Privacywetgeving en het kopietje paspoort

• Inleiding

  De aanwezigheid van het burgerservicenummer (hierna: BSN) en een pasfoto op het paspoort zorgen ervoor dat bij het maken en opslaan van een kopietje daarvan een paar alarmbellen moeten gaan rinkelen. In deze bijdrage zullen wij toelichten waarom dat het geval is.

  Onlangs heeft de Nederlandse privacytoezichthouder het College bescherming persoonsgegevens (hierna: CBP) de richtsnoeren ‘Identificatie en verificatie van persoonsgegevens’ gepubliceerd (hierna: de Richtsnoeren).¹x Stcrt. 12 juli 2012, nr. 14741 en op <www.cbpweb.nl>. Deze richtsnoeren beogen te verduidelijken welke uitleg van de relevante wettelijke voorschriften het CBP hanteert in zijn handhavingspraktijk met betrekking tot het gebruik van het ‘kopietje paspoort’ in de private sector.

  Hoewel het ‘kopietje paspoort’ redelijk ingeburgerd lijkt te zijn geraakt, zijn er vanuit privacyrechtelijk perspectief de nodige haken en ogen. Een veelgenoemd risico van onzorgvuldig gebruik van het ‘kopietje paspoort’ is identiteitsfraude – het illegaal gebruiken van iemands persoonsgegevens. Hiermee kan bijvoorbeeld op frauduleuze wijze een bankrekening worden geopend of een uitkering worden aangevraagd. Uit een onderzoek van PwC in opdracht van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties in 2011 blijkt dat het verwachte aantal slachtoffers van identiteitsfraude in 2011 tussen 127.000 en 150.000 lag, met een verwacht schadebedrag van tussen de EUR 350 en 420 miljoen.²x J. Barnes e.a., Omvang van identiteitsfraude & maatschappelijke schade in Nederland, PwC 2011 (<www.rijksoverheid.nl>).

  In deze bijdrage bespreken wij de voorwaarden en beperkingen die de Wet bescherming persoonsgegevens (Wbp) stelt aan het gebruik van het ‘kopietje paspoort’. Alvorens wij ingaan op het specifieke regime ten aanzien van het gebruik van de pasfoto en het BSN, zullen wij enkele hoofdlijnen van de Wbp schetsen.

• Wet bescherming persoonsgegevens: de hoofdlijnen

  De Wbp bevat regels voor het verwerken van persoonsgegevens door een verantwoordelijke (de (rechts)persoon die het doel en de middelen van de verwerking vaststelt), zodat de privacy van de betrokkene (degene op wie een persoonsgegeven betrekking heeft) wordt beschermd.

  Een ‘verwerking van persoonsgegevens’ is in de Wbp zeer ruim gedefinieerd en omvat mede het kopiëren (en het opslaan van die kopie) van een identiteitsbewijs. Maar ook bijvoorbeeld het noteren van gegevens van een identiteitsbewijs kwalificeert als het verwerken van persoonsgegevens. Wij zullen al deze handelingen hierna samengevat behandelen als het ‘maken van een kopietje paspoort’ of ‘de gegevensverwerking’. Het louter inzien van een kopietje paspoort kwalificeert niet als een verwerking in de zin van de Wbp. Hierna zullen wij steeds spreken over het ‘kopietje paspoort’, maar daarmee bedoelen wij tevens het rijbewijs en de identiteitskaart.

  Voor het rechtmatig verwerken van persoonsgegevens heeft de verantwoordelijke een grondslag nodig. Artikel 8 Wbp geeft een limitatieve opsomming van de gronden die een gegevensverwerking rechtvaardigen. Voor het maken van een kopietje paspoort kunnen, afhankelijk van de omstandigheden van het geval, verschillende grondslagen in aanmerking komen. In de regel zal de gegevensverwerking worden gebaseerd op (1) de ondubbelzinnige toestemming van de betrokkene (art. 8 sub a), (2) het feit dat de gegevensverwerking noodzakelijk is om een wettelijke verplichting na te komen (art. 8 sub c) of (3) het feit dat de gegevensverwerking noodzakelijk is voor de uitvoering van een overeenkomst (art. 8 sub b). De Richtsnoeren noemen bij deze grondslag het voorbeeld van een autoverhuurbedrijf dat onder omstandigheden een voldoende noodzakelijk belang kan hebben bij het maken van een kopietje paspoort om onwenselijk crimineel gedrag van huurders tegen te gaan.

