ECLI:NL:GHAMS:2024:1165

GERECHTSHOF AMSTERDAM afdeling civiel recht en belastingrecht, team I zaaknummer : 200.324.736/01 zaaknummer rechtbank Amsterdam : C/13/718627/ HA ZA 22-458 arrest van de meervoudige burgerlijke kamer van 30 april 2024 in de zaak van 1SERVICEKOSTEN CONSULTANCY V.O.F., gevestigd te Hoofddorp, 2. [appellant 2], wonende te [woonplaats], appellanten, advocaat: mr. B.O. Eschweiler te Amsterdam, tegen INTERNATIONAL CARD SERVICES B.V., gevestigd te Amsterdam, geïntimeerde, advocaat: mr. A.L. Bremmer te Amsterdam. Partijen worden hierna SKC, [appellant 2] (gezamenlijk: [appellanten]) en ICS genoemd. 1De zaak in het kort [appellanten] heeft sinds 2015 een zakelijke creditcard van ICS. In 2021 heeft ICS [appellanten] verzocht om zich online te identificeren. [appellanten] heeft bezwaren tegen de wijze waarop deze identificatie plaatsvindt en hoe zijn gegevens daarbij worden verwerkt, met name tegen het scannen van het identiteitsbewijs van [appellant 2] waarbij een kopie van het identiteitsbewijs wordt opgeslagen. [appellanten] wil zelf een gewaarmerkte kopie van het identiteitsbewijs kunnen aanleveren. Dit heeft ICS niet geaccepteerd. ICS heeft aangekondigd de creditcard te zullen blokkeren en mogelijk de overeenkomst te zullen opzeggen. De rechtbank heeft de vorderingen van [appellanten], waarmee hij dit beoogt te voorkomen, afgewezen.

[appellanten] is bij dagvaarding van 1 maart 2023 in hoger beroep gekomen van het vonnis van 11 januari 2023 van de rechtbank Amsterdam, onder bovenvermeld zaaknummer gewezen tussen SKC en [appellant 2] als gedaagden in verzet (oorspronkelijk eisers) en ICS als eiseres in verzet (oorspronkelijk gedaagde). Partijen hebben daarna de volgende stukken ingediend: - memorie van grieven; - memorie van antwoord. Partijen hebben de zaak tijdens de mondelinge behandeling van 8 maart 2024 laten toelichten door hun advocaten, mr. Eschweiler aan de hand van overgelegde spreekaantekeningen. Ten slotte is arrest gevraagd.

Het hof gaat uit van de volgende feiten. 3.1. SKC, waarvan [appellant 2] vennoot is, houdt sinds 2015 een zakelijke creditcard aan bij ICS, een dochtervennootschap van ABN AMRO Bank N.V. De creditcard is op naam gesteld van [appellant 2] Servicekosten Consultancy en wordt door [appellant 2] gebruikt voor zakelijke betalingen. 3.2. [appellant 2] houdt ook een privé creditcard aan bij ICS, waarvan hij en zijn echtgenote ieder kaarthouder zijn. 3.3. Op de overeenkomsten met [appellanten] zijn de Algemene Card-voorwaarden ICS van januari 2021 (hierna: de algemene voorwaarden) van toepassing. 3.4. In 2020 is ICS gestart met het (opnieuw) controleren van de identiteit van haar klanten. Bij e-mailbericht van 4 mei 2021 heeft ICS SKC verzocht de bedrijfsgegevens te controleren en aan te vullen. Nadat [appellant 2] de gegevens van SKC had aangevuld, ontving hij dezelfde dag een e-mailbericht van ICS met het verzoek zich online te identificeren. Dit e-mailbericht luidt, voor zover hier relevant: “(…) Nu is het tijd voor de volgende stap: online identificatie. Ook deze stap is nodig om te kunnen voldoen aan de eisen van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft). In deze e-mail leest u wat er precies moet gebeuren. Alvast bedankt voor uw medewerking. Veilig online identificeren – zo werkt het Om uw Card(s) te kunnen blijven gebruiken, is het belangrijk dat u zich identificeert vóór 03 juni 2021. Online identificeren is veilig en gemakkelijk en duurt maar een paar minuten: 1. Haal uw persoonlijke validatiecode op in Mijn ICS Business: log in als Contactpersoon en klik op de knop ‘Codes ophalen’. 2. Bekijk de uitleg op icsbusiness.nl/id en klik op de knop Start online identificatie. Let op: de identificatie kan alleen met een smartphone. (…) Wat doen we met uw gegevens? Bij ICS vinden wij uw privacy belangrijk. Wij zorgen er daarom voor dat wij uw gegevens zorgvuldig verwerken. Op icsbusiness.nl/id en op icsbusiness.nl/privacy-statement vindt u hierover meer informatie (…)” 3.5. Volgens de door ICS op haar website weergegeven uitleg houdt de online identificatie kort gezegd het volgende in. De klant downloadt de app “ICS Identificeren” op een smartphone. De klant vult zijn geboortedatum en de ontvangen persoonlijke validatiecode in. Vervolgens kiest de klant welk identiteitsbewijs hij wenst te gebruiken voor de identificatie. De klant maakt een foto van het originele identiteitsbewijs. Een foto van een foto of een kopie van het identiteitsbewijs wordt niet goedgekeurd. Het identiteitsbewijs dient onbeschreven te zijn. Daarnaast maakt de klant een foto van zichzelf met de smartphone (selfie). Ook hiervoor geldt dat een foto van een foto niet wordt goedgekeurd. Tot slot slaat de klant beide foto’s op in de app (uploaden). 