ECLI:NL:HR:2026:392

ECLI:NL:HR:2026:392 text/xml public 2026-03-13T10:30:12 2026-03-12 Raad voor de Rechtspraak nl Hoge Raad 2026-03-13 24/02161 Uitspraak Cassatie NL Civiel recht Conclusie: ECLI:NL:PHR:2025:260 In cassatie op : ECLI:NL:GHAMS:2024:419 Rechtspraak.nl http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:HR:2026:392 text/html public 2026-03-13T10:13:28 2026-03-13 Raad voor de Rechtspraak nl ECLI:NL:HR:2026:392 Hoge Raad , 13-03-2026 / 24/02161 Contractenrecht. Financieel recht. Unierecht. Verplichting kaarthouder om zich te identificeren met pasfoto waarbij een kopie van (identiteitsbewijs met) deze foto wordt opgeslagen. Zijn instellingen op grond van Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft), in samenhang met art. 40 (gewijzigde) Europese vierde anti-witwasrichtlijn, verplicht tot opslaan van (pas)foto die gebruikt is bij identificatie, art. 3 Wwft, art. 11 Wwft, art. 33 Wwft, art. 38 Wwft en art. 4 Uitvoeringsregeling Wwft? Is vastleggen of opslaan van (kopie van) pasfoto verwerking van biometrisch gegeven, art. 9 lid 1 Algemene verordening gegevensbescherming (AVG) en art. 4 onder 14 AVG? Verwerking van persoonsgegevens, eisen art. 5 en 6 AVG. Bijzondere categorie persoonsgegevens, art. 9 AVG. Voornemen tot stellen van prejudiciële vragen aan Hof van Justitie van Europese Unie, art. 267 VWEU. HOGE RAAD DER NEDERLANDEN CIVIELE KAMER Nummer 24/02161 Datum 13 maart 2026 ARREST In de zaak van [de kaarthoudster] , wonende te [woonplaats] , EISERES tot cassatie, hierna: [de kaarthoudster] , advocaat: J.W. de Jong, tegen INTERNATIONAL CARD SERVICES B.V., gevestigd te Diemen, VERWEERSTER in cassatie, hierna: ICS, advocaat: F.E. Vermeulen. 1 Procesverloop Voor het verloop van het geding in feitelijke instanties verwijst de Hoge Raad naar: a. het vonnis in de zaak 8772430 CV EXPL 20-16931 van de rechtbank Amsterdam van 28 mei 2021; b. het arrest in de zaak 200.307.840/01 van het gerechtshof Amsterdam van 5 maart 2024. [de kaarthoudster] heeft tegen het arrest van het hof beroep in cassatie ingesteld. ICS heeft geconcludeerd tot verwerping van het beroep. De zaak is voor ICS toegelicht door haar advocaat en mede door G.M. Verburg. De conclusie van de Advocaat-Generaal B.J. Drijber strekt tot verwerping van het cassatieberoep. De advocaat van [de kaarthoudster] heeft schriftelijk op die conclusie gereageerd. 2 Uitgangspunten en feiten 2.1.1 In deze procedure staat de vraag centraal of ICS de met [de kaarthoudster] gesloten creditcardovereenkomst mocht opzeggen op de grond dat [de kaarthoudster] weigerde mee te werken aan een nieuwe (online) identificatie, volgens ICS vereist op grond van de Wet ter voorkoming van witwassen en financieren van terrorisme (hierna: Wwft). Bij deze online identificatie diende [de kaarthoudster] een foto van haar identiteitsbewijs en een foto van zichzelf (hierna: ‘selfie’) aan te leveren. [de kaarthoudster] heeft principiële bezwaren tegen deze wijze van identificeren, en in het bijzonder tegen het opslaan en bewaren van foto’s door ICS (de pasfoto op haar identiteitsbewijs en de ‘selfie’). Het opslaan van een kopie van een identiteitsbewijs met foto is onderdeel van door ICS gehanteerde methoden van identificatie. 2.1.2 In cassatie gaat het in de kern nog om twee vragen. In de eerste plaats is dat de vraag of het vastleggen of opslaan van een (pas)foto door ICS kan worden aangemerkt als verwerking van biometrische gegevens met het oog op de unieke identificatie van een persoon, hetgeen op grond van art. 9 lid 1 Algemene verordening gegevensbescherming (hierna: AVG) in beginsel verboden is. Daarnaast is de vraag aan de orde of art. 33 Wwft, waarin uitvoering is gegeven aan art. 40 van de (gewijzigde) Europese vierde anti-witwasrichtlijn , een verplichting bevat voor het opslaan en bewaren van (pas)foto’s door ICS en, zo ja, hoe deze zich verhoudt tot de AVG. Omdat de beantwoording van laatstgenoemde vraag samenhangt met de uitleg van art. 40 lid 1 van de vierde anti-witwasrichtlijn en bepalingen uit de AVG, en over deze uitleg redelijkerwijs twijfel kan bestaan, heeft de Hoge Raad het voornemen hierover prejudiciële vragen te stellen aan het Hof van Justitie van de Europese Unie (hierna: HvJEU). 