In deze zaak heeft creditcardmaatschappij International Card Services (ICS) in het kader van hernieuwd cliëntenonderzoek van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) de eiseres om een kopie van haar paspoort met pasfoto (ter identificatie) en een video-selfie (ter verificatie) verzocht. ICS bewaart vervolgens de ontvangen kopie van het identiteitsbewijs met pasfoto en brengt daarop een watermerk aan. Eiseres weigert om principiële redenen in te gaan op het (her)identificatieverzoek, waarna ICS de klantrelatie opzegt. Dit leidde tot een procedure waarin het hof uiteindelijk heeft geoordeeld dat ICS de creditcardovereenkomst rechtsgeldig mocht opzeggen.
In cassatie
Eiseres is van mening dat het hof blijkt heeft gegeven van onjuiste rechtsopvattingen en heeft tegen het oordeel van het hof één cassatiemiddel ingediend, bestaande uit twee onderdelen:
Onderdeel 1 betoogt dat het door ICS toegepaste (her)identificatieproces de verwerking van ‘biometrische gegevens’ behelst, wat in beginsel verboden is op grond van artikel 9 van de Algemene verordening gegevensbescherming (AVG).
Onderdeel 2 betoogt dat de bewaarplicht van artikel 33 van de Wwft geen wettelijke grondslag biedt voor het bewaren van een (kopie van een identiteitsbewijs met) pasfoto, “laat staan een verplichting daartoe”.
In een lezenswaardige conclusie geeft advocaat-generaal (A-G) Drijber zijn visie op de geformuleerde rechtsklachten, met als uiteindelijke uitkomst dat het cassatieberoep in zijn ogen dient te worden verworpen.
Onderdeel 1: enkele vastleggen en opslaan van (pas)foto’s (als onderdeel van een paspoortkopie) is géén verwerking van biometrische gegevens
Onder verwijzing naar onder andere de tekst van art. 4 onder 14 en overweging 51 van de AVG, de wetsgeschiedenis bij art. 29 Uitvoeringswet AVG (UAVG) en de richtsnoeren van de European Data Protection Board (EDPB) constateert de A-G dat foto’s alleen onder de definitie van ‘biometrische gegevens’ vallen wanneer zij worden verwerkt met behulp van bepaalde technische middelen (‘technically processed’) die de unieke identificatie of authenticatie van een natuurlijke persoon mogelijk maken. Als voorbeeld van technische verwerking noemt de A-G de inzet van vingerafdruk- en gezichtsherkenningssoftware ter identificatie van de gebruiker, dat bepaalde biometrische kenmerken meet en deze softwarematig vergelijkt met in een database opgeslagen vergelijkingsmateriaal.
Vervolgens constateert de A-G dat in dit specifieke geval de verificatie niet softwarematig of anderszins met een technisch middel werd uitgevoerd, maar door een medewerker van een firma die ICS daarvoor heeft ingehuurd. Deze vergelijkt de selfie (handmatig) met de pasfoto op het identiteitsbewijs om vast te stellen of de foto authentiek is. Dit enkele vastleggen en bewaren van foto’s met gezichtsafbeeldingen (zoals pasfoto’s op een kopie van een paspoort) kan volgens de A-G echter niet worden aangemerkt als een ‘specifieke technische verwerking’ als bedoeld in art. 4 onder 14 AVG en dient daarom niet te worden aangemerkt als (het verwerken van) ‘biometrische persoonsgegevens’ in de zin van art. 9 lid 1 AVG. Reden waarom dit eerste onderdeel van het cassatiemiddel dient te falen, aldus de A-G.
Onderdeel 2: bewaarplicht van art. 33 Wwft biedt (wel) grondslag en zelfs verplichting voor bewaren van kopie identiteitsbewijs met pasfoto
Over artikel 33 Wwft overweegt de A-G het volgende. Allereerst stelt hij voorop dat het een instelling is toegestaan om bij de verificatie in het kader van het cliëntenonderzoek gebruik te maken van een identiteitsbewijs (art. 4 lid 1 Uitvoeringsregeling Wwft); dit wordt in zoverre ook niet door eiseres betwist.
Het onderdeel spitst zich toe op de vraag hoe met het paspoortkopie en de daarop vermelde gegevens door de instelling mag of moet worden omgegaan.