3.6. Verder is op de website van ICS onder het kopje “veelgestelde vragen” over de online identificatie het volgende te lezen, voor zover hier relevant: “Waarvoor gebruiken jullie de foto van mijn identiteitsbewijs? We gebruiken de foto van uw identiteitsbewijs voor de identificatie en de controle van uw gegevens. Via de foto controleren we of uw identiteitsbewijs echt is, en of het echt van u is. We bewaren de foto daarna als bewijs van uw identificatie. We gaan zorgvuldig om met de foto’s die u maakt bij de online identificatie, en met de andere gegevens die u met ons deelt. Meer hierover leest u in ons Privacy Statement. Goed om te weten: de foto die u van het identiteitsbewijs maakt, en wij bewaren, krijgt een watermerk. Zodat het document echt alleen gebruikt kan worden voor uw online identificatie bij ICS. Het watermerk ziet er zo uit (…) Hoelang bewaren jullie mijn identificatie? De foto van uzelf en de foto van uw identiteitsbewijs met het watermerk, bewaren wij in onze systemen zolang u klant bij ons bent. Daarna bewaren we de foto’s nog eens 7 jaar. Dat is omdat wij, net als andere bedrijven, verplicht zijn om onze administratie 7 jaar te bewaren (…)” 3.7. Bij e-mailbericht van 25 mei 2021 heeft ICS een herinnering verstuurd aan SKC, waarin ICS haar verzoek tot online identificatie heeft herhaald. Hierin heeft ICS verder geschreven, voor zover relevant: “(…) Voorkom dat de Card(s) worden geblokkeerd Om de Card(s) van uw bedrijf te kunnen blijven gebruiken, is het belangrijk dat de identificatie gebeurt vóór 03 juni 2021. Daarna moeten wij de Card(s) van uw bedrijf helaas blokkeren en mogelijk onze overeenkomst met u opzeggen. (…)” 3.8. [appellant 2] heeft zich niet voor 3 juni 2021 online geïdentificeerd. [appellant 2] heeft bij ICS zijn bezwaren geuit tegen het uploaden van een onbeschreven kopie van zijn identiteitsbewijs. Ter onderbouwing hiervan heeft [appellant 2] verwezen naar de website van de Autoriteit Persoonsgegevens (hierna: AP), met name de volgende passages: “Mag ik iets op een kopie van mijn identiteitsbewijs schrijven? Ja, dat mag. U heeft altijd het recht om een tekst door de kopie van uw identiteitsbewijs heen te schrijven. Zo beschermt u de kopie tegen identiteitsfraude. In sommige gevallen heeft een organisatie of bedrijf een wettelijke grondslag om een volledige kopie van uw identiteitsbewijs te verwerken voor een specifiek doel. Bijvoorbeeld wanneer u als werknemer in dienst treedt bij een bedrijf. Uw werkgever moet dan een kopie van uw identiteitsbewijs bewaren. Maar ook in die gevallen heeft u altijd het recht om een tekst door de kopie van uw identiteitsbewijs heen te schrijven. Bijvoorbeeld: ‘Kopie voor [naam werkgever] van [datum]’. Zo beschermt u de kopie tegen identiteitsfraude, want de volledige kopie zal niet zomaar voor een ander doel gebruikt kunnen worden. Let op: alle persoonsgegevens (zoals de foto en het BSN) op de beschreven kopie moeten leesbaar zijn. Ook de foto moet voldoende zichtbaar zijn om u te kunnen identificeren. Wat u op de kopie schrijft, mag dus geen afbreuk doen aan de identificerende functie van de kopie. (…) Mag een organisatie een beschreven kopie van mijn identiteitsbewijs weigeren? Nee, dat mag niet. Wanneer die organisatie een wettelijke grondslag heeft om een volledig kopie van het identiteitsbewijs te verwerken, dan is een beschreven kopie hiervoor genoeg. U kunt er dus voor kiezen om op de kopie te schrijven. Dat is ook aan te raden, want zo beschermt u de kopie tegen identiteitsfraude. (…)” 3.9. Naar aanleiding van de bezwaren van [appellant 2] heeft ICS in haar e-mailberichten van 15 en 16 juni 2021 [appellant 2] onder andere uitgelegd waarom het nodig is dat hij zich online identificeert en waarom hij het identiteitsbewijs niet mag beschrijven: “Waarom kunt u het identiteitsbewijs niet beschrijven? U kunt het identiteitsbewijs niet beschrijven. Zoals eerder aangegeven kunnen we alleen digitaal identificeren. Bij de identificatie moet het identiteitsbewijs op echtheid worden gecontroleerd. Schrijft u iets op het document dan zorgt dit ervoor dat de echtheid van het document niet kan worden vastgesteld. (…)” 3.10. Bij e-mailbericht van 22 juni 2021 heeft ICS twee alternatieven voor het online identificeren voorgedragen, namelijk identificatie aan huis of identificatie bij de notaris. Bij de eerste variant komt een medewerker van het door ICS ingeschakelde bedrijf AMP bij de klant langs om hem te identificeren. De medewerker gebruikt hiervoor dezelfde software als bij de online identificatie (via de app).

