AVG en Identiteitsdocumenten: Compliancegids

Het verzamelen van een kopie van een identiteitsdocument is routine voor de meeste bedrijven. Het is tevens een van de verwerkingsactiviteiten met het hoogste risico onder de AVG. Een identiteitsdocument bevat gevoelige persoonsgegevens -- een uniek nummer (BSN), pasfoto, handtekening en soms biometrische gegevens -- waarvan niet-conforme verwerking het bedrijf blootstelt aan boetes tot EUR 20 miljoen of 4% van de wereldwijde jaaromzet. Deze gids behandelt de toepasselijke regels, de richtlijnen van de Autoriteit Persoonsgegevens (AP) en de concrete maatregelen die nodig zijn om identiteitsdocumenten volledig conform te verwerken.

Het Wettelijk Kader: Wat de AVG Zegt over Identiteitsdocumenten

De AVG (Verordening EU 2016/679) bevat geen specifieke bepalingen voor identiteitsdocumenten. De verwerking ervan valt onder de algemene principes van de verordening, aangevuld door de Uitvoeringswet AVG (UAVG) en richtlijnen van de AP.

De Kernprincipes die van Toepassing Zijn

Vijf AVG-principes zijn direct van toepassing op het verzamelen en verwerken van identiteitsdocumenten:

Rechtmatigheid van verwerking (Artikel 6). Het verzamelen van een identiteitsdocument moet berusten op een geldige rechtsgrond. Afhankelijk van de context kan dit een wettelijke verplichting zijn (KYC bij banken onder de Wwft, arbeidsovereenkomst), uitvoering van een overeenkomst (huurcontract) of het gerechtvaardigd belang van de verwerkingsverantwoordelijke (verificatie van de identiteit van een dienstverlener). Toestemming is zelden de juiste grondslag vanwege de machtsongelijkheid tussen het bedrijf en de betrokkene.

Dataminimalisatie (Artikel 5(1)(c)). Het bedrijf mag alleen de informatie verzamelen die strikt noodzakelijk is voor het aangegeven doel. Dit principe heeft grote praktische gevolgen voor de verwerking van identiteitsdocumenten, zoals hieronder beschreven.

Opslagbeperking (Artikel 5(1)(e)). Identiteitsdocumenten mogen niet voor onbepaalde tijd worden bewaard. De bewaartermijn moet vooraf worden vastgesteld en worden gerechtvaardigd door het verwerkingsdoel.

Integriteit en vertrouwelijkheid (Artikel 5(1)(f)). Identiteitsdocumenten moeten worden beschermd tegen ongeoorloofde toegang, verlies, vernietiging of wijziging door passende technische en organisatorische maatregelen.

Transparantie (Artikel 13). De persoon wiens identiteit wordt geverifieerd moet duidelijk en volledig worden geinformeerd: wie verwerkt hun gegevens, waarom, voor hoe lang en wat hun rechten zijn.

Nederlandse Wetgeving

De Uitvoeringswet AVG (UAVG) voegt belangrijke specifieke bepalingen toe. Het BSN (Burgerservicenummer) mag uitsluitend worden verwerkt door organisaties die daartoe wettelijk bevoegd zijn, zoals overheidsinstellingen, werkgevers (voor belastingdoeleinden) en zorgverleners. De Wet op de identificatieplicht regelt wanneer identiteitsdocumenten moeten worden getoond maar beperkt het recht op het maken van kopieen.

Het Wetboek van Strafrecht stelt identiteitsdiefstal en het frauduleus verzamelen van identiteitsgegevens strafbaar, wat de verplichting tot beveiliging van verzamelde documenten versterkt.

Richtlijnen van de Autoriteit Persoonsgegevens: Praktische Regels

De Autoriteit Persoonsgegevens (AP) heeft gedetailleerde richtlijnen gepubliceerd over het verwerken van identiteitsdocumenten. Hoewel niet juridisch bindend op zichzelf, worden deze aanbevelingen systematisch als referentie gebruikt bij handhavingsacties.

Wanneer Mag U een Identiteitsdocument Verzamelen?

De AP onderscheidt drie niveaus van identiteitsverificatie op basis van het doel:

Kritiek punt. Veel bedrijven verzamelen systematisch volledige kopieen van identiteitsdocumenten terwijl Niveau 2-verificatie zou volstaan. Dit komt vaak voor bij makelaars die voor- en achterkant van het ID vragen voor een simpele bezichtiging, of bedrijven die bezoekerspassen kopieren bij de receptie.

