.
Voorbeeld 1 – Leeftijdscontroles voor (sterke) drank
De Drank- en Horecawet verbiedt horeca- en slijterijbedrijven om (sterke) drank te verkopen aan jongeren onder een bepaalde leeftijd. De ongeoorloofde verkoop van (sterke) drank is strafbaar gesteld, evenals de ongeoorloofde toegang tot of verkoop van films of games aan minderjarigen. Voor de naleving van de leeftijdsverificatie is het gerechtvaardigd dat bij twijfel over de leeftijd om een identiteitsdocument wordt gevraagd.5 Niet-naleving van de gestelde leeftijdsgrenzen van artikel 20, vierde lid, Drank- en Horecawet is strafbaar gesteld in artikel 1, onder 4°, Wet op de economische delicten. De Nederlandse Voedsel- en Warenautoriteit houdt toezicht op de naleving van de leeftijdsgrens voor de verkoop van alcohol en tabak. Niet-naleving van de leeftijdsgrenzen bij films en games is strafbaar ingevolge artikel 240a Wetboek van Strafrecht. Het Commissariaat voor de Media houdt toezicht op het Nederlands Instituut voor de Classificatie van Audiovisuele Media (NICAM) op grond van de Mediawet. Voor een controle op leeftijd kan worden volstaan met het tonen van een geldig identiteitsdocument. Het is niet noodzakelijk om persoonsgegevens te noteren of daarvan een kopie te maken. Leeftijdscontrole kan achterwege blijven als een klant of bezoeker evident ouder of jonger is dan de vereiste minimumleeftijd.
Soms is tonen niet voldoende, maar moeten bepaalde gegevens worden overgenomen, zoals voor een register van nachtverblijven (hotels).6 Artikel 438 Wetboek van Strafrecht. Zie ook het advies van het CBP van 3 december 2007 (te raadplegen via < www.cbpweb.nl/downloads_adv/z2007-01131.pdf >), waarin het CBP aangeeft dat ‘in Algemeen Plaatselijke Verordeningen (APV) weliswaar nadere registratieverplichtingen kunnen zijn vastgelegd, maar dat daarin geen verplichting kan worden opgenomen tot het maken van een kopie of scan door houders van nachtverblijven.’ Ook daarvoor is het maken van een kopie of scan niet toegestaan. Dat betekent dat alleen in uitzonderlijke gevallen het maken van een kopie of scan is toegestaan.
Voorbeeld 2 – Registratie van hotelgasten
Hotels en andere ‘nachtverblijven’ zijn op grond van het Wetboek van Strafrecht verplicht enkele gegevens van hun gasten te registreren aan de hand van een geldig identiteitsdocument.7 Artikel 438 Wetboek van Strafrecht; vgl. bovengenoemd advies van het CBP. De verplicht te registreren gegevens betreffen het type identiteitsdocument, de naam van de gast, diens beroep of betrekking, zijn woonplaats en de dag van aankomst en vertrek. Deze gegevens moeten op aanvraag aan de politie kunnen worden getoond. Een kopie is daarvoor niet noodzakelijk.
Bij de vraag of persoonsgegevens van een identiteitsdocument mogen worden overgenomen, gekopieerd of gescand, is het volgende van belang:
Voor het verzamelen en gebruiken van persoonsgegevens, dus ook voor het overnemen, kopiëren of scannen, moet een juridische basis (‘grondslag’) bestaan. Voor het bedrijfsleven is dat in de meeste gevallen:8 Het betreft twee van de zes Wbp-grondslagen, te weten die in artikel 8 onder c en b Wbp.
een wettelijke verplichting nakomen;
een overeenkomst (ook wel: contract) uitvoeren.