  Uit de Richtsnoeren blijkt overigens dat ten aanzien van het kopietje paspoort niet lichtvaardig mag worden aangenomen dat er een grondslag in de zin van artikel 8 Wbp bestaat. Het CBP noemt het voorbeeld van de telecomaanbieder die een kredietwaardigheidsonderzoek wenst te doen naar een potentiële nieuwe klant. De telecomaanbieder kan de klant weliswaar vragen om zijn identiteitsbewijs te tonen om diens identiteit deugdelijk vast te kunnen stellen, maar voor het maken van een kopie van het identiteitsbewijs bestaat geen grondslag. Het doel – te weten het vaststellen van de identiteit van de potentiële nieuwe klant – kan immers op een andere, minder ingrijpende wijze plaatsvinden. Dat betekent dat het maken van het kopietje paspoort dan niet, zoals artikel 8 Wbp vereist, daadwerkelijk noodzakelijk is voor de uitvoering van de overeenkomst.

  Daarnaast bevat de Wbp nog een aantal andere algemene verplichtingen waaraan de verantwoordelijke moet voldoen. Zo zal de gegevensverwerking in de regel moeten worden gemeld bij het CBP (art. 27 Wbp). Ook zal de betrokkene adequaat moeten worden geïnformeerd over het doel van de verwerking, de toelaatbaarheid daarvan en de rechten die hij kan uitoefenen, zoals het recht op inzage, correctie en verzet (art. 33 en 34 Wbp). De verantwoordelijke is verder gehouden om de persoonsgegevens op echtheid en geldigheid te controleren en deze zowel organisatorisch als technisch te beveiligen tegen verlies, diefstal en ander onrechtmatig gebruik (art. 11 en 13 Wbp). Ten slotte mogen persoonsgegevens niet langer worden bewaard dan noodzakelijk is voor het doel waarvoor ze verzameld zijn (art. 10 Wbp).

  Het vinden van een grondslag voor het maken van het kopietje paspoort zal in de praktijk meestal niet het voornaamste probleem zijn – daarvoor kan de betrokkene bijvoorbeeld zijn uitdrukkelijke toestemming geven. Ook het voldoen aan de overige algemene verplichtingen uit de Wbp zal in de regel niet tot onoverkomelijke obstakels leiden.

  De privacycrux van het kopietje paspoort is gelegen in de daarop aanwezige pasfoto en het BSN. Voor beide persoonsgegevens bevat de Wbp een streng tot zeer streng regime.

• Pasfoto

  De Wbp bevat specifieke regels voor het verwerken van zogenoemde ‘bijzondere persoonsgegevens’ (art. 16). Het gaat dan om persoonsgegevens betreffende iemands ras, godsdienst of levensovertuiging, politieke gezindheid, gezondheid en seksuele leven, alsmede persoonsgegevens betreffende het lidmaatschap van een vakvereniging en ten slotte strafrechtelijke persoonsgegevens.

  Omdat uit een (pas)foto gegevens over het ras van de betrokkene kunnen worden afgeleid, valt de (pas)foto onder het strengere regime van de bijzondere persoonsgegevens.

  De verwerking van bijzondere persoonsgegevens is in beginsel verboden. Dit verbod kent wel enkele uitzonderingen. Een belangrijke uitzondering is de uitdrukkelijke toestemming van de betrokkene. Er worden strenge eisen gesteld aan deze toestemming: de betrokkene moet expliciet zijn wil hebben geuit. Een stilzwijgende of impliciete toestemming is dus niet voldoende. Daarnaast geldt dat de uitdrukkelijke toestemming in de werkgever-werknemerverhouding – vanwege de veelal ongelijke positie van partijen – als verwerkingsgrondslag uiterst terughoudend moet worden toegepast. Alleen indien en voor zover een werknemer kan weigeren (en zijn toestemming weer kan intrekken) zonder vrees voor eventuele nadelige consequenties en de toestemming dus in vrijheid is gegeven, kan toestemming dienen als rechtsgeldige grondslag voor de verwerking van bijzondere persoonsgegevens.