2.1.3 Dit tussenarrest dient ertoe partijen gelegenheid te bieden zich uit te laten over het stellen van prejudiciële vragen. 2.2 In cassatie kan van het volgende worden uitgegaan. (i) [de kaarthoudster] en ICS hebben in 2008 een creditcardovereenkomst gesloten, op grond waarvan ICS aan [de kaarthoudster] een creditcard ter beschikking heeft gesteld. (ii) Bij brief van 21 juli 2020 heeft ICS [de kaarthoudster] verzocht om zich vóór 16 augustus 2020 online te identificeren. In de brief is onder meer vermeld dat [de kaarthoudster] bij de online identificatie met haar smartphone of tablet een foto moet maken van haar identiteitsbewijs en van zichzelf (‘selfie’) en tot slot moet klikken op ‘opslaan en versturen’. In de brief is [de kaarthoudster] verder erop gewezen dat de identificatie nodig is ingevolge de Wwft en dat haar creditcard kan worden geblokkeerd indien ICS de gevraagde gegevens niet tijdig ontvangt. (iii) ICS heeft [de kaarthoudster] bij e-mails van 31 juli 2020 en 6 augustus 2020 en bij sms-bericht van 11 augustus 2020 nogmaals verzocht zich online te identificeren en erop gewezen dat bij het uitblijven daarvan de creditcard geblokkeerd wordt. (iv) [de kaarthoudster] heeft aan de hiervoor onder (ii) en (iii) genoemde verzoeken geen gevolg gegeven. (v) ICS heeft [de kaarthoudster] bij brief van 17 augustus 2020 bericht dat haar creditcard is geblokkeerd omdat zij zich niet heeft geïdentificeerd, en dat ICS de overeenkomst per 10 november 2020 opzegt tenzij [de kaarthoudster] zich voor die datum alsnog identificeert. (vi) [de kaarthoudster] heeft volhard in haar weigering zich te identificeren en de onderhavige procedure tegen ICS aanhangig gemaakt. (vii) ICS heeft de opzegging van de creditcardovereenkomst gedurende de procedure in eerste aanleg uitgesteld, maar deze daarna alsnog geëffectueerd. 2.3 [de kaarthoudster] vordert in deze procedure onder meer, voor zover in cassatie van belang, een veroordeling van ICS tot onmiddellijke reactivering van haar creditcard, een verbod aan ICS op het eenzijdig verbreken van de creditcardovereenkomst en een verklaring voor recht dat het opvragen, opslaan en verwerken van een (pas)foto door ICS in welke vorm dan ook onrechtmatig is. De kantonrechter heeft de vorderingen afgewezen. 2.4 Het hof heeft het vonnis van de kantonrechter bekrachtigd. Het heeft daartoe, voor zover in cassatie van belang, het volgende overwogen: “5.3. Door middel van haar derde tot en met haar negende grief bestrijdt [de kaarthoudster] vanuit verschillende invalshoeken het oordeel van de kantonrechter dat ICS de creditcard-overeenkomst met [de kaarthoudster] heeft mogen opzeggen omdat [de kaarthoudster] niet wilde meewerken aan de vaststelling van haar identiteit. Deze grieven lenen zich voor gezamenlijke behandeling. (…) [D]e creditcard-overeenkomst [is] een duurovereenkomst (…) die in beginsel opzegbaar is. Bij gebreke van een wettelijke of contractuele regeling van de opzegging, moet aan de hand van de aanvullende en derogerende werking van de redelijkheid en billijkheid (art. 6:248 BW) worden beoordeeld of ICS de overeenkomst met [de kaarthoudster] kon opzeggen (vgl. HR 28 oktober 2011, ECLI:NL:HR:2011:BQ9854). 5.4. Ter implementatie van de vierde anti-witwasrichtlijn is de Wwft in 2018 gewijzigd. Sindsdien verplicht art. 38 Wwft ICS tot actualisering van de cliëntenonderzoeken die zij bij aanvang van creditcard-overeenkomsten al op grond van art. 3 Wwft had verricht. In dat verband zijn ook de Uitvoeringswet Wwft en de Leidraad Wwft en Sanctiewet van De Nederlandsche Bank van belang. ICS is verplicht haar cliënten ten minste te identificeren en hun identiteit te verifiëren en de gegevens die met het oog daarop zijn verkregen, te bewaren.