Ad 1. Het bestaan van een wettelijke verplichting is relevant in bijvoorbeeld arbeidsrelaties en in de financiële dienstverlening:
Voorbeeld 3 – Arbeidsrelaties
Een werkgever is op grond van de Wet op de Loonbelasting verplicht om bij indiensttreding van een nieuwe werknemer diens identiteit te controleren aan de hand van een geldig identiteitsdocument – met uitzondering van een rijbewijs – en dit op echtheid te controleren (verificatieplicht).9 Artikel 6a, onder c, Wet op de Loonbelasting. Artikel 15, eerste lid, Wet arbeid vreemdelingen (WAV) kent eenzelfde verifieer- en bewaarverplichting. De identiteit mag niet aan de hand van een kopie van een identiteitsdocument worden gecontroleerd!10Vgl. < www.belastingdienst.nl/zakelijk/loonheffingen/lb22_gegevens_administreren/lb22_gegevens_administreren-08.html >. Na deze controle is de werkgever verplicht om een kopie van het gecontroleerde document – inclusief burgerservicenummer (BSN) en pasfoto – in zijn loonadministratie op te nemen en te bewaren (bewaarplicht). Dit ontslaat de individuele werknemer echter niet van zijn toonplicht als er een arbeidsinspectie op de werkvloer plaatsvindt. De werkgever dient ervoor te zorgen dat alle werknemers een geldig identiteitsdocument kunnen tonen (zorgplicht), bijvoorbeeld door opbergkluisjes aan werknemers ter beschikking te stellen.11 Artikel 55, tweede en derde lid, Wet structuur uitvoeringsorganisatie werk en inkomen (Wet SUWI).
Voorbeeld 4 – Identiteitscontrole bij financiële dienstverlening
Sinds 1 augustus 2008 zijn de Wet identificatie bij (financiële) dienstverlening (Wid) en de Wet melding ongebruikelijke transacties (Wet MOT) samengevoegd in de Wet ter voorkoming van witwassen en financiering van terrorisme (WWFT).12 De samenvoeging van de Wid en de Wet MOT in de WWFT is een gevolg van de implementatie van Richtlijn 2005/60/EG, ook wel de ‘derde Europese witwasrichtlijn’ genoemd. De WWFT gaat uit van een ‘risicogeoriënteerde’ benadering: een financiële instelling moet zelf inschatten in hoeverre een financiële transactie risico’s met zich meebrengt. Hoe groter dat risico, hoe meer onderzoek naar de (identiteit van de) cliënt wordt vereist.13 De naleving van de WWFT wordt onder meer gecontroleerd door het Bureau Financieel Toezicht (BFT); < www.bureauft.nl >. De financiële instelling kan – als bewijs van de identificatieverplichting (reconstructieplicht) – daarbij ook een afschrift (lees: kopie) van het gecontroleerde identiteitsdocument vastleggen en gedurende vijf jaar bewaren.14 Artikel 33, eerste lid, onder a, sub 1º, WWFT. Vgl. Kamerstukken II 2007–2008, 31 238, nr. 3, p. 35.
Ad 2. Voor de uitvoering van een overeenkomst zal bij het opstellen van een contract vaak om adresgegevens worden gevraagd, bijvoorbeeld voor de aflevering van een bestelling. In een online situatie is bovendien een e-mailadres vereist.15 Een webshop is wettelijk verplicht een online aankoop per e-mail te bevestigen (artikel 6:227c Burgerlijk Wetboek). Een geboortedatum is voor een bestelling meestal niet nodig, tenzij een product bijvoorbeeld niet voor minderjarigen is bedoeld.
Voor de uitvoering van bijvoorbeeld een abonnement of lidmaatschap zijn vaak betalingsgegevens nodig. De grondslag voor het verwerken van persoonsgegevens beperkt zich in deze gevallen tot het overnemen van de meest relevante gegevens. Een ‘kopietje paspoort’ is in geen van deze gevallen nodig en mag niet worden gevraagd.
Voorbeeld 5 – Lidmaatschap van een (sport)vereniging
Een praktijksituatie: een nieuw lid van een sportschool wordt bij zijn inschrijving gevraagd om verschillende persoonsgegevens, zoals zijn NAW-gegevens en betalingsgegevens om het lidmaatschapsgeld automatisch te kunnen afschrijven. In aanvulling wil de baliemedewerker ook een geldig identiteitsdocument van het nieuwe lid scannen. Desgevraagd geeft de medewerker aan dat dit een voorwaarde is om lid te kunnen worden. Dit is echter geen toelaatbare voorwaarde, omdat met het scannen van een identiteitsdocument ook het BSN wordt verwerkt. Dat is zonder wettelijke grondslag verboden en overigens ook niet noodzakelijk om lid te worden.
Leveranciers of verkopers staat het in beginsel vrij om aan hun dienst of product voorwaarden te verbinden. Voordat een overeenkomst wordt aangegaan – zeker als het kostbare producten betreft, langer lopende abonnementen of een koop op afstand – zal een ondernemer (meer) zekerheid willen hebben over met wie hij zaken doet om (toekomstige) betalingen veilig te stellen. Daarvoor kan de ondernemer aanvullende informatie verlangen of voorwaarden stellen om bijvoorbeeld fraude te voorkomen of snel te laten opsporen. Dat betekent overigens niet dat het kopiëren of scannen van identiteitsdocumenten zomaar als voorwaarde gesteld kan worden.