  De Wbp bevat ten aanzien van persoonsgegevens betreffende iemands ras nog een specifieke uitzonderingsgrond in artikel 18 lid 1. Op grond daarvan is verwerking van persoonsgegevens betreffende iemands ras ook mogelijk indien dit onvermijdelijk is voor de identificatie van de betrokkene. Een voorbeeld hiervan is het gebruik van een pasfoto op een toegangspas van een groot bedrijf. Als de identificatie noodzakelijk is (bijvoorbeeld uit het oogpunt van veiligheid) en alleen deugdelijk kan plaatsvinden door middel van een pasje voorzien van een foto, kan het verbod worden doorbroken. Hierbij moet men er wel op bedacht zijn dat de verwerking dient te worden beëindigd zodra het niet langer voor de identificatie onvermijdelijk is om de pasfoto te verwerken. Terug naar het eerdergenoemde autoverhuurbedrijf: zodra de huurder de auto (ongeschonden) heeft geretourneerd, dient de verhuurder het eventuele kopietje paspoort te vernietigen, althans in ieder geval de pasfoto onleesbaar te maken.

  Vaak zal het maken van een kopietje paspoort niet noodzakelijk zijn voor de identificatie van de betrokkene. Het CBP noemt als voorbeeld de leeftijdscontrole voor de verkoop van alcohol: daar volstaat het enkele tonen van een legitimatiebewijs en is er geen grondslag voor het kopiëren daarvan. Voor identificatie zal in veel gevallen het enkele inzien/tonen van het identificatiebewijs voldoende zijn. Zoals gezegd kwalificeert het louter inzien niet als een verwerking in de zin van de Wbp.

  Hiermee is de eerste privacyhobbel van het kopietje paspoort geïdentificeerd. Het identiteitsbewijs bevat een pasfoto en de verwerking daarvan is aan strikte voorwaarden onderhevig. Slechts indien aan die voorwaarden is voldaan, bijvoorbeeld als de uitdrukkelijke toestemming van de betrokkene is verkregen, mag het kopietje paspoort worden verwerkt (bijvoorbeeld in de administratie worden opgeslagen). Wordt niet aan deze voorwaarden voldaan, dan zal de pasfoto onleesbaar/onherkenbaar moeten worden gemaakt.

• BSN

  Eenieder die rechtmatig in Nederland verblijft, krijgt van de Belastingdienst een BSN toegekend. Dit BSN staat onder meer vermeld op het paspoort en rijbewijs.
  Het BSN kwalificeert als een zogenoemd wettelijk voorgeschreven persoonsnummer, zoals bedoeld in artikel 24 Wbp. Die bepaling beperkt het gebruik van dergelijke wettelijk voorgeschreven persoonsnummers tot de gevallen waarin uitvoering wordt gegeven aan de betreffende wet of voor doeleinden bij wet bepaald. Kortom, het BSN mag dus alleen worden gebruikt als daar een wettelijke grondslag voor is. Waar die wettelijke grondslag uit kan bestaan, bespreken wij hierna.
  Het verwerken van het BSN is daarmee onderhevig aan een nog strenger regime dan de pasfoto. De verwerking van het BSN is namelijk niet consentable: zelfs de uitdrukkelijke toestemming van de betrokkene biedt geen grondslag voor een rechtmatige verwerking van het BSN.

  Het strenge regime valt te verklaren door het karakter van het BSN. Het nummer is immers in de eerste plaats een nummer dat door de overheid wordt gebruikt bij de verwerking van persoonsgegevens van burgers. Het nummer wordt gebruikt in de communicatie over een burger tussen overheidsorganisaties en tussen overheidsorganisaties en de burger zelf. Met het BSN kunnen dus potentieel alle persoonsgegevens van een specifiek persoon die in bezit zijn van de overheid aan elkaar worden gekoppeld. Het BSN geeft daarmee toegang tot een groot aantal persoonsgegevens. Daarin schuilt ook het gevaar. De Wbp tracht dit te ondervangen door het gebruik van het BSN strikt te reguleren.