ECLI:NL:HR:2026:392 text/xml public 2026-03-13T10:30:12 2026-03-12 Raad voor de Rechtspraak nl Hoge Raad 2026-03-13 24/02161 Uitspraak Cassatie NL Civiel recht Conclusie: ECLI:NL:PHR:2025:260 In cassatie op : ECLI:NL:GHAMS:2024:419 Rechtspraak.nl http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:HR:2026:392 text/html public 2026-03-13T10:13:28 2026-03-13 Raad voor de Rechtspraak nl ECLI:NL:HR:2026:392 Hoge Raad , 13-03-2026 / 24/02161 Contractenrecht. Financieel recht. Unierecht. Verplichting kaarthouder om zich te identificeren met pasfoto waarbij een kopie van (identiteitsbewijs met) deze foto wordt opgeslagen. Zijn instellingen op grond van Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft), in samenhang met art. 40 (gewijzigde) Europese vierde anti-witwasrichtlijn, verplicht tot opslaan van (pas)foto die gebruikt is bij identificatie, art. 3 Wwft, art. 11 Wwft, art. 33 Wwft, art. 38 Wwft en art. 4 Uitvoeringsregeling Wwft? Is vastleggen of opslaan van (kopie van) pasfoto verwerking van biometrisch gegeven, art. 9 lid 1 Algemene verordening gegevensbescherming (AVG) en art. 4 onder 14 AVG? Verwerking van persoonsgegevens, eisen art. 5 en 6 AVG. Bijzondere categorie persoonsgegevens, art. 9 AVG. Voornemen tot stellen van prejudiciële vragen aan Hof van Justitie van Europese Unie, art. 267 VWEU. HOGE RAAD DER NEDERLANDEN CIVIELE KAMER Nummer 24/02161 Datum 13 maart 2026 ARREST In de zaak van [de kaarthoudster] , wonende te [woonplaats] , EISERES tot cassatie, hierna: [de kaarthoudster] , advocaat: J.W. de Jong, tegen INTERNATIONAL CARD SERVICES B.V., gevestigd te Diemen, VERWEERSTER in cassatie, hierna: ICS, advocaat: F.E. Vermeulen. 1 Procesverloop Voor het verloop van het geding in feitelijke instanties verwijst de Hoge Raad naar: a. het vonnis in de zaak 8772430 CV EXPL 20-16931 van de rechtbank Amsterdam van 28 mei 2021; b. het arrest in de zaak 200.307.840/01 van het gerechtshof Amsterdam van 5 maart 2024. [de kaarthoudster] heeft tegen het arrest van het hof beroep in cassatie ingesteld. ICS heeft geconcludeerd tot verwerping van het beroep. De zaak is voor ICS toegelicht door haar advocaat en mede door G.M. Verburg. De conclusie van de Advocaat-Generaal B.J. Drijber strekt tot verwerping van het cassatieberoep. De advocaat van [de kaarthoudster] heeft schriftelijk op die conclusie gereageerd. 2 Uitgangspunten en feiten 2.1.1 In deze procedure staat de vraag centraal of ICS de met [de kaarthoudster] gesloten creditcardovereenkomst mocht opzeggen op de grond dat [de kaarthoudster] weigerde mee te werken aan een nieuwe (online) identificatie, volgens ICS vereist op grond van de Wet ter voorkoming van witwassen en financieren van terrorisme (hierna: Wwft). Bij deze online identificatie diende [de kaarthoudster] een foto van haar identiteitsbewijs en een foto van zichzelf (hierna: ‘selfie’) aan te leveren. [de kaarthoudster] heeft principiële bezwaren tegen deze wijze van identificeren, en in het bijzonder tegen het opslaan en bewaren van foto’s door ICS (de pasfoto op haar identiteitsbewijs en de ‘selfie’). Het opslaan van een kopie van een identiteitsbewijs met foto is onderdeel van door ICS gehanteerde methoden van identificatie. 2.1.2 In cassatie gaat het in de kern nog om twee vragen. In de eerste plaats is dat de vraag of het vastleggen of opslaan van een (pas)foto door ICS kan worden aangemerkt als verwerking van biometrische gegevens met het oog op de unieke identificatie van een persoon, hetgeen op grond van art. 9 lid 1 Algemene verordening gegevensbescherming (hierna: AVG) in beginsel verboden is. Daarnaast is de vraag aan de orde of art. 33 Wwft, waarin uitvoering is gegeven aan art. 40 van de (gewijzigde) Europese vierde anti-witwasrichtlijn , een verplichting bevat voor het opslaan en bewaren van (pas)foto’s door ICS en, zo ja, hoe deze zich verhoudt tot de AVG. Omdat de beantwoording van laatstgenoemde vraag samenhangt met de uitleg van art. 40 lid 1 van de vierde anti-witwasrichtlijn en bepalingen uit de AVG, en over deze uitleg redelijkerwijs twijfel kan bestaan, heeft de Hoge Raad het voornemen hierover prejudiciële vragen te stellen aan het Hof van Justitie van de Europese Unie (hierna: HvJEU). 2.1.3 Dit tussenarrest dient ertoe partijen gelegenheid te bieden zich uit te laten over het stellen van prejudiciële vragen. 2.2 In cassatie kan van het volgende worden uitgegaan. (i) [de kaarthoudster] en ICS hebben in 2008 een creditcardovereenkomst gesloten, op grond waarvan ICS aan [de kaarthoudster] een creditcard ter beschikking heeft gesteld. (ii) Bij brief van 21 juli 2020 heeft ICS [de kaarthoudster] verzocht om zich vóór 16 augustus 2020 online te identificeren. In de brief is onder meer vermeld dat [de kaarthoudster] bij de online identificatie met haar smartphone of tablet een foto moet maken van haar identiteitsbewijs en van zichzelf (‘selfie’) en tot slot moet klikken op ‘opslaan en versturen’. In de brief is [de kaarthoudster] verder erop gewezen dat de identificatie nodig is ingevolge de Wwft en dat haar creditcard kan worden geblokkeerd indien ICS de gevraagde gegevens niet tijdig ontvangt. (iii) ICS heeft [de kaarthoudster] bij e-mails van 31 juli 2020 en 6 augustus 2020 en bij sms-bericht van 11 augustus 2020 nogmaals verzocht zich online te identificeren en erop gewezen dat bij het uitblijven daarvan de creditcard geblokkeerd wordt. (iv) [de kaarthoudster] heeft aan de hiervoor onder (ii) en (iii) genoemde verzoeken geen gevolg gegeven. (v) ICS heeft [de kaarthoudster] bij brief van 17 augustus 2020 bericht dat haar creditcard is geblokkeerd omdat zij zich niet heeft geïdentificeerd, en dat ICS de overeenkomst per 10 november 2020 opzegt tenzij [de kaarthoudster] zich voor die datum alsnog identificeert. (vi) [de kaarthoudster] heeft volhard in haar weigering zich te identificeren en de onderhavige procedure tegen ICS aanhangig gemaakt. (vii) ICS heeft de opzegging van de creditcardovereenkomst gedurende de procedure in eerste aanleg uitgesteld, maar deze daarna alsnog geëffectueerd. 