Door Lawfox | Cybercrime | 19 juni 2025 | 6 min. leestijd
“Draai drie keer met je kin van links naar rechts. Zeg de woorden ‘Jas’, ‘Bel’ en ‘Troon’. Kijk naar boven en weer naar beneden.”
Dit zijn zomaar wat instructies die je bank anno 2025 kan geven om jezelf te identificeren, gewoon voor de camera van je eigen telefoon. Banken zijn niet de enigen; ook andere dienstverleners vragen tegenwoordig om meer dan alleen een kopietje van je paspoort. Maar mag dit eigenlijk wel? Wij krijgen hier regelmatig vragen over en in deze blog leggen we het uit.
Waarom die selfies?
Vroeger, en dan hebben we het over zo recent als het begin van deze eeuw, moest je voor de meeste bankzaken ook daadwerkelijk naar een bankfiliaal. Dit gold zeker voor het openen van een nieuwe rekening. Je kwam langs, liet je identiteitsbewijs zien en een medewerker vinkte aan dat je was geïdentificeerd. Zelfs in het tijdperk van internetbankieren bleef dit lange tijd de standaardprocedure.
Voor nieuwe, volledig digitale banken als bunq en Revolut is dit model natuurlijk niet praktisch; zij hebben immers geen filialen. Tegelijkertijd zijn ’traditionele’ banken al jaren bezig met het sluiten van vestigingen. Ook zij konden dus een betrouwbare manier gebruiken om klanten op afstand te identificeren. De oplossing: naast een kopietje of scan van je ID vraagt men om een filmpje waarop je beweegt of bepaalde woorden zegt, of een selfie met het identiteitsbewijs ernaast. Dit proces wordt ook wel een ‘liveness check’ genoemd. Het controleert of het paspoort gekoppeld kan worden aan de ‘levende’ persoon die de selfie maakt. Zo weet de bank dat er geen gebruik wordt gemaakt van een gestolen ID.
Hoe zit het juridisch?
De kernvraag is natuurlijk of een dienstverlener zomaar om een selfie mag vragen. Hier ontstaat een juridisch spanningsveld tussen de plicht van de dienstverlener om een klant goed te identificeren (en bijvoorbeeld te controleren of deze niet op een sanctielijst staat) en het recht op privacy van de gebruiker. Met andere woorden: een conflict tussen de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) en de Algemene verordening gegevensbescherming (AVG). Omdat deze wetten breed inzetbaar zijn
De AVG en privacy
Volgens de AVG is voor de verwerking van persoonsgegevens altijd een van de zes wettelijke grondslagen uit het eerste lid artikel 6 AVG nodig. Voor identiteitsverificatie is eigenlijk maar één grondslag echt passend: de ‘wettelijke verplichting’ (sub c). De grondslag ’toestemming’ (sub a) is hier bijvoorbeeld niet praktisch. Toestemming kan immers op elk moment worden ingetrokken, en de dienstverlener zou dan een alternatief moeten bieden voor klanten die weigeren. Daar komt bij dat uiterlijke kenmerken al snel als ‘biometrische gegevens’ kunnen worden gezien. De verwerking van biometrische gegevens is volgens artikel 9 AVG in principe verboden, tenzij er een specifieke uitzondering van toepassing is.
De Wwft en de identificatieplicht
De Wwft is van toepassing op ‘banken en andere financiële ondernemingen, alsmede op […] natuurlijke personen, rechtspersonen of vennootschappen handelend in het kader van hun beroepsactiviteiten’. Denk hierbij aan zakelijke dienstverleners zoals advocaten, notarissen en accountants. Voor deze instellingen is een cliëntenonderzoek bij nieuwe klanten verplicht op grond van de Wwft (zie o.a. artikel 3, lid 1). Dit onderzoek moet de instelling in staat stellen om de cliënt te identificeren en diens identiteit te verifiëren (artikel 3, lid 2 sub a Wwft). Vooral het tweede onderdeel is hier van belang. Je kan wel om een ‘kopietje ID’ vragen, maar hoe weet je dat de persoon die het kopietje naar je stuurt ook de persoon op de pasfoto is? Daarvoor is dus een aanvullende stap vereist. Een stap die dus ingevuld kan worden met een selfie of filmpje. Kortom: aan het vereiste van een grondslag is, ten minste voor dienstverleners die onder het bereik van de Wwft vallen, voldaan.