Dataminimalisatie Toegepast op Identiteitsdocumenten

Dataminimalisatie is het meest over het hoofd geziene principe bij de verwerking van identiteitsdocumenten. De AP geeft precieze richtlijnen, waaronder de aanbeveling om de KopieID-app te gebruiken.

Onleesbaar maken van onnodige gegevens. Wanneer een documentkopie vereist is, moeten gegevens die niet relevant zijn voor het aangegeven doel onleesbaar worden gemaakt. Bijvoorbeeld: bij het verifieren van de identiteit van een huurder is het BSN overbodig en moet worden afgeschermd.

Verbod op het verzamelen van bepaalde gegevens. De AP benadrukt dat het verzamelen van de pasfoto van een identiteitsdocument alleen gerechtvaardigd is wanneer fysieke identiteitsverificatie noodzakelijk is (fysieke toegangscontrole, biometrische vergelijking). Voor puur administratieve verificatie moet de foto onleesbaar worden gemaakt.

Te maskeren gegevens per doel:

Bewaartermijnen

De AVG en Nederlandse wetgeving leggen strikte bewaartermijnen op die varieren per verwerkingsdoel en rechtsgrond.

Veelgemaakte fout. Het bewaren van identiteitsdocumenten van afgewezen huurkandidaten is een AVG-overtreding. Meerdere verhuurplatforms en makelaars zijn op precies dit punt gesanctioneerd.

Technische Maatregelen voor de Bescherming van Identiteitsdocumenten

De AVG vereist "passende" technische en organisatorische maatregelen om persoonsgegevens te beschermen. Voor identiteitsdocumenten -- die een hoog risico op identiteitsdiefstal dragen bij een datalek -- moeten deze maatregelen bijzonder robuust zijn.

Verplichte Maatregelen Conform AP-Richtlijnen

Versleuteling in opslag en transit. Digitale kopieen van identiteitsdocumenten moeten versleuteld zijn met een erkend algoritme (minimaal AES-256). Transmissies moeten TLS 1.2 of hoger gebruiken.

Strikte toegangscontroles. Toegang tot identiteitsdocumenten moet beperkt zijn tot personen met een gerechtvaardigde operationele noodzaak. Toegangsrechten moeten driemaandelijks worden herzien. Elke toegang moet worden gelogd in een audittrail.

Beveiligde hosting. Identiteitsdocumenten moeten worden gehost op servers binnen de Europese Unie, bij een hostingprovider die voldoende garanties biedt. Certificeringen zoals ISO 27001 of SOC 2 worden aanbevolen. Onze beveiliging pagina beschrijft de standaarden waaraan wij voldoen.

Beveiligde verwijdering. Na afloop van de bewaartermijn moeten documenten onherroepelijk worden gewist (cryptografische wissing of fysieke vernietiging van het opslagmedium). Een bestand naar de prullenbak verplaatsen vormt geen conforme verwijdering.

Aanbevolen Maatregelen bij Grootschalige Verwerking

Voor bedrijven die meer dan 1.000 identiteitsdocumenten per maand verwerken, beveelt de AP aanvullende maatregelen aan:

• Data Protection Impact Assessment (DPIA). Verplicht wanneer de verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van betrokkenen. Grootschalige verwerking van identiteitsdocumenten valt in deze categorie.
• Pseudonimisering van geextraheerde gegevens. Gegevens geextraheerd uit documenten (naam, nummer) moeten worden gepseudonimiseerd in productiedatabases. De koppeling naar het brondocument mag alleen toegankelijk zijn in een speciale beveiligde omgeving.
• Scheiding van omgevingen. Productie-, test- en ontwikkelomgevingen moeten strikt gescheiden zijn. Geen echte identiteitsdocumenten mogen aanwezig zijn in testomgevingen.

Rechten van Betrokkenen

Personen wier identiteitsdocumenten zijn verzameld hebben specifieke rechten die het bedrijf binnen de wettelijke termijnen moet kunnen vervullen.

Overzicht Rechten

Verzoeken tot Wissing: Praktijkscenario's

Het recht op wissing is het meest frequente en meest delicate verzoek bij identiteitsdocumenten. Drie typische situaties:

Scenario 1: Een klant verzoekt om verwijdering van hun ID-kopie na opzegging van hun verzekering. De verzekeraar kan weigeren als de wettelijke bewaartermijn (5 jaar) nog niet is verstreken. Hij moet de klant echter informeren over de rechtsgrond die verdere bewaring rechtvaardigt en de geplande verwijderingsdatum.