2.3 [de kaarthoudster] vordert in deze procedure onder meer, voor zover in cassatie van belang, een veroordeling van ICS tot onmiddellijke reactivering van haar creditcard, een verbod aan ICS op het eenzijdig verbreken van de creditcardovereenkomst en een verklaring voor recht dat het opvragen, opslaan en verwerken van een (pas)foto door ICS in welke vorm dan ook onrechtmatig is. De kantonrechter heeft de vorderingen afgewezen. 2.4 Het hof heeft het vonnis van de kantonrechter bekrachtigd. Het heeft daartoe, voor zover in cassatie van belang, het volgende overwogen: “5.3. Door middel van haar derde tot en met haar negende grief bestrijdt [de kaarthoudster] vanuit verschillende invalshoeken het oordeel van de kantonrechter dat ICS de creditcard-overeenkomst met [de kaarthoudster] heeft mogen opzeggen omdat [de kaarthoudster] niet wilde meewerken aan de vaststelling van haar identiteit. Deze grieven lenen zich voor gezamenlijke behandeling. (…) [D]e creditcard-overeenkomst [is] een duurovereenkomst (…) die in beginsel opzegbaar is. Bij gebreke van een wettelijke of contractuele regeling van de opzegging, moet aan de hand van de aanvullende en derogerende werking van de redelijkheid en billijkheid (art. 6:248 BW) worden beoordeeld of ICS de overeenkomst met [de kaarthoudster] kon opzeggen (vgl. HR 28 oktober 2011, ECLI:NL:HR:2011:BQ9854). 5.4. Ter implementatie van de vierde anti-witwasrichtlijn is de Wwft in 2018 gewijzigd. Sindsdien verplicht art. 38 Wwft ICS tot actualisering van de cliëntenonderzoeken die zij bij aanvang van creditcard-overeenkomsten al op grond van art. 3 Wwft had verricht. In dat verband zijn ook de Uitvoeringswet Wwft en de Leidraad Wwft en Sanctiewet van De Nederlandsche Bank van belang. ICS is verplicht haar cliënten ten minste te identificeren en hun identiteit te verifiëren en de gegevens die met het oog daarop zijn verkregen, te bewaren.

ECLI:NL:HR:2026:392 text/xml public 2026-05-12T11:06:12 2026-03-12 Raad voor de Rechtspraak nl Hoge Raad 2026-03-13 24/02161 Uitspraak Cassatie NL Civiel recht Conclusie: ECLI:NL:PHR:2025:260 In cassatie op : ECLI:NL:GHAMS:2024:419 Rechtspraak.nl NJB 2026/588 JOR 2026/101 met annotatie van mr. drs. M.J. Bökkerink http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:HR:2026:392 text/html public 2026-03-13T10:13:28 2026-03-13 Raad voor de Rechtspraak nl ECLI:NL:HR:2026:392 Hoge Raad , 13-03-2026 / 24/02161 Contractenrecht. Financieel recht. Unierecht. Verplichting kaarthouder om zich te identificeren met pasfoto waarbij een kopie van (identiteitsbewijs met) deze foto wordt opgeslagen. Zijn instellingen op grond van Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft), in samenhang met art. 40 (gewijzigde) Europese vierde anti-witwasrichtlijn, verplicht tot opslaan van (pas)foto die gebruikt is bij identificatie, art. 3 Wwft, art. 11 Wwft, art. 33 Wwft, art. 38 Wwft en art. 4 Uitvoeringsregeling Wwft? Is vastleggen of opslaan van (kopie van) pasfoto verwerking van biometrisch gegeven, art. 9 lid 1 Algemene verordening gegevensbescherming (AVG) en art. 4 onder 14 AVG? Verwerking van persoonsgegevens, eisen art. 5 en 6 AVG. Bijzondere categorie persoonsgegevens, art. 9 AVG. Voornemen tot stellen van prejudiciële vragen aan Hof van Justitie van Europese Unie, art. 267 VWEU. HOGE RAAD DER NEDERLANDEN CIVIELE KAMER Nummer 24/02161 Datum 13 maart 2026 ARREST In de zaak van [de kaarthoudster] , wonende te [woonplaats] , EISERES tot cassatie, hierna: [de kaarthoudster] , advocaat: J.W. de Jong, tegen INTERNATIONAL CARD SERVICES B.V., gevestigd te Diemen, VERWEERSTER in cassatie, hierna: ICS, advocaat: F.E. Vermeulen. 1 Procesverloop Voor het verloop van het geding in feitelijke instanties verwijst de Hoge Raad naar: a. het vonnis in de zaak 8772430 CV EXPL 20-16931 van de rechtbank Amsterdam van 28 mei 2021; b. het arrest in de zaak 200.307.840/01 van het gerechtshof Amsterdam van 5 maart 2024. [de kaarthoudster] heeft tegen het arrest van het hof beroep in cassatie ingesteld. ICS heeft geconcludeerd tot verwerping van het beroep. De zaak is voor ICS toegelicht door haar advocaat en mede door G.M. Verburg. De conclusie van de Advocaat-Generaal B.J. Drijber strekt tot verwerping van het cassatieberoep. De advocaat van [de kaarthoudster] heeft schriftelijk op die conclusie gereageerd. 