Maar hoe zit het dan met het verbod op het verwerken van biometrische gegevens? Er is een voorstel tot wetswijziging gedaan (artikel 34a Wwft) dat duidelijk(er) moet maken dat er een uitzondering op dit verbod geldt als de verwerking noodzakelijk is voor identificatie. De wetgever beschouwt dit als een verduidelijking van de huidige regels. We mogen er dus van uitgaan dat dit ook nu al de stand van het recht is. Overigens heeft het Kifid (het klachteninstituut voor de financiële dienstverlening) in 2023 geoordeeld dat een video-opname van een persoon niet automatisch een verwerking van biometrische gegevens is. Een gezichtsscan, zoals je die gebruikt om je telefoon te ontgrendelen, is dat wél.
En andere dienstverleners dan?
Kortom: banken, financiële dienstverleners (zoals bijvoorbeeld Klarna) en professionele dienstverleners (zoals advocaten) mogen op basis van de Wwft om een selfie of video-opname vragen voor identificatie van hun klanten, of beter gezegd: voor verificatie van de identiteit van hun klanten.
Het is te verwachten dat andere partijen deze technologie ook graag zouden inzetten om bijvoorbeeld misbruik van hun platform te voorkomen. Denk aan een vervoersdienst als Uber of een marktplaats als Vinted. We zien in de praktijk ook dat partijen buiten de Wwft-sfeer in het kader van ‘klantonderzoek’ om selfies of filmpjes vragen. Mag dat? Het korte antwoord is: nee. Voor deze dienstverleners zal doorgaans de wettelijke grondslag ontbreken die de Wwft wel biedt.
Aanbevelingen voor dienstverleners
Wil je als dienstverlener toch om aanvullende identificatie vragen, dan is de hoogst mogelijke voorzichtigheid geboden. Zeker met de opkomst van AI is het kinderlijk eenvoudig geworden om een digitale ‘kopie’ van iemands stem en uiterlijk te maken (deepfakes). Om verder een paar beknopte aanbevelingen te geven:
- Beveilig het proces: De manier waarop de selfie of video wordt overgedragen, moet zeer secuur zijn. Overweeg een gespecialiseerde dienstverlener in te schakelen, zoals SumSub of Toggle.
- Overweeg iDIN: Een alternatief is iDIN. Dit systeem gebruikt de identificatie die de bank al van je klant heeft uitgevoerd en maakt deze beschikbaar voor non-bancaire diensten. Veilig, betrouwbaar en minder ingrijpend voor de klant.
Wat kun jij als klant doen?
Word je gevraagd om een selfie of filmpje te maken om jezelf te identificeren? Volg dan deze stappen:
- Controleer de afzender: Wees er absoluut zeker van dat het verzoek echt van de dienstverlener komt en niet van een oplichter (phishing). Controleer de URL van de website en kijk of de verbinding beveiligd is (het slotje en ‘https://’ in de adresbalk). Volg nooit links uit een e-mail, maar navigeer zelf naar de officiële website.
- Dien een klacht in: Ben je er zeker van dat je met de echte dienstverlener te maken hebt, maar vermoed je dat zij deze gegevens niet van je mogen vragen (omdat het bijvoorbeeld geen financiële instelling is)? Dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.
Vragen?
Of je nu een dienstverlener bent die worstelt met deze regelgeving, of een consument die zijn rechten wil kennen, in beide gevallen kunnen wij je van dienst zijn. Neem gerust contact met ons op via info@lawfox.nl.