5.1. [appellanten] heeft in hoger beroep vijf grieven aangevoerd. [appellanten] heeft geconcludeerd tot het vernietigen van het bestreden vonnis en, zo begrijpt het hof, tot het bekrachtigen van het verstekvonnis, met veroordeling – uitvoerbaar bij voorraad – van ICS in de proceskosten met rente. 5.2. ICS heeft geconcludeerd tot bekrachtiging van het bestreden vonnis, met veroordeling – uitvoerbaar bij voorraad – van [appellanten] in de proceskosten. 5.3. Gelet op wat [appellanten] met grief I aanvoert over de inhoud van de e-mail van zijn gemachtigde van 24 september 2021 heeft het hof de beschrijving daarvan aangepast in 3.12. Deze grief kan echter niet tot vernietiging van het bestreden vonnis leiden, gelet op de hierna volgende beoordeling. 5.4. Met grieven II en III voert [appellanten] aan dat de bepalingen van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) niet verplichten tot de door ICS gehanteerde identificatie- en verificatieprocedure die online plaatsvindt en/of waarbij elektronische identificatiemiddelen worden gebruikt, zodat de verwerking van de persoonsgegevens van [appellant 2] die daarbij plaatsvindt niet noodzakelijk is om te voldoen aan een wettelijke verplichting, in de zin van artikel 6 lid 1 onder c van de Algemene Verordening Gegevensbescherming (AVG). Deze verwerking is daarom niet rechtmatig, en dus mocht [appellanten] zijn medewerking daaraan weigeren, aldus [appellanten] Met grief III betoogt [appellanten] daarnaast, zo begrijpt het hof, dat het gebruik van een scanner voor de verificatie van het identiteitsbewijs niet in overeenstemming is met het proportionaliteitsbeginsel dat bij toepassing van de Wwft in acht moet worden genomen. Met grief IV voert [appellanten] aan dat artikel 33 Wwft ICS niet verplicht om een kopie van het identiteitsbewijs van [appellant 2] op te slaan. Verder bestrijdt [appellanten] met deze grief het oordeel van de rechtbank dat [appellanten] zijn stelling dat hij niet kan controleren of ICS een watermerk aanbrengt op de kopie van het identiteitsbewijs en dat hij ook niet kan controleren of de door ICS gebruikte software het aangebrachte watermerk weer ongedaan kan maken, onvoldoende heeft onderbouwd. [appellanten] betoogt ten slotte, met grief V, dat de informatie gepubliceerd op de website van de AP steun biedt voor zijn stelling dat hij kan volstaan met het aanleveren van een door hem zelf gewaarmerkte kopie van het identiteitsbewijs. Deze grieven lenen zich voor gezamenlijke behandeling. 5.5. Het hof stelt voorop dat tussen partijen vaststaat dat ICS op grond van de artikelen 3 en 38 Wwft verplicht is een cliëntenonderzoek te verrichten naar [appellanten], en dat dit onderzoek ICS in staat moet stellen om [appellant 2] te identificeren en zijn identiteit te verifiëren. Ook staat tussen partijen vast dat de rechtmatigheid van de gegevensverwerking door ICS moet worden getoetst aan artikel 6 lid 1 onder c AVG, zodat het hof ook daarvan zal uitgaan. De Wwft schrijft niet (per geval) voor hoe een instelling als ICS het cliëntenonderzoek moet verrichten; de Wwft bepaalt slechts tot welk resultaat het onderzoek moet leiden. Indien een instelling niet kan voldoen aan haar verplichting tot identificatie en verificatie, moet zij de relatie met de cliënt beëindigen (artikel 5 lid 3 Wwft). Verder is van belang dat uit de Wwft of de AVG niet een recht op fysieke identificatie voortvloeit. 5.6. Op grond van artikel 11 lid 1 Wwft dient de identiteit van [appellant 2] te worden geverifieerd aan de hand van de in artikel 4 lid 1 van de Uitvoeringsregeling genoemde documenten, zoals een paspoort, Nederlandse identiteitskaart of Nederlands rijbewijs. Gelet op het bepaalde in artikel 13 lid 1 sub a van Richtlijn (EU) 2015/849 (de Vierde anti-witwasrichtlijn), zoals gewijzigd bij Richtlijn (EU) 2018/843, is het ICS toegestaan om bij de identificatie en verificatie elektronische identificatiemiddelen te gebruiken. ICS heeft gemotiveerd uiteengezet dat de elektronische techniek die bij het scannen van het identiteitsbewijs wordt gebruikt op dit moment op het gebied van echtheidscontrole de hoogste betrouwbaarheid heeft, en dat de inzet van deze techniek