2 Uitgangspunten en feiten 2.1.1 In deze procedure staat de vraag centraal of ICS de met [de kaarthoudster] gesloten creditcardovereenkomst mocht opzeggen op de grond dat [de kaarthoudster] weigerde mee te werken aan een nieuwe (online) identificatie, volgens ICS vereist op grond van de Wet ter voorkoming van witwassen en financieren van terrorisme (hierna: Wwft). Bij deze online identificatie diende [de kaarthoudster] een foto van haar identiteitsbewijs en een foto van zichzelf (hierna: ‘selfie’) aan te leveren. [de kaarthoudster] heeft principiële bezwaren tegen deze wijze van identificeren, en in het bijzonder tegen het opslaan en bewaren van foto’s door ICS (de pasfoto op haar identiteitsbewijs en de ‘selfie’). Het opslaan van een kopie van een identiteitsbewijs met foto is onderdeel van door ICS gehanteerde methoden van identificatie. 2.1.2 In cassatie gaat het in de kern nog om twee vragen. In de eerste plaats is dat de vraag of het vastleggen of opslaan van een (pas)foto door ICS kan worden aangemerkt als verwerking van biometrische gegevens met het oog op de unieke identificatie van een persoon, hetgeen op grond van art. 9 lid 1 Algemene verordening gegevensbescherming (hierna: AVG) in beginsel verboden is. Daarnaast is de vraag aan de orde of art. 33 Wwft, waarin uitvoering is gegeven aan art. 40 van de (gewijzigde) Europese vierde anti-witwasrichtlijn , een verplichting bevat voor het opslaan en bewaren van (pas)foto’s door ICS en, zo ja, hoe deze zich verhoudt tot de AVG. Omdat de beantwoording van laatstgenoemde vraag samenhangt met de uitleg van art. 40 lid 1 van de vierde anti-witwasrichtlijn en bepalingen uit de AVG, en over deze uitleg redelijkerwijs twijfel kan bestaan, heeft de Hoge Raad het voornemen hierover prejudiciële vragen te stellen aan het Hof van Justitie van de Europese Unie (hierna: HvJEU). 2.1.3 Dit tussenarrest dient ertoe partijen gelegenheid te bieden zich uit te laten over het stellen van prejudiciële vragen. 2.2 In cassatie kan van het volgende worden uitgegaan. (i) [de kaarthoudster] en ICS hebben in 2008 een creditcardovereenkomst gesloten, op grond waarvan ICS aan [de kaarthoudster] een creditcard ter beschikking heeft gesteld. (ii) Bij brief van 21 juli 2020 heeft ICS [de kaarthoudster] verzocht om zich vóór 16 augustus 2020 online te identificeren. In de brief is onder meer vermeld dat [de kaarthoudster] bij de online identificatie met haar smartphone of tablet een foto moet maken van haar identiteitsbewijs en van zichzelf (‘selfie’) en tot slot moet klikken op ‘opslaan en versturen’. In de brief is [de kaarthoudster] verder erop gewezen dat de identificatie nodig is ingevolge de Wwft en dat haar creditcard kan worden geblokkeerd indien ICS de gevraagde gegevens niet tijdig ontvangt. (iii) ICS heeft [de kaarthoudster] bij e-mails van 31 juli 2020 en 6 augustus 2020 en bij sms-bericht van 11 augustus 2020 nogmaals verzocht zich online te identificeren en erop gewezen dat bij het uitblijven daarvan de creditcard geblokkeerd wordt. (iv) [de kaarthoudster] heeft aan de hiervoor onder (ii) en (iii) genoemde verzoeken geen gevolg gegeven. (v) ICS heeft [de kaarthoudster] bij brief van 17 augustus 2020 bericht dat haar creditcard is geblokkeerd omdat zij zich niet heeft geïdentificeerd, en dat ICS de overeenkomst per 10 november 2020 opzegt tenzij [de kaarthoudster] zich voor die datum alsnog identificeert. (vi) [de kaarthoudster] heeft volhard in haar weigering zich te identificeren en de onderhavige procedure tegen ICS aanhangig gemaakt. (vii) ICS heeft de opzegging van de creditcardovereenkomst gedurende de procedure in eerste aanleg uitgesteld, maar deze daarna alsnog geëffectueerd. 2.3 [de kaarthoudster] vordert in deze procedure onder meer, voor zover in cassatie van belang, een veroordeling van ICS tot onmiddellijke reactivering van haar creditcard, een verbod aan ICS op het eenzijdig verbreken van de creditcardovereenkomst en een verklaring voor recht dat het opvragen, opslaan en verwerken van een (pas)foto door ICS in welke vorm dan ook onrechtmatig is. De kantonrechter heeft de vorderingen afgewezen. 2.4 Het hof heeft het vonnis van de kantonrechter bekrachtigd. Het heeft daartoe, voor zover in cassatie van belang, het volgende overwogen: “5.3. Door middel van haar derde tot en met haar negende grief bestrijdt [de kaarthoudster] vanuit verschillende invalshoeken het oordeel van de kantonrechter dat ICS de creditcard-overeenkomst met [de kaarthoudster] heeft mogen opzeggen omdat [de kaarthoudster] niet wilde meewerken aan de vaststelling van haar identiteit. Deze grieven lenen zich voor gezamenlijke behandeling. (…) [D]e creditcard-overeenkomst [is] een duurovereenkomst (…) die in beginsel opzegbaar is. Bij gebreke van een wettelijke of contractuele regeling van de opzegging, moet aan de hand van de aanvullende en derogerende werking van de redelijkheid en billijkheid (art. 6:248 BW) worden beoordeeld of ICS de overeenkomst met [de kaarthoudster] kon opzeggen (vgl. HR 28 oktober 2011, ECLI:NL:HR:2011:BQ9854). 5.4. Ter implementatie van de vierde anti-witwasrichtlijn is de Wwft in 2018 gewijzigd. Sindsdien verplicht art. 38 Wwft ICS tot actualisering van de cliëntenonderzoeken die zij bij aanvang van creditcard-overeenkomsten al op grond van art. 3 Wwft had verricht. In dat verband zijn ook de Uitvoeringswet Wwft en de Leidraad Wwft en Sanctiewet van De Nederlandsche Bank van belang. ICS is verplicht haar cliënten ten minste te identificeren en hun identiteit te verifiëren en de gegevens die met het oog daarop zijn verkregen, te bewaren.