Voorbeeld 6 – Kopiëren van identiteitsdocumenten door telecom- en internetbedrijven
Om enige zekerheid te hebben over de betaling van abonnementsgelden, kan een telecomaanbieder een kredietwaardigheidsonderzoek doen naar een potentiële nieuwe klant. Daarvoor heeft de ondernemer enkele persoonsgegevens nodig – zoals NAW-gegevens en de leeftijd van de klant in geval van een minderjarige – en kan hij de klant vragen om een geldig identiteitsdocument te tonen om diens identiteit deugdelijk vast te stellen. Zo nodig kan de ondernemer de aard van het identiteitsdocument en het documentnummer noteren. Het maken van een kopie of scan van zo’n document is echter niet toegestaan; het BSN mag niet door een telecomaanbieder worden verwerkt en ook de pasfoto en andere gegevens op het document zijn voor zo’n kredietwaardigheidsonderzoek niet noodzakelijk. In plaats van een kredietwaardigheidsonderzoek wordt ook wel de bankpas gecontroleerd en gevraagd om € 0.01 te pinnen om aan te tonen dat de betaalrekening van de nieuwe klant actief is. Het kopiëren of scannen van de bankpas is niet noodzakelijk; door de betaling beschikt de ondernemer immers al over de nodige betaalgegevens, zoals het rekeningnummer en de tenaamstelling van de betaalrekening.
In zeer uitzonderlijke gevallen kan sprake zijn van het overnemen van gegevens van een identiteitsdocument of het kopiëren of scannen ervan. Een bedrijf of organisatie moet de noodzaak daartoe dan wel gedocumenteerd kunnen onderbouwen. In de praktijk zal een dergelijke situatie zich niet vaak voordoen, omdat bij een behoefte aan legitimatie het tonen van een identiteitsdocument in beginsel voldoende is.
Voorbeeld 7 – Kopiëren van identiteitsdocumenten bij het huren of tijdelijk meenemen van een auto
Voertuigenverhuurbedrijven die lid zijn van brancheorganisatie BOVAG kunnen bij de verhuur van een auto of voorafgaand aan een proefrit kopieën van identiteitsdocumenten maken. Voertuigenverhuurders worden regelmatig geconfronteerd met onwenselijke (criminele) gedragingen van huurders van onder meer auto’s en motoren. Om deze voertuigcriminaliteit tegen te gaan, heeft BOVAG de bestaande zwarte lijst van de brancheorganisatie – ELENA Waarschuwingssysteem – uitgebreid met de mogelijkheid een kopie van de identiteitspapieren van de huurder te maken. Deze uitbreiding is opgenomen met als doel verbetering van het opsporen en vervolgen van verduistering van huurauto’s. Binnen de Stichting Aanpak Voertuigcriminaliteit zijn hierover tussen de deelnemers – waaronder BOVAG en het Openbaar Ministerie – afspraken gemaakt. Deze afspraken zijn neergelegd in een circulaire van 11 februari 2009, die is vastgesteld in de Board Opsporing van de Raad van Hoofdcommissarissen. Het CBP heeft na een voorafgaand onderzoek op 16 januari 2011 verklaard de door BOVAG gemelde verwerking van persoonsgegevens rechtmatig te achten. Voordat voertuigenverhuurders overgaan tot het maken van een kopie van een identiteitsdocument, dient een belangenafweging plaats te vinden of de kopie noodzakelijk is. Indien dit het geval is, dient het BSN te worden afgeschermd. Dat geldt ook voor de pasfoto, tenzij de huurder of proefritmaker uitdrukkelijke toestemming geeft voor het maken van een kopie zonder afscherming van de foto. Het bedrijf treft passende technische en organisatorische maatregelen voor het beveiligen van gemaakte kopieën. Zodra de huurder of proefritmaker het voertuig veilig retourneert, worden de kopieën teruggegeven of vernietigd.
Artikel 3
Is daarnaast een ‘kopietje paspoort’ toegestaan? Nee, tenzij...
Onderdeel van Richtsnoeren Identificatie en verificatie van persoonsgegevens· Privacy
Deze tekst geldt sinds 12 juli 2012