haar beter in staat stelt om hoogwaardige vervalsingen van identiteitsbewijzen te herkennen dan met de inzet van personen die hiervoor getraind en opgeleid zijn. [appellanten] heeft dit niet, althans onvoldoende, gemotiveerd betwist. Gelet op de mate van vrijheid die ICS toekomt bij de invulling van haar verplichting tot identificatie en verificatie onder de Wwft, en de toegevoegde waarde van het gebruik van de door haar gekozen elektronische techniek van het scannen van het identiteitsbewijs boven andere vormen van echtheidscontrole zoals een fysieke controle door een persoon, kan dit gebruik worden beschouwd als noodzakelijk in de zin van artikel 6 lid 1 sub c AVG om te voldoen aan haar verplichting tot het uitvoeren van een cliëntenonderzoek op grond van de Wwft. Het hof neemt hierbij in aanmerking dat ICS, gelet op het grote aantal cliënten voor wie een dergelijk onderzoek moet worden uitgevoerd en de noodzaak om daarover verantwoording te kunnen afleggen aan de toezichthouder, er een gerechtvaardigd belang bij heeft om de identificatie- en verificatieprocedure zoveel mogelijk uniform in te richten. Dat de identificatie- en verificatieprocedure van ICS eventueel anders ingericht had kunnen worden, betekent nog niet dat de procedure die ICS heeft gekozen, niet voldoet aan dit noodzakelijkheidsvereiste. 5.7. Op grond van artikel 33 lid 1 Wwft is ICS verplicht om op opvraagbare wijze de documenten en gegevens vast te leggen die zijn gebruikt voor de naleving van de verplichting tot het doen van een cliëntenonderzoek. Dit betekent dat ICS een afschrift dient te bewaren van het identiteitsbewijs waarvan zij met behulp van de scanner de echtheid heeft gecontroleerd en waarmee zij de identiteit van de cliënt heeft vastgesteld. ICS heeft er belang bij dit afschrift zelf te maken door het afschrift tegelijkertijd met het scannen en het controleren van het identiteitsbewijs op echtheid te maken en op te slaan, omdat daarmee gewaarborgd is dat het afschrift dat ICS bewaart daadwerkelijk het afschrift is van het identiteitsbewijs dat ICS heeft gebruikt voor de identificatie en verificatie. Van ICS kan niet worden verlangd dat zij, zoals [appellanten] voorstelt, een door [appellanten] gewaarmerkt afschrift van het identiteitsbewijs accepteert. ICS zou dan een extra (handmatige) controle moeten uitvoeren om vast te stellen of dit daadwerkelijk een afschrift is van het identiteitsbewijs dat [appellanten] heeft getoond voor de identificatie en verificatie. Dit laat ruimte voor fouten, die kunnen worden voorkomen door het maken van een afschrift bij het scannen van het identiteitsbewijs. De door ICS gebruikte methode kan daarom worden beschouwd als noodzakelijk in de zin van artikel 6 lid 1 onder c AVG om te voldoen aan haar verplichting tot het bewaren van bewijsstukken met betrekking tot het uitgevoerde cliëntenonderzoek op grond van de Wwft. ICS dient er wel voor te zorgen dat zij dit afschrift van het identiteitsbewijs veilig opslaat (EBA Richtsnoeren voor het gebruik van oplossingen voor de acceptatie van cliënten op afstand overeenkomstig artikel 13, lid 1, van Richtlijn (EU) 2015/849, par. 26). ICS heeft toegelicht dat het afschrift veilig wordt opgeslagen door het aanbrengen van een watermerk en dat [appellanten] dit kan controleren door gebruik te maken van zijn inzagerecht onder de AVG. [appellanten] heeft dit onvoldoende gemotiveerd bestreden. Zijn suggestie dat het door ICS aangebrachte watermerk met software mogelijk kan worden verwijderd, acht het hof in dit verband niet voldoende.

Het hof: bekrachtigt het bestreden vonnis; veroordeelt [appellanten] in de kosten van het geding in hoger beroep, tot op heden aan de zijde van ICS vastgesteld op € 3.211,- en op € 178,- voor nasalaris, te vermeerderen met € 92,- voor nasalaris en de kosten van het betekeningsexploot indien niet binnen veertien dagen na dit arrest aan de kostenveroordeling is voldaan en betekening van dit arrest plaatsvindt, en verklaart deze veroordeling uitvoerbaar bij voorraad. Dit arrest is gewezen door mrs. M.C.H. Broesterhuizen, S.C.H. Molin en Y. Steeg-Tijms en door de rolraadsheer in het openbaar uitgesproken op 30 april 2024.