In de wijze waarop ICS aan deze verplichting vormgeeft, is zij tot op zekere hoogte vrij; zij mag bij wijze van uitgangspunt kiezen voor een online-identificatie en ook mag zij daarbij hulppersonen inschakelen, die geen bankierseed hoeven te hebben afgelegd omdat ze geen handelingen verrichten als bedoeld in art. 3:17b Wet financieel toezicht (Wft). In het kader van het cliëntenonderzoek van ICS is de verwerking van persoonsgegevens een noodzakelijke verwerking in de zin van de Algemene Verordening Gegevensbescherming (AVG), waarbij overigens de opslag van een foto, anders dan [de kaarthoudster] stelt, niet kan worden aangemerkt als de verwerking van een biometrisch gegeven. Het hernieuwde cliëntenonderzoek voldoet aan het transparantiebeginsel van de AVG: doel en werkwijze van de verwerking van de persoonsgegevens worden duidelijk en begrijpelijk beschreven in het Privacystatement van ICS. 5.5. De herhaalde verzoeken van ICS aan [de kaarthoudster] in 2020 om zich te identificeren, vinden hun verklaring in de verplichtingen die ten gevolge van de wijziging van de Wwft in 2018 op ICS waren komen te rusten. [de kaarthoudster] was naar maatstaven van redelijkheid en billijkheid (art. 6:248 lid 1 BW) gehouden daaraan haar medewerking te verlenen. (…) Toen [de kaarthoudster] op de herhaalde verzoeken van ICS niet reageerde, heeft ICS gevolg kunnen geven aan haar aankondiging dat de creditcard van [de kaarthoudster] zou worden geblokkeerd en dat de overeenkomst met haar zou worden opgezegd. De redenen die [de kaarthoudster] voor haar stilzwijgen heeft aangevoerd – ze vertrouwde de aankondigingen van ICS niet en beschouwde ze als spam – staan daaraan niet in de weg, omdat die redenen niet rechtvaardigen dat [de kaarthoudster] op geen enkele manier contact met ICS heeft gezocht om de (niet-)authenticiteit van de afzender van de berichten vast te stellen. 5.6. In het kader van de toets van de opzegging van de creditcard-overeenkomst door ICS aan de maatstaven van redelijkheid en billijkheid, heeft het hof de volgende omstandigheden meegewogen. Nadat [de kaarthoudster] ICS in de onderhavige procedure had betrokken, heeft ICS de beëindiging van de overeenkomst opgeschort. Omdat [de kaarthoudster] en [haar gemachtigde] geen ander contact met ICS wilden hebben dan in het kader van deze procedure, heeft ICS voor het eerst tijdens de procedure in eerste aanleg kennisgenomen van de bezwaren van [de kaarthoudster] tegen een online-identificatie. Zij heeft [de kaarthoudster] toen verschillende alternatieven geboden. [de kaarthoudster] heeft van die alternatieven geen gebruik willen maken, maar de redenen die zij daarvoor aanvoert, zijn naar het oordeel van het hof ondeugdelijk. [de kaarthoudster] stelt dat een vastlegging van haar pasfoto neerkomt op (…) een door de AVG in beginsel verboden verwerking van biometrische gegevens en dat ICS in geen geval een foto van haar mag bewaren (ook niet via een kopie van haar identiteitsbewijs), dat hulppersonen van ICS een bankierseed moeten hebben afgelegd, en dat ICS de kosten van alternatieven voor een online-identificatie voor haar rekening moet nemen. Deze stellingen zijn ongegrond. (…) 5.7. ICS heeft de aangekondigde opzegging van de overeenkomst dus mogen effectueren. Ze heeft daarbij geen zorgplichten jegens [de kaarthoudster] geschonden. De grieven 3 tot en met 9 falen.” 3 Beoordeling van het middel Onderdeel 1: is het bewaren van een pasfoto of ‘selfie’ een verwerking van biometrische gegevens? 