  Gebruik BSN door de overheid

  De Wet algemene bepalingen burgerservicenummer (Wabb) schept een algemene wettelijke grondslag voor het gebruik van het BSN door overheidsorganen bij het verwerken van persoonsgegevens in het kader van de uitvoering van hun taak.

  Hoewel het BSN in eerste instantie is bedoeld voor gebruik binnen de overheid is ook dit gebruik niet ongelimiteerd. Gebruik door de overheid is alleen toegestaan indien dit noodzakelijk is voor het uitvoeren van publieke taken. Het volgende voorbeeld waarbij door het CBP aan het ministerie van Infrastructuur en Milieu een last onder dwangsom werd opgelegd, maakt dat duidelijk.³x Zie <www.cbpweb.nl/downloads_pb/pb_20110301-dwangsom-bsn-rijkspas.pdf>.
  Op het ministerie werden toegangspassen aan ambtenaren verstrekt. Bij het aanvragen van een toegangspas werd de identiteit van de aanvrager gecontroleerd aan de hand van een aantal gegevens, waaronder het BSN. Het CBP oordeelde dat dit niet geoorloofd was:

  ‘Het CBP is op grond van het voorgaande dan ook van oordeel dat de uitgifte van de Rijkspas geen activiteit is waarmee u zich wezenlijk onderscheidt van activiteiten die ook door particulieren worden verricht en derhalve niet behoort tot uw taak in de zin van artikel 10 Wabb. Dit betekent dat u ten behoeve van de uitgifte van de Rijkspas géén gebruik mag maken van het BSN.’

  Gebruik BSN in private sector

  Voor ondernemingen geldt in beginsel een verbod voor het gebruiken (verwerken) van het BSN, tenzij – en voor zover – daar een uitdrukkelijke wettelijke grondslag voor is. Artikel 24 lid 1 Wbp bepaalt dat een dergelijk nummer bij de verwerking van persoonsgegevens slechts mag worden gebruikt ter uitvoering van de betreffende wet of voor doeleinden bij de wet bepaald.
  Vooralsnog is het gebruik van het BSN door anderen dan overheidsorganen op grond van artikel 24 lid 1 Wbp beperkt tot zorgaanbieders en administratieplichtigen (zoals banken en werkgevers) die in het kader van bijvoorbeeld belastingheffing van derden (klanten en werknemers) bij het uitwisselen van informatie over deze derden met de overheid het BSN moeten gebruiken.

  Het BSN wordt bijvoorbeeld gebruikt door kinderopvangorganisaties. Zij zijn wettelijk bevoegd en verplicht om voor de kinderopvangtoeslag ouders te vragen naar hun BSN en dat van hun kind. Zij vragen die gegevens, zodat de Belastingdienst Toeslagen de administratie van het aantal gebruikte opvanguren kan koppelen aan zijn eigen gegevens. Dit geld ook voor verhuurders voor de huurtoeslag en voor zorgverzekeraars voor de zorgtoeslag.
  Het eerdergenoemde autoverhuurbedrijf heeft daarentegen geen wettelijke grondslag om het BSN te verwerken en zal – zelfs als zij wel een grondslag heeft voor het maken van een kopietje paspoort – het BSN altijd onleesbaar moeten maken.

  Voor administratieplichtigen is de wettelijke basis voor het gebruiken van het BSN geregeld in artikel 53 lid 3 Algemene wet inzake rijksbelastingen:

  ‘De administratieplichtigen, bedoeld in het tweede lid, zijn gehouden bij de gegevens en inlichtingen, bedoeld in het tweede lid, het burgerservicenummer of, bij het ontbreken daarvan, het sociaal-fiscaalnummer te vermelden van degene op wie de gegevens en inlichtingen betrekking hebben.’