GERECHTSHOF AMSTERDAM afdeling civiel recht en belastingrecht, team I zaaknummer : 200.324.736/01 zaaknummer rechtbank Amsterdam : C/13/718627/ HA ZA 22-458 arrest van de meervoudige burgerlijke kamer van 30 april 2024 in de zaak van 1SERVICEKOSTEN CONSULTANCY V.O.F., gevestigd te Hoofddorp, 2. [appellant 2], wonende te [woonplaats], appellanten, advocaat: mr. B.O. Eschweiler te Amsterdam, tegen INTERNATIONAL CARD SERVICES B.V., gevestigd te Amsterdam, geïntimeerde, advocaat: mr. A.L. Bremmer te Amsterdam. Partijen worden hierna SKC, [appellant 2] (gezamenlijk: [appellanten]) en ICS genoemd. 1De zaak in het kort [appellanten] heeft sinds 2015 een zakelijke creditcard van ICS. In 2021 heeft ICS [appellanten] verzocht om zich online te identificeren. [appellanten] heeft bezwaren tegen de wijze waarop deze identificatie plaatsvindt en hoe zijn gegevens daarbij worden verwerkt, met name tegen het scannen van het identiteitsbewijs van [appellant 2] waarbij een kopie van het identiteitsbewijs wordt opgeslagen. [appellanten] wil zelf een gewaarmerkte kopie van het identiteitsbewijs kunnen aanleveren. Dit heeft ICS niet geaccepteerd. ICS heeft aangekondigd de creditcard te zullen blokkeren en mogelijk de overeenkomst te zullen opzeggen. De rechtbank heeft de vorderingen van [appellanten], waarmee hij dit beoogt te voorkomen, afgewezen.

[appellanten] is bij dagvaarding van 1 maart 2023 in hoger beroep gekomen van het vonnis van 11 januari 2023 van de rechtbank Amsterdam, onder bovenvermeld zaaknummer gewezen tussen SKC en [appellant 2] als gedaagden in verzet (oorspronkelijk eisers) en ICS als eiseres in verzet (oorspronkelijk gedaagde). Partijen hebben daarna de volgende stukken ingediend: - memorie van grieven; - memorie van antwoord. Partijen hebben de zaak tijdens de mondelinge behandeling van 8 maart 2024 laten toelichten door hun advocaten, mr. Eschweiler aan de hand van overgelegde spreekaantekeningen. Ten slotte is arrest gevraagd.

Het hof gaat uit van de volgende feiten. 3.1. SKC, waarvan [appellant 2] vennoot is, houdt sinds 2015 een zakelijke creditcard aan bij ICS, een dochtervennootschap van ABN AMRO Bank N.V. De creditcard is op naam gesteld van [appellant 2] Servicekosten Consultancy en wordt door [appellant 2] gebruikt voor zakelijke betalingen. 3.2. [appellant 2] houdt ook een privé creditcard aan bij ICS, waarvan hij en zijn echtgenote ieder kaarthouder zijn. 3.3. Op de overeenkomsten met [appellanten] zijn de Algemene Card-voorwaarden ICS van januari 2021 (hierna: de algemene voorwaarden) van toepassing. 3.4. In 2020 is ICS gestart met het (opnieuw) controleren van de identiteit van haar klanten. Bij e-mailbericht van 4 mei 2021 heeft ICS SKC verzocht de bedrijfsgegevens te controleren en aan te vullen. Nadat [appellant 2] de gegevens van SKC had aangevuld, ontving hij dezelfde dag een e-mailbericht van ICS met het verzoek zich online te identificeren. Dit e-mailbericht luidt, voor zover hier relevant: “(…) Nu is het tijd voor de volgende stap: online identificatie. Ook deze stap is nodig om te kunnen voldoen aan de eisen van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft). In deze e-mail leest u wat er precies moet gebeuren. Alvast bedankt voor uw medewerking. Veilig online identificeren – zo werkt het Om uw Card(s) te kunnen blijven gebruiken, is het belangrijk dat u zich identificeert vóór 03 juni 2021. Online identificeren is veilig en gemakkelijk en duurt maar een paar minuten: 1. Haal uw persoonlijke validatiecode op in Mijn ICS Business: log in als Contactpersoon en klik op de knop ‘Codes ophalen’. 2. Bekijk de uitleg op icsbusiness.nl/id en klik op de knop Start online identificatie. Let op: de identificatie kan alleen met een smartphone. (…) Wat doen we met uw gegevens? Bij ICS vinden wij uw privacy belangrijk. Wij zorgen er daarom voor dat wij uw gegevens zorgvuldig verwerken. Op icsbusiness.nl/id en op icsbusiness.nl/privacy-statement vindt u hierover meer informatie (…)” 3.5. Volgens de door ICS op haar website weergegeven uitleg houdt de online identificatie kort gezegd het volgende in. De klant downloadt de app “ICS Identificeren” op een smartphone. De klant vult zijn geboortedatum en de ontvangen persoonlijke validatiecode in. Vervolgens kiest de klant welk identiteitsbewijs hij wenst te gebruiken voor de identificatie. De klant maakt een foto van het originele identiteitsbewijs. Een foto van een foto of een kopie van het identiteitsbewijs wordt niet goedgekeurd. Het identiteitsbewijs dient onbeschreven te zijn. Daarnaast maakt de klant een foto van zichzelf met de smartphone (selfie). Ook hiervoor geldt dat een foto van een foto niet wordt goedgekeurd. Tot slot slaat de klant beide foto’s op in de app (uploaden). 