3.1 Onderdeel 1 van het middel is gericht tegen het in rov. 5.4 en rov. 5.6 vervatte oordeel van het hof dat het vastleggen dan wel opslaan van een pasfoto niet kan worden aangemerkt als een door de AVG in beginsel verboden verwerking van biometrische gegevens. Het onderdeel klaagt dat het hof met dat oordeel blijk heeft gegeven van een onjuiste opvatting omtrent het begrip (verwerking van) ‘biometrische gegevens’ in art. 4, aanhef en onder 14, AVG. 3.2.1 Op grond van art. 9 lid 1 AVG is verwerking verboden van bijzondere categorieën van persoonsgegevens, waaronder de verwerking van biometrische gegevens met het oog op de unieke identificatie van een persoon, tenzij een in het tweede lid genoemde uitzondering van toepassing is. Art. 4, aanhef en onder 14, AVG bepaalt dat voor de toepassing van de AVG onder ‘biometrische gegevens’ wordt verstaan: “persoonsgegevens die het resultaat zijn van een specifieke technische verwerking met betrekking tot de fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon op grond waarvan eenduidige identificatie van die natuurlijke persoon mogelijk is of wordt bevestigd, zoals gezichtsafbeeldingen of vingerafdrukgegevens;”, In de considerans van de AVG is aandacht besteed aan de vraag of de verwerking van foto’s kan worden aangemerkt als verwerking van biometrische gegevens. Daarover vermeldt punt 51: “De verwerking van foto’s mag niet systematisch worden beschouwd als verwerking van bijzondere categorieën van persoonsgegevens, aangezien foto’s alleen onder de definitie van biometrische gegevens vallen wanneer zij worden verwerkt met behulp van bepaalde technische middelen die de unieke identificatie of authenticatie van een natuurlijk persoon mogelijk maken.” 3.2.2 Uit het in art. 4, aanhef en onder 14, AVG genoemde voorbeeld van een ‘gezichtsafbeelding’ zou afgeleid kunnen worden dat een foto waarop een gezicht van een persoon is afgebeeld, valt onder de definitie van biometrische gegevens. Uit de overige tekst van de bepaling, in verbinding gelezen met punt 51 van de considerans, blijkt evenwel dat de verwerking van een foto met een gezichtsafbeelding van een persoon slechts een verwerking van biometrische gegevens is, indien de foto voorwerp is van een specifieke technische verwerking met betrekking tot de fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon op grond waarvan eenduidige identificatie van die natuurlijke persoon mogelijk is of wordt bevestigd. De persoonsgegevens die het resultaat zijn van die specifieke technische verwerking zijn aan te merken als biometrische gegevens, zoals bijvoorbeeld een biometrische template van een gezicht dat met behulp van gezichtsherkenningstechnologie is gegenereerd op basis van een foto. De foto is dan te beschouwen als de bron waaruit biometrische gegevens kunnen worden afgeleid, maar is niet zelf een biometrisch gegeven. 3.2.3 Het hiervoor overwogene brengt mee dat het (enkele) vastleggen of opslaan van een foto met een gezichtsafbeelding geen verwerking van biometrische gegevens impliceert als bedoeld in art. 4, aanhef en onder 14, AVG. Hieraan doet niet af dat, zoals [de kaarthoudster] in cassatie heeft betoogd, de opgeslagen foto in de toekomst zou kunnen worden verwerkt met een specifiek technisch hulpmiddel om unieke identificatie van een natuurlijke persoon mogelijk te maken en dat dus na verloop van tijd wél sprake zou kunnen zijn van (een in beginsel verboden) verwerking van biometrische gegevens. Het bestreden oordeel van het hof is dus juist. De in 3.1 weergegeven klacht van onderdeel 1 faalt. Hoewel het HvJEU zich daarover nog niet heeft uitgelaten, bestaat in de context van de voorliggende zaak, gelet op hetgeen hiervoor is overwogen, redelijkerwijs geen twijfel over de uitleg van art. 4, aanhef en onder 14, AVG. De Hoge Raad is door partijen niet gewezen op, en evenmin ambtshalve bekend met, uitspraken van andere hoogste rechtscolleges van de lidstaten van de Europese Unie waarin wordt uitgegaan van een afwijkende uitleg van art. 4, aanhef en onder 14, AVG. De Hoge Raad ziet daarom geen aanleiding om over dit onderwerp prejudiciële vragen te stellen aan het HvJEU als bedoeld in art. 267 VWEU. Onderdeel 2: omvat een Wwft-cliëntenonderzoek een verplichting tot het bewaren van een (pas)foto en, zo ja, hoe verhoudt deze zich tot de AVG? 3.3 Onderdeel 2 keert zich tegen rov. 5.4-5.6, waarin het hof volgens het onderdeel heeft geoordeeld dat het bewaren van een pasfoto (ook via een kopie van het identiteitsbewijs) door ICS is toegestaan op grond van de Wwft in het kader van de verplichting tot actualisering van de cliëntenonderzoeken.