  Voor zorgaanbieders is de wettelijke basis voor het gebruiken van het BSN geregeld in de Wet gebruik burgerservicenummer in de zorg (Wgbz). Zie bijvoorbeeld artikel 4 Wgbz:

  ‘Een zorgaanbieder gebruikt het burgerservicenummer van een cliënt met het doel te waarborgen dat de in het kader van de verlening van zorg te verwerken persoonsgegevens op die cliënt betrekking hebben.’

  In artikel 8 Wgbz wordt bovendien een expliciete grondslag geboden voor het opslaan van het BSN:

  ‘De zorgaanbieder neemt het burgerservicenummer van de cliënt in zijn administratie op bij het vastleggen van persoonsgegevens met betrekking tot de verlening van zorg.’

  Een soortgelijke regeling voor de financiële sector is vroegtijdig gesneuveld. Het wetsvoorstel Wet gebruik burgerservicenummer in de financiële sector is onder meer na een kritisch wetgevingsadvies van het CBP geen wet geworden.⁴x Zie <www.cbpweb.nl/downloads_adv/z2010-00096.pdf>.

  Op dit moment is een veel beperkter wetsvoorstel aanhangig, dat een wettelijke grondslag moet bieden voor het verstrekken van het BSN van depositohouders door banken aan De Nederlandsche Bank (hierna: DNB). Het wetsvoorstel ziet dan ook uitsluitend op de verstrekking van het BSN van de banken aan DNB. DNB mag als overheidsorgaan immers reeds op grond van de Wabb het BSN als identificatienummer gebruiken.

  Het is de banken op grond van dit wetsvoorstel niet toegestaan om het BSN voor andere doeleinden – zoals interne administratie – te gebruiken. En het wetsvoorstel biedt ook geen basis voor gegevensuitwisseling tussen banken onderling. Willen de banken het BSN voor andere doeleinden gebruiken, dan zal – op grond van artikel 24 Wbp – hiervoor een aparte wettelijke grondslag moeten worden gecreëerd.

  In het fiscale recht bestond lange tijd een spanningsveld tussen de strikte regels van de Wbp en de wensen van de Belastingdienst in het kader van de beperking van aansprakelijkheid van inleners van personeel. Op grond van de zogenoemde inlenersaansprakelijkheidsregeling kan de Belastingdienst de inlener aansprakelijk stellen voor betaling van loonheffingen en omzetbelasting als de uitlener zijn belastingschulden niet voldoet. De Belastingdienst stelt zich in de Leidraad Invordering op het standpunt dat, om in aanmerking te komen voor een bepaalde matiging van de aansprakelijkheid, een inlener een door hem bijgehouden administratie over kan leggen waarin onder andere de naam, geboortedatum, een kopie van het identiteitsbewijs én het BSN van de werknemer zijn opgenomen. De Belastingdienst acht het BSN in dat verband noodzakelijk voor het vaststellen van de identiteit van de werknemer.

  Het verwerken van het kopietje paspoort en het BSN heeft in dit verband voor veel discussie gezorgd, omdat er tot 2009 voor de inlener geen wettelijke grondslag bestond voor de verwerking van het BSN. Een kopie van het paspoort van de ingeleende werknemer mocht dus met toestemming van de werknemer worden verstrekt, maar slechts indien en voor zover daarop het BSN onleesbaar was gemaakt. Consequentie daarvan was dat een dergelijke kopie door de Belastingdienst niet werd geaccepteerd en de inlener in de praktijk aansprakelijk kon worden gehouden voor een hoger tarief. De inlener bevond zich daarmee in een waar spanningsveld tussen de Wbp en de beleidsregels van de Belastingdienst.

  Inmiddels is er een basis gecreëerd voor het gebruik van het BSN door de inlener in de vorm van de Uitvoeringsregeling verplicht gebruik burgerservicenummer in beleidsregels van de rijksbelastingdienst. Daarmee is uitvoering gegeven aan artikel 24 lid 2 Wbp, dat bepaalt dat bij algemene maatregel van bestuur gevallen kunnen worden aangewezen waarin een daarbij aan te wijzen persoonlijk identificatienummer kan worden gebruikt. Het gevolg daarvan is dat de inlener nu zonder vrees voor handhaving van het CBP of claims van betrokkenen een kopietje paspoort van de door hem ingeleende werknemers kan vragen en in zijn administratie kan opslaan.