3.6. Verder is op de website van ICS onder het kopje “veelgestelde vragen” over de online identificatie het volgende te lezen, voor zover hier relevant: “Waarvoor gebruiken jullie de foto van mijn identiteitsbewijs? We gebruiken de foto van uw identiteitsbewijs voor de identificatie en de controle van uw gegevens. Via de foto controleren we of uw identiteitsbewijs echt is, en of het echt van u is. We bewaren de foto daarna als bewijs van uw identificatie. We gaan zorgvuldig om met de foto’s die u maakt bij de online identificatie, en met de andere gegevens die u met ons deelt. Meer hierover leest u in ons Privacy Statement. Goed om te weten: de foto die u van het identiteitsbewijs maakt, en wij bewaren, krijgt een watermerk. Zodat het document echt alleen gebruikt kan worden voor uw online identificatie bij ICS. Het watermerk ziet er zo uit (…) Hoelang bewaren jullie mijn identificatie? De foto van uzelf en de foto van uw identiteitsbewijs met het watermerk, bewaren wij in onze systemen zolang u klant bij ons bent. Daarna bewaren we de foto’s nog eens 7 jaar. Dat is omdat wij, net als andere bedrijven, verplicht zijn om onze administratie 7 jaar te bewaren (…)” 3.7. Bij e-mailbericht van 25 mei 2021 heeft ICS een herinnering verstuurd aan SKC, waarin ICS haar verzoek tot online identificatie heeft herhaald. Hierin heeft ICS verder geschreven, voor zover relevant: “(…) Voorkom dat de Card(s) worden geblokkeerd Om de Card(s) van uw bedrijf te kunnen blijven gebruiken, is het belangrijk dat de identificatie gebeurt vóór 03 juni 2021. Daarna moeten wij de Card(s) van uw bedrijf helaas blokkeren en mogelijk onze overeenkomst met u opzeggen. (…)” 3.8. [appellant 2] heeft zich niet voor 3 juni 2021 online geïdentificeerd. [appellant 2] heeft bij ICS zijn bezwaren geuit tegen het uploaden van een onbeschreven kopie van zijn identiteitsbewijs. Ter onderbouwing hiervan heeft [appellant 2] verwezen naar de website van de Autoriteit Persoonsgegevens (hierna: AP), met name de volgende passages: “Mag ik iets op een kopie van mijn identiteitsbewijs schrijven? Ja, dat mag. U heeft altijd het recht om een tekst door de kopie van uw identiteitsbewijs heen te schrijven. Zo beschermt u de kopie tegen identiteitsfraude. In sommige gevallen heeft een organisatie of bedrijf een wettelijke grondslag om een volledige kopie van uw identiteitsbewijs te verwerken voor een specifiek doel. Bijvoorbeeld wanneer u als werknemer in dienst treedt bij een bedrijf. Uw werkgever moet dan een kopie van uw identiteitsbewijs bewaren. Maar ook in die gevallen heeft u altijd het recht om een tekst door de kopie van uw identiteitsbewijs heen te schrijven. Bijvoorbeeld: ‘Kopie voor [naam werkgever] van [datum]’. Zo beschermt u de kopie tegen identiteitsfraude, want de volledige kopie zal niet zomaar voor een ander doel gebruikt kunnen worden. Let op: alle persoonsgegevens (zoals de foto en het BSN) op de beschreven kopie moeten leesbaar zijn. Ook de foto moet voldoende zichtbaar zijn om u te kunnen identificeren. Wat u op de kopie schrijft, mag dus geen afbreuk doen aan de identificerende functie van de kopie. (…) Mag een organisatie een beschreven kopie van mijn identiteitsbewijs weigeren? Nee, dat mag niet. Wanneer die organisatie een wettelijke grondslag heeft om een volledig kopie van het identiteitsbewijs te verwerken, dan is een beschreven kopie hiervoor genoeg. U kunt er dus voor kiezen om op de kopie te schrijven. Dat is ook aan te raden, want zo beschermt u de kopie tegen identiteitsfraude. (…)” 3.9. Naar aanleiding van de bezwaren van [appellant 2] heeft ICS in haar e-mailberichten van 15 en 16 juni 2021 [appellant 2] onder andere uitgelegd waarom het nodig is dat hij zich online identificeert en waarom hij het identiteitsbewijs niet mag beschrijven: “Waarom kunt u het identiteitsbewijs niet beschrijven? U kunt het identiteitsbewijs niet beschrijven. Zoals eerder aangegeven kunnen we alleen digitaal identificeren. Bij de identificatie moet het identiteitsbewijs op echtheid worden gecontroleerd. Schrijft u iets op het document dan zorgt dit ervoor dat de echtheid van het document niet kan worden vastgesteld. (…)” 3.10. Bij e-mailbericht van 22 juni 2021 heeft ICS twee alternatieven voor het online identificeren voorgedragen, namelijk identificatie aan huis of identificatie bij de notaris. Bij de eerste variant komt een medewerker van het door ICS ingeschakelde bedrijf AMP bij de klant langs om hem te identificeren. De medewerker gebruikt hiervoor dezelfde software als bij de online identificatie (via de app).