In de wijze waarop ICS aan deze verplichting vormgeeft, is zij tot op zekere hoogte vrij; zij mag bij wijze van uitgangspunt kiezen voor een online-identificatie en ook mag zij daarbij hulppersonen inschakelen, die geen bankierseed hoeven te hebben afgelegd omdat ze geen handelingen verrichten als bedoeld in art. 3:17b Wet financieel toezicht (Wft). In het kader van het cliëntenonderzoek van ICS is de verwerking van persoonsgegevens een noodzakelijke verwerking in de zin van de Algemene Verordening Gegevensbescherming (AVG), waarbij overigens de opslag van een foto, anders dan [de kaarthoudster] stelt, niet kan worden aangemerkt als de verwerking van een biometrisch gegeven. Het hernieuwde cliëntenonderzoek voldoet aan het transparantiebeginsel van de AVG: doel en werkwijze van de verwerking van de persoonsgegevens worden duidelijk en begrijpelijk beschreven in het Privacystatement van ICS. 5.5. De herhaalde verzoeken van ICS aan [de kaarthoudster] in 2020 om zich te identificeren, vinden hun verklaring in de verplichtingen die ten gevolge van de wijziging van de Wwft in 2018 op ICS waren komen te rusten. [de kaarthoudster] was naar maatstaven van redelijkheid en billijkheid (art. 6:248 lid 1 BW) gehouden daaraan haar medewerking te verlenen. (…) Toen [de kaarthoudster] op de herhaalde verzoeken van ICS niet reageerde, heeft ICS gevolg kunnen geven aan haar aankondiging dat de creditcard van [de kaarthoudster] zou worden geblokkeerd en dat de overeenkomst met haar zou worden opgezegd. De redenen die [de kaarthoudster] voor haar stilzwijgen heeft aangevoerd – ze vertrouwde de aankondigingen van ICS niet en beschouwde ze als spam – staan daaraan niet in de weg, omdat die redenen niet rechtvaardigen dat [de kaarthoudster] op geen enkele manier contact met ICS heeft gezocht om de (niet-)authenticiteit van de afzender van de berichten vast te stellen. 5.6. In het kader van de toets van de opzegging van de creditcard-overeenkomst door ICS aan de maatstaven van redelijkheid en billijkheid, heeft het hof de volgende omstandigheden meegewogen. Nadat [de kaarthoudster] ICS in de onderhavige procedure had betrokken, heeft ICS de beëindiging van de overeenkomst opgeschort. Omdat [de kaarthoudster] en [haar gemachtigde] geen ander contact met ICS wilden hebben dan in het kader van deze procedure, heeft ICS voor het eerst tijdens de procedure in eerste aanleg kennisgenomen van de bezwaren van [de kaarthoudster] tegen een online-identificatie. Zij heeft [de kaarthoudster] toen verschillende alternatieven geboden. [de kaarthoudster] heeft van die alternatieven geen gebruik willen maken, maar de redenen die zij daarvoor aanvoert, zijn naar het oordeel van het hof ondeugdelijk. [de kaarthoudster] stelt dat een vastlegging van haar pasfoto neerkomt op (…) een door de AVG in beginsel verboden verwerking van biometrische gegevens en dat ICS in geen geval een foto van haar mag bewaren (ook niet via een kopie van haar identiteitsbewijs), dat hulppersonen van ICS een bankierseed moeten hebben afgelegd, en dat ICS de kosten van alternatieven voor een online-identificatie voor haar rekening moet nemen. Deze stellingen zijn ongegrond. (…) 5.7. ICS heeft de aangekondigde opzegging van de overeenkomst dus mogen effectueren. Ze heeft daarbij geen zorgplichten jegens [de kaarthoudster] geschonden. De grieven 3 tot en met 9 falen.” 3 Beoordeling van het middel Onderdeel 1: is het bewaren van een pasfoto of ‘selfie’ een verwerking van biometrische gegevens? 3.1 Onderdeel 1 van het middel is gericht tegen het in rov. 5.4 en rov. 5.6 vervatte oordeel van het hof dat het vastleggen dan wel opslaan van een pasfoto niet kan worden aangemerkt als een door de AVG in beginsel verboden verwerking van biometrische gegevens. Het onderdeel klaagt dat het hof met dat oordeel blijk heeft gegeven van een onjuiste opvatting omtrent het begrip (verwerking van) ‘biometrische gegevens’ in art. 4, aanhef en onder 14, AVG. 3.2.1 Op grond van art. 9 lid 1 AVG is verwerking verboden van bijzondere categorieën van persoonsgegevens, waaronder de verwerking van biometrische gegevens met het oog op de unieke identificatie van een persoon, tenzij een in het tweede lid genoemde uitzondering van toepassing is. Art. 4, aanhef en onder 14, AVG bepaalt dat voor de toepassing van de AVG onder ‘biometrische gegevens’ wordt verstaan: “persoonsgegevens die het resultaat zijn van een specifieke technische verwerking met betrekking tot de fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon op grond waarvan eenduidige identificatie van die natuurlijke persoon mogelijk is of wordt bevestigd, zoals gezichtsafbeeldingen of vingerafdrukgegevens;”, In de considerans van de AVG is aandacht besteed aan de vraag of de verwerking van foto’s kan worden aangemerkt als verwerking van biometrische gegevens. Daarover vermeldt punt 51: “De verwerking van foto’s mag niet systematisch worden beschouwd als verwerking van bijzondere categorieën van persoonsgegevens, aangezien foto’s alleen onder de definitie van biometrische gegevens vallen wanneer zij worden verwerkt met behulp van bepaalde technische middelen die de unieke identificatie of authenticatie van een natuurlijk persoon mogelijk maken.” 3.2.2 Uit het in art. 4, aanhef en onder 14, AVG genoemde voorbeeld van een ‘gezichtsafbeelding’ zou afgeleid kunnen worden dat een foto waarop een gezicht van een persoon is afgebeeld, valt onder de definitie van biometrische gegevens. Uit de overige tekst van de bepaling, in verbinding gelezen met punt 51 van de considerans, blijkt evenwel dat de verwerking van een foto met een gezichtsafbeelding van een persoon slechts een verwerking van biometrische gegevens is, indien de foto voorwerp is van een specifieke technische verwerking met betrekking tot de fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon op grond waarvan eenduidige identificatie van die natuurlijke persoon mogelijk is of wordt bevestigd. De persoonsgegevens die het resultaat zijn van die specifieke technische verwerking zijn aan te merken als biometrische gegevens, zoals bijvoorbeeld een biometrische template van een gezicht dat met behulp van gezichtsherkenningstechnologie is gegenereerd op basis van een foto. De foto is dan te beschouwen als de bron waaruit biometrische gegevens kunnen worden afgeleid, maar is niet zelf een biometrisch gegeven. 3.2.3 Het hiervoor overwogene brengt mee dat het (enkele) vastleggen of opslaan van een foto met een gezichtsafbeelding geen