• BSN als ‘bijvangst’

  Naast de hierboven besproken uitzonderingen waarbij een expliciete wettelijke grondslag voor het gebruik van het BSN is gecreëerd, bestaan er voorbeelden waarbij het BSN als ‘bijvangst’ wordt toegestaan door het CBP.

  Een voorbeeld waarbij het BSN niet wordt gebruikt als identificatienummer, maar wel wordt opgeslagen, is een kopie van het legitimatiebewijs in het kader van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft). Op grond van artikel 33 Wwft legt een instelling:

  ‘die op grond van deze wet de cliënt heeft geïdentificeerd en zijn identiteit heeft geverifieerd, (...) op toegankelijke wijze de volgende gegevens vast:
  a. van natuurlijke personen:
  1. de geslachtsnaam, de voornamen, de geboortedatum, het adres en de woonplaats dan wel plaats van vestiging van de cliënt alsmede van degene die namens die natuurlijke persoon optreedt of een afschrift van het document dat een persoonidentificerend nummer bevat en aan de hand waarvan de identificatie heeft plaatsgevonden;
  2. de aard, het nummer en de datum en plaats van uitgifte van het document met behulp waarvan de identiteit is geverifieerd;
  (...)’.

  In de ‘Wwft-leidraad’ van de AFM,⁵x Zie <www.afm.nl/~/media/Files/leidraad/wwft/Wwft%20Leidraad.ashx>. goedgekeurd door het CBP, staat hierover het volgende:

  ‘Er is nogal wat onduidelijkheid over het gebruik van het BSN in het kader van cliëntenonderzoek. Er zijn instellingen die hierbij expliciet vragen naar het BSN, maar de Wwft vereist niet dat het BSN wordt opgevraagd en opgeslagen.
  Dit betekent dat de instelling het BSN mag opslaan als het staat vermeld op het identificatiedocument dat door de cliënt is overhandigd. De instelling mag de cliënt echter niet expliciet vragen naar zijn BSN als het niet staat vermeld op het identificatiedocument van de cliënt.’

  Wwft-instellingen mogen dus een kopietje paspoort met daarop het BSN opslaan in hun administratie, hoewel er strikt genomen geen wettelijke grondslag is voor het verwerken van het BSN. Immers, de Wwft vereist niet dat bij de identificatie of het vastleggen daarvan het BSN wordt opgevraagd of opgeslagen.

  Het CBP hanteert in de Richtsnoeren een gelaagde redenering. Allereerst overweegt het CBP dat een kopietje paspoort niet is toegestaan, tenzij er een wettelijke plicht is of dit noodzakelijk is voor het uitvoeren van een overeenkomst. De Wwft wordt onder de wettelijke plicht geschaard:

  ‘Het bestaan van een wettelijke verplichting is relevant in bijvoorbeeld arbeidsrelaties en in de financiële dienstverlening. (...)
  De financiële instelling kan – als bewijs van de identificatieverplichting (reconstructieplicht) – daarbij ook een afschrift (lees: kopie) van het gecontroleerde identiteitsdocument vastleggen en gedurende vijf jaar bewaren.’

  Daarna gaat het CBP in op het strenge regime voor het BSN:

  ‘Dit nummer mag daarom niet worden verzameld en gebruikt zonder dat daarvoor een wettelijke verplichting of andere wettelijke basis bestaat. Behalve voor de loonadministratie zal deze voor bedrijven of organisaties over het algemeen niet bestaan.
  Bij het vragen om een legitimatie moeten bedrijven en organisaties in de private sector zich houden aan het verbod op het verzamelen en gebruiken van rasgegevens en nummers als een BSN. Als geen uitzondering bestaat op het verbod op het verzamelen van deze gegevens, moeten deze bij het maken van een kopie of scan altijd worden afgeschermd of onleesbaar worden gemaakt.’