Artikel 33 Wwft verplicht een instelling (t.a.v. natuurlijke personen) kortgezegd vast te leggen (en te bewaren): de identificerende gegevens van de cliënt of een afschrift van diens geldige identiteitsbewijs. De steller van het middel leidt uit het hierboven onderstreepte woord ‘of’ af dat een instelling een kopie van het identiteitsbewijs met pasfoto niet mag bewaren, omdat het volstaan met de identificerende gegevens (de zinsnede direct voorafgaand aan dat woord ‘of’) beter zou voldoen aan het beginsel van ‘minimale gegevensverwerking’ als bedoeld in art. 5 lid 1, onder c, AVG.
De A-G houdt deze (zeer onorthodoxe) uitleg van art. 33 Wwft niet verrassend voor onjuist en geeft aan dat uit het gebruik van het voegwoord ‘of’ zijns inziens juíst blijkt dat een instelling een paspoortkopie mag gebruiken als vast te leggen document. Meegaan met de interpretatie van eiseres zou daarbij van het zinsdeel dat volgt op ‘of’ feitelijk een dode letter maken. Volgens de A-G staat art. 33 Wwft het een instelling toe een kopie van het identiteitsbewijs te bewaren en biedt daarvoor dus een wettelijke grondslag. Daarmee kan in principe ook dit onderdeel al vroegtijdig worden verworpen.
Interessanter is dat de A-G, alvorens dit tweede onderdeel tevens ongegrond te verklaren, in een soort overweging ten overvloede uiteenzet dat een Wwft-instelling in zijn optiek zelfs verplicht is om een kopie van het identiteitsbewijs te bewaren. Hoewel de tekst van art. 33 Wwft niet zo’n verplichting bevat, zou een richtlijnconforme uitleg van art. 33 Wwft met zich meebrengen dat dat instellingen gebruik moeten maken van de door dat artikel geboden mogelijkheid om een dergelijk afschrift (volledig) te bewaren en dat zij daarom niet langer kunnen volstaan met een verwijzing naar gebruikte documenten.
De A-G komt tot dit inzicht door te verwijzen naar artikel 40 van de vierde anti-witwasrichtlijn, waarin de bewaarplicht op Europees niveau is neergelegd. De A-G constateert dat met de overgang van de derde naar de vierde anti-witwasrichtlijn de mogelijkheid om te volstaan met het bewaren ‘van een verwijzing naar de vereiste stukken’ is komen te vervallen. Met de vierde anti-witwasrichtlijn werd het bewaren van een afschrift van het paspoort of ander identiteitsbewijs een verplichting. De A-G vraagt zich dan ook af of art. 33 Wwft op dit punt volledig strookt met art. 40 van de vierde anti-witwasrichtlijn (en met de vijfde anti-witwasrichtlijn, die op dit punt geen verandering heeft aangebracht), en stelt vast:
“Het voorgaande betekent mijns inziens dat naar huidig recht, daar waar een instelling voor het vaststellen van de identiteit van een natuurlijk persoon een identiteitsbewijs met een pasfoto heeft gebruikt, richtlijnconforme uitleg van art. 33 Wwft meebrengt dat die instelling gehouden is een afschrift te bewaren van het gebruikte identiteitsbewijs. Het dient daarbij om een volledig afschrift te gaan. De op het identiteitsbewijs opgenomen pasfoto kan niet worden weggelakt of anderszins achterwege worden gelaten. Men herkent mensen vooral aan hun gezicht.”
Tot slot
Geconcludeerd mag worden dat de A-G een stellige conclusie heeft geschreven waarin de twee belangrijkste inzichten als volgt kunnen worden samengevat:
Het enkele vastleggen en opslaan van gezichtsafbeeldingen, zoals pasfoto’s of kopieën van paspoorten, vormt geen verwerking van biometrische gegevens in de zin van artikel 4 onder 14 AVG, omdat de vereiste technische verwerking ontbreekt.
Een richtlijnconforme uitleg van art. 33 Wwft brengt met zich mee dat een instelling verplicht is een volledig afschrift te bewaren van het identiteitsbewijs.
Uitgemaakte zaken zijn dit echter zeker nog niet. Zo merkt de A-G bij de behandeling van onderdeel 1 terecht op dat het Hof van Justitie van de Europese Unie zich nog niet heeft uitgesproken over de uitleg van en de verhouding tussen de AVG en de vierde anti-witwasrichtlijn (zoals omgezet in de Wwft).
Ook met betrekking tot de bewaarplicht aan de orde in onderdeel 2 stelt de A-G vast dat hierover ook wel anders wordt gedacht. Zo schrijft het Bureau Financieel Toezicht in haar leidraad dat een instelling op grond van de Wwft een kopie identiteitsbewijs mag vastleggen, maar dat het voor het correct naleven