Scenario 2: Een afgewezen huurkandidaat verzoekt om verwijdering van hun documenten. Het makelaarskantoor moet alle documenten onmiddellijk verwijderen. Weigering vormt een AVG-overtreding.

Scenario 3: Een voormalig werknemer verzoekt om verwijdering van hun ID-kopie 6 jaar na vertrek. Het bedrijf moet overgaan tot verwijdering, aangezien de bewaartermijn van 5 jaar is verstreken.

AVG en Geautomatiseerde Documentverificatie

Het gebruik van geautomatiseerde documentvalidatie oplossingen roept specifieke AVG-vragen op, met name rond geautomatiseerde besluitvorming en verwerkersovereenkomsten.

De Vraag van Geautomatiseerde Besluitvorming (Artikel 22)

Artikel 22 van de AVG regelt volledig geautomatiseerde beslissingen die juridische of vergelijkbaar significante gevolgen hebben. Een automatische dossierafwijzing op basis van non-compliance van identiteitsdocumenten valt mogelijk binnen dit bereik.

Om conform te blijven moet het bedrijf:

• De betrokkene informeren dat een geautomatiseerde beslissing kan worden genomen.
• Het recht op menselijke tussenkomst garanderen (een medewerker moet het dossier kunnen beoordelen).
• De logica achter de beslissing uitleggen (reden voor afwijzing, niet-voldaan criterium).

Goed ontworpen AI-oplossingen bouwen deze vereisten standaard in door een gestructureerde reden te geven voor elke afwijzing en twijfelgevallen door te sturen naar een menselijke medewerker.

De Verwerkersovereenkomst (Artikel 28)

Wanneer een bedrijf een externe dienstverlener gebruikt voor documentverificatie, moet het de relatie formaliseren via een verwerkersovereenkomst conform Artikel 28 van de AVG. Deze overeenkomst moet specificeren:

• De aard en het doel van de verwerking.
• De typen persoonsgegevens die worden verwerkt.
• De beveiligingsmaatregelen geimplementeerd door de verwerker.
• De voorwaarden voor subverwerking.
• De voorwaarden voor gegevensretour en -verwijdering bij contractbeeindiging.
• De voorwaarden voor audit door de verwerkingsverantwoordelijke.

Gegevensoverdracht Buiten de EU

De keuze van een documentverificatieprovider moet rekening houden met implicaties van gegevensoverdracht. Sinds de ongeldigverklaring van Privacy Shield door het HvJ-EU en de verscherpte vereisten na het Schrems II-arrest, brengt het overdragen van identiteitsdocumenten naar servers buiten de Europese Unie grote juridische risico's met zich mee. De AP beveelt expliciet oplossingen aan die binnen de EU zijn gehost.

AVG-Compliance Checklist voor Identiteitsdocumenten

Hier zijn de acties om te verifieren dat uw verwerking van identiteitsdocumenten conform is.

Voor Verzameling

• Verifieer dat het verzamelen van het identiteitsdocument gerechtvaardigd is door een geidentificeerde rechtsgrond.
• Bevestig dat het vereiste verificatieniveau (declaratief, eenvoudig, verscherpt) overeenkomt met het aangegeven doel.
• Stel een AVG-privacyverklaring op of werk deze bij (Artikel 13) inclusief: identiteit van de verwerkingsverantwoordelijke, doel, bewaartermijn en rechten van betrokkenen.
• Voer een DPIA uit als de verwerking grootschalig is.

Tijdens Verwerking

• Pas dataminimalisatie toe: maak gegevens die niet noodzakelijk zijn voor het aangegeven doel onleesbaar.
• Versleutel verzamelde documenten (in opslag en transit).
• Beperk toegang tot geautoriseerd personeel, met toegangslogging.
• Verifieer bij gebruik van een externe KYC-compliance provider het bestaan van een verwerkersovereenkomst conform Artikel 28 en bevestig EU-gegevenshosting.
• Garandeer bij geautomatiseerde beslissingen het recht op menselijke tussenkomst en beslissingsuitleg.

Na Verwerking

• Plan automatische verwijdering van documenten aan het einde van de bewaartermijn.
• Implementeer een proces voor het beantwoorden van verzoeken van betrokkenen (inzage, wissing, rectificatie) binnen de termijn van een maand.
• Documenteer de verwerking in het verwerkingsregister (Artikel 30).
• Audit de procescompliance jaarlijks.