  Er bestaat dus een onderscheid tussen het verwerken van een kopietje paspoort en het verwerken van het BSN. In die situaties waarin er wél een grondslag bestaat voor het verwerken van een kopietje paspoort maar níét van het BSN, zal het BSN op het paspoort onleesbaar gemaakt moeten worden.

  Strikt genomen zal een Wwft-instelling aldus het BSN onleesbaar moeten maken, behalve wanneer deze instelling als administratieplichtige tevens een wettelijke plicht (in het kader van belastingheffing) heeft om het BSN te gebruiken. In alle gevallen geldt dat het niet is toegestaan om het BSN voor andere doeleinden – zoals interne administratie – te gebruiken.

• Sancties en gevolgen overtreding Wbp

  Onder verwijzing naar zijn Beleidsregels handhaving geeft het CBP in de Richtsnoeren aan in zijn handhavingsbeleid prioriteit te geven aan onderzoeken naar ernstige en structurele overtredingen van de Wbp, die veel mensen treffen en waarbij het CBP door de inzet van handhavende maatregelen een effectief verschil kan maken.⁶x Beleidsregels handhaving door het CBP van 17 januari 2011 (Stcrt. 2011, nr. 1916). Het CBP kondigt bovendien aan aandacht te zullen hebben voor signalen van burgers over het onrechtmatig verzamelen en gebruiken van ‘kopietjes paspoort’ en heeft in het verleden laten zien dat het handhaving niet schuwt.

  Het onrechtmatig gebruik van het kopietje paspoort zal in de meeste gevallen gelegen zijn in het overtreden van het verbod op het verwerken van bijzondere persoonsgegevens (art. 16 Wbp) en het verbod van, samengevat, het gebruik van het BSN zonder wettelijke grondslag (art. 24 Wbp).

  Het CBP kan onder meer handhavend optreden door het opleggen van dwangsommen en bestuurlijke boetes. De mogelijkheid tot het opleggen van een bestuurlijke boete is beperkt tot een aantal met name genoemde overtredingen die allemaal betrekking hebben op de verplichting om een gegevensverwerking bij het CBP te melden en de hoogte van de boete is beperkt tot EUR 4500. Deze overtredingen kunnen ook strafrechtelijk worden gehandhaafd met (maximaal) een geldboete van de vierde categorie (in geval van een opzettelijke overtreding) ad EUR 19.500. Het niet (geheel) voldoen aan een last onder dwangsom kan echter nog meer in de papieren lopen. Zo is het CBP recentelijk overgegaan tot de invordering van een dwangsom ter hoogte van EUR 120.000 bij het Rotterdamse vervoerbedrijf RET. In die zaak ging het overigens niet om het kopietje paspoort, maar om het in strijd met de wet bewaren van reisgegevens van studenten.

  Naast deze bestuurs- en strafrechtelijke maatregelen, geeft artikel 49 Wbp recht op schadevergoeding indien iemand schade lijdt doordat ten opzichte van hem in strijd wordt gehandeld met het bij of krachtens de Wbp bepaalde en dit aan de overtreder kan worden toegerekend. Blijkens dit artikel komt zowel vermogensschade als immateriële schade voor vergoeding in aanmerking. De wetsgeschiedenis geeft echter nauwelijks concrete invulling aan deze begrippen. Ook de vraag wat deze schade dan precies inhoudt, wordt niet geconcretiseerd.

  In de praktijk blijkt dat de gevallen van een succesvol beroep op schadevergoeding ex artikel 49 Wbp schaars zijn, met name waar het gaat om vermogensschade. In het algemeen geldt dat de schade veelal lastig is te kwantificeren. Bij misbruik van het kopietje paspoort zal dit wellicht anders zijn. De hobbel die daar genomen zal moeten worden, is dat de betrokkene moet aantonen dat ten gevolge van het op onjuiste wijze omgaan met het kopietje paspoort identiteitsfraude is gepleegd. Dit zal in de regel niet eenvoudig zijn. Als echter eenmaal is komen vast te staan dat de onrechtmatige verwerking van het kopietje paspoort de directe oorzaak is van de identiteitsfraude, zal de daarmee gemoeide schade kunnen worden gekwantificeerd en aangetoond. De schade zal dan bijvoorbeeld bestaan uit de schade die iemand lijdt doordat zonder zijn medeweten met zijn gegevens een krediet wordt aangegaan, dat vervolgens niet wordt terugbetaald.