5.1. [appellanten] heeft in hoger beroep vijf grieven aangevoerd. [appellanten] heeft geconcludeerd tot het vernietigen van het bestreden vonnis en, zo begrijpt het hof, tot het bekrachtigen van het verstekvonnis, met veroordeling – uitvoerbaar bij voorraad – van ICS in de proceskosten met rente. 5.2. ICS heeft geconcludeerd tot bekrachtiging van het bestreden vonnis, met veroordeling – uitvoerbaar bij voorraad – van [appellanten] in de proceskosten. 5.3. Gelet op wat [appellanten] met grief I aanvoert over de inhoud van de e-mail van zijn gemachtigde van 24 september 2021 heeft het hof de beschrijving daarvan aangepast in 3.12. Deze grief kan echter niet tot vernietiging van het bestreden vonnis leiden, gelet op de hierna volgende beoordeling. 5.4. Met grieven II en III voert [appellanten] aan dat de bepalingen van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) niet verplichten tot de door ICS gehanteerde identificatie- en verificatieprocedure die online plaatsvindt en/of waarbij elektronische identificatiemiddelen worden gebruikt, zodat de verwerking van de persoonsgegevens van [appellant 2] die daarbij plaatsvindt niet noodzakelijk is om te voldoen aan een wettelijke verplichting, in de zin van artikel 6 lid 1 onder c van de Algemene Verordening Gegevensbescherming (AVG). Deze verwerking is daarom niet rechtmatig, en dus mocht [appellanten] zijn medewerking daaraan weigeren, aldus [appellanten] Met grief III betoogt [appellanten] daarnaast, zo begrijpt het hof, dat het gebruik van een scanner voor de verificatie van het identiteitsbewijs niet in overeenstemming is met het proportionaliteitsbeginsel dat bij toepassing van de Wwft in acht moet worden genomen. Met grief IV voert [appellanten] aan dat artikel 33 Wwft ICS niet verplicht om een kopie van het identiteitsbewijs van [appellant 2] op te slaan. Verder bestrijdt [appellanten] met deze grief het oordeel van de rechtbank dat [appellanten] zijn stelling dat hij niet kan controleren of ICS een watermerk aanbrengt op de kopie van het identiteitsbewijs en dat hij ook niet kan controleren of de door ICS gebruikte software het aangebrachte watermerk weer ongedaan kan maken, onvoldoende heeft onderbouwd. [appellanten] betoogt ten slotte, met grief V, dat de informatie gepubliceerd op de website van de AP steun biedt voor zijn stelling dat hij kan volstaan met het aanleveren van een door hem zelf gewaarmerkte kopie van het identiteitsbewijs. Deze grieven lenen zich voor gezamenlijke behandeling. 5.5. Het hof stelt voorop dat tussen partijen vaststaat dat ICS op grond van de artikelen 3 en 38 Wwft verplicht is een cliëntenonderzoek te verrichten naar [appellanten], en dat dit onderzoek ICS in staat moet stellen om [appellant 2] te identificeren en zijn identiteit te verifiëren. Ook staat tussen partijen vast dat de rechtmatigheid van de gegevensverwerking door ICS moet worden getoetst aan artikel 6 lid 1 onder c AVG, zodat het hof ook daarvan zal uitgaan. De Wwft schrijft niet (per geval) voor hoe een instelling als ICS het cliëntenonderzoek moet verrichten; de Wwft bepaalt slechts tot welk resultaat het onderzoek moet leiden. Indien een instelling niet kan voldoen aan haar verplichting tot identificatie en verificatie, moet zij de relatie met de cliënt beëindigen (artikel 5 lid 3 Wwft). Verder is van belang dat uit de Wwft of de AVG niet een recht op fysieke identificatie voortvloeit. 5.6. Op grond van artikel 11 lid 1 Wwft dient de identiteit van [appellant 2] te worden geverifieerd aan de hand van de in artikel 4 lid 1 van de Uitvoeringsregeling genoemde documenten, zoals een paspoort, Nederlandse identiteitskaart of Nederlands rijbewijs. Gelet op het bepaalde in artikel 13 lid 1 sub a van Richtlijn (EU) 2015/849 (de Vierde anti-witwasrichtlijn), zoals gewijzigd bij Richtlijn (EU) 2018/843, is het ICS toegestaan om bij de identificatie en verificatie elektronische identificatiemiddelen te gebruiken. ICS heeft gemotiveerd uiteengezet dat de elektronische techniek die bij het scannen van het identiteitsbewijs wordt gebruikt op dit moment op het gebied van echtheidscontrole de hoogste betrouwbaarheid heeft, en dat de inzet van deze techniek