Handhavingsacties met Betrekking tot Identiteitsdocumenten

De Autoriteit Persoonsgegevens en andere Europese toezichthouders sanctioneren regelmatig overtredingen gerelateerd aan de verwerking van identiteitsdocumenten.

Deze sancties illustreren de toenemende waakzaamheid van de AP op dit onderwerp en het belang van zorgvuldige omgang met identiteitsdocumenten.

Balans Tussen AVG-Compliance en Operationele Efficientie

AVG-compliance en operationele efficientie staan niet tegenover elkaar. De meest geavanceerde geautomatiseerde documentverificatieoplossingen bouwen AVG-vereisten standaard in: automatische dataminimalisatie, end-to-end versleuteling, geplande verwijdering, volledige audittrails en het recht op menselijke tussenkomst.

CheckFile heeft haar documentvalidatie platform ontworpen met native AVG-compliance. Documenten worden uitsluitend binnen de Europese Unie verwerkt en gehost, end-to-end versleuteld en automatisch verwijderd na afloop van de door u gedefinieerde bewaartermijn. Elke verwerkingsactie wordt gelogd en is auditeerbaar. Bekijk onze prijzen voor het plan dat past bij uw documentvolume, of neem contact op met ons team voor een demo en een compliance-audit van uw huidige documentworkflows.

Verder lezen: Voor het bredere antiwitwaskader dat KYC-documentbewaringsverplichtingen aandrijft, zie onze AMLD6-compliancegids. Advocatenkantoren staan voor unieke uitdagingen bij het balanceren van de AVG met het beroepsgeheim -- onze gids over advocatenkantoren die KYC automatiseren behandelt dit direct. Notarissen moeten ook aan AVG-vereisten voldoen bij het verwerken van identiteitsdocumenten -- onze notariele checklist voor vastgoedtransacties behandelt bewaartermijnen, dataminimalisatie en handhavingsacties.

Veelgestelde Vragen

Mag een verhuurder altijd een kopie van een identiteitsdocument vragen aan een huurkandidaat?

Nee. De Autoriteit Persoonsgegevens onderscheidt drie verificatieniveaus. Voor een bezichtiging of huurwoning volstaat Niveau 2, waarbij de kandidaat het document toont maar geen kopie hoeft af te staan. Alleen bij verhuur waarbij een volledige identiteitsverificatie wettelijk verplicht is, mag een kopie worden gemaakt. Bedrijven die toch systematisch kopieen verzamelen voor gevallen waarbij dit niet nodig is, lopen het risico op AVG-boetes, zoals meerdere vastgoedgroepen in 2023 en 2024 ondervonden.

Hoe lang mag een bedrijf een kopie van een identiteitsdocument bewaren?

De bewaartermijn hangt af van het verwerkingsdoel. Bij KYC-verplichtingen onder de Wwft geldt een termijn van 5 jaar na einde van de zakelijke relatie. Bij een arbeidsovereenkomst is dit 5 jaar na vertrek van de werknemer. Voor afgewezen huurkandidaten geldt echter directe verwijdering, maximaal 4 weken. Bewaring van identiteitsdocumenten van afgewezen huurkandidaten is een AVG-overtreding waarvoor meerdere organisaties zijn gesanctioneerd.

Moet het BSN altijd worden afgeschermd op een kopie van een identiteitsdocument?

In de meeste gevallen wel. Het BSN mag alleen worden verwerkt door organisaties die daartoe wettelijk bevoegd zijn, zoals overheidsinstellingen, werkgevers voor belastingdoeleinden en zorgverleners. Voor een verhuurder, makelaar of zakelijke dienstverlener is het BSN in vrijwel alle gevallen overbodig en moet onleesbaar worden gemaakt. De Rijksoverheid biedt hiervoor de KopieID-app aan die burgers kunnen gebruiken om zelf selectief gegevens af te schermen.

Wat zijn de verplichtingen bij gebruik van een externe KYC-dienstverlener voor identiteitsverificatie?

Bij uitbesteding van identiteitsverificatie aan een externe partij moet een verwerkersovereenkomst conform AVG Artikel 28 worden gesloten. Deze overeenkomst moet de aard van de verwerking, de beveiligingsmaatregelen, de voorwaarden voor subverwerking en de procedures voor gegevensverwijdering specificeren. Verifieer bovendien dat alle verwerking exclusief op Europese servers plaatsvindt en dat de dienstverlener geen gegevens gebruikt voor andere doeleinden zoals modeltraining.