  Bestaat het nadeel niet uit vermogensschade dan bestaat er blijkens artikel 49 lid 2 Wbp recht op een naar billijkheid vast te stellen schadevergoeding. In de jurisprudentie wordt aansluiting gezocht bij artikel 6:106 Burgerlijk Wetboek en de daarop betrekking hebbende jurisprudentie. Immateriële schade zal veelal worden veroorzaakt door privacylekken, waarbij de betrokkene in zijn eer of goede naam is geschaad of op een andere wijze in zijn persoon is aangetast. Ook deze schade blijkt niet eenvoudig aan te tonen. Dergelijke vorderingen worden dan ook met enige regelmaat afgewezen.⁷x Vgl. bijv. ABRvS 16 november 2011, LJN BU4567 en Hof ’s-Gravenhage 15 maart 2007, LJN BA3669. Men kan zich echter voorstellen dat de immateriële schade ten gevolge van identiteitsfraude aanzienlijk kan zijn. Het gaat daarbij om een ernstige inbreuk op iemands persoonlijke levenssfeer: zijn identiteit wordt immers misbruikt.

• Conclusie

  Kortom, bij het gebruik van het kopietje paspoort moeten een paar alarmbellen gaan rinkelen. Bedrijven zullen zich steeds in ieder geval de volgende vragen moeten stellen:

  1. Is er een grondslag als bedoeld in artikel 8 Wbp voor het kopietje paspoort?
     De meest voor de hand liggende grondslag is ondubbelzinnige toestemming of het feit dat het kopietje paspoort noodzakelijk is voor de uitvoering van een overeenkomst of het nakomen van een wettelijke verplichting.

  2. Zo ja, is er sprake van een uitzondering op het verbod op het verwerken van de pasfoto?
     De belangrijkste uitzonderingen zijn de expliciete toestemming van de betrokkene en de situatie dat het verwerken van de pasfoto met het oog op de identificatie van de betrokkene onvermijdelijk is.

  3. Is er een expliciete wettelijke grondslag voor het verwerken van het BSN op het kopietje paspoort?
     Deze grondslag kan ook in lagere regelgeving worden aangetroffen. Vergelijk bijvoorbeeld de Uitvoeringsregeling verplicht gebruik burgerservicenummer in beleidsregels van de rijksbelastingdienst.

  Als vraag 1 met nee wordt beantwoord, komt men aan vragen 2 en 3 niet meer toe. De gegevensverwerking kan dan in het geheel niet plaatsvinden. Indien het antwoord op vraag 2 en/of 3 ontkennend luidt, zullen de pasfoto en/of het BSN onleesbaar moeten worden gemaakt.

Noten

• 1 Stcrt. 12 juli 2012, nr. 14741 en op <www.cbpweb.nl>.

• 2 J. Barnes e.a., Omvang van identiteitsfraude & maatschappelijke schade in Nederland, PwC 2011 (<www.rijksoverheid.nl>).

• 3 Zie <www.cbpweb.nl/downloads_pb/pb_20110301-dwangsom-bsn-rijkspas.pdf>.

• 4 Zie <www.cbpweb.nl/downloads_adv/z2010-00096.pdf>.

• 5 Zie <www.afm.nl/~/media/Files/leidraad/wwft/Wwft%20Leidraad.ashx>.

• 6 Beleidsregels handhaving door het CBP van 17 januari 2011 (Stcrt. 2011, nr. 1916).

• 7 Vgl. bijv. ABRvS 16 november 2011, LJN BU4567 en Hof ’s-Gravenhage 15 maart 2007, LJN BA3669.