haar beter in staat stelt om hoogwaardige vervalsingen van identiteitsbewijzen te herkennen dan met de inzet van personen die hiervoor getraind en opgeleid zijn. [appellanten] heeft dit niet, althans onvoldoende, gemotiveerd betwist. Gelet op de mate van vrijheid die ICS toekomt bij de invulling van haar verplichting tot identificatie en verificatie onder de Wwft, en de toegevoegde waarde van het gebruik van de door haar gekozen elektronische techniek van het scannen van het identiteitsbewijs boven andere vormen van echtheidscontrole zoals een fysieke controle door een persoon, kan dit gebruik worden beschouwd als noodzakelijk in de zin van artikel 6 lid 1 sub c AVG om te voldoen aan haar verplichting tot het uitvoeren van een cliëntenonderzoek op grond van de Wwft. Het hof neemt hierbij in aanmerking dat ICS, gelet op het grote aantal cliënten voor wie een dergelijk onderzoek moet worden uitgevoerd en de noodzaak om daarover verantwoording te kunnen afleggen aan de toezichthouder, er een gerechtvaardigd belang bij heeft om de identificatie- en verificatieprocedure zoveel mogelijk uniform in te richten. Dat de identificatie- en verificatieprocedure van ICS eventueel anders ingericht had kunnen worden, betekent nog niet dat de procedure die ICS heeft gekozen, niet voldoet aan dit noodzakelijkheidsvereiste. 5.7. Op grond van artikel 33 lid 1 Wwft is ICS verplicht om op opvraagbare wijze de documenten en gegevens vast te leggen die zijn gebruikt voor de naleving van de verplichting tot het doen van een cliëntenonderzoek. Dit betekent dat ICS een afschrift dient te bewaren van het identiteitsbewijs waarvan zij met behulp van de scanner de echtheid heeft gecontroleerd en waarmee zij de identiteit van de cliënt heeft vastgesteld. ICS heeft er belang bij dit afschrift zelf te maken door het afschrift tegelijkertijd met het scannen en het controleren van het identiteitsbewijs op echtheid te maken en op te slaan, omdat daarmee gewaarborgd is dat het afschrift dat ICS bewaart daadwerkelijk het afschrift is van het identiteitsbewijs dat ICS heeft gebruikt voor de identificatie en verificatie. Van ICS kan niet worden verlangd dat zij, zoals [appellanten] voorstelt, een door [appellanten] gewaarmerkt afschrift van het identiteitsbewijs accepteert. ICS zou dan een extra (handmatige) controle moeten uitvoeren om vast te stellen of dit daadwerkelijk een afschrift is van het identiteitsbewijs dat [appellanten] heeft getoond voor de identificatie en verificatie. Dit laat ruimte voor fouten, die kunnen worden voorkomen door het maken van een afschrift bij het scannen van het identiteitsbewijs. De door ICS gebruikte methode kan daarom worden beschouwd als noodzakelijk in de zin van artikel 6 lid 1 onder c AVG om te voldoen aan haar verplichting tot het bewaren van bewijsstukken met betrekking tot het uitgevoerde cliëntenonderzoek op grond van de Wwft. ICS dient er wel voor te zorgen dat zij dit afschrift van het identiteitsbewijs veilig opslaat (EBA Richtsnoeren voor het gebruik van oplossingen voor de acceptatie van cliënten op afstand overeenkomstig artikel 13, lid 1, van Richtlijn (EU) 2015/849, par. 26). ICS heeft toegelicht dat het afschrift veilig wordt opgeslagen door het aanbrengen van een watermerk en dat [appellanten] dit kan controleren door gebruik te maken van zijn inzagerecht onder de AVG. [appellanten] heeft dit onvoldoende gemotiveerd bestreden. Zijn suggestie dat het door ICS aangebrachte watermerk met software mogelijk kan worden verwijderd, acht het hof in dit verband niet voldoende.

Het hof: bekrachtigt het bestreden vonnis; veroordeelt [appellanten] in de kosten van het geding in hoger beroep, tot op heden aan de zijde van ICS vastgesteld op € 3.211,- en op € 178,- voor nasalaris, te vermeerderen met € 92,- voor nasalaris en de kosten van het betekeningsexploot indien niet binnen veertien dagen na dit arrest aan de kostenveroordeling is voldaan en betekening van dit arrest plaatsvindt, en verklaart deze veroordeling uitvoerbaar bij voorraad. Dit arrest is gewezen door mrs. M.C.H. Broesterhuizen, S.C.H. Molin en Y. Steeg-Tijms en door de rolraadsheer in het openbaar uitgesproken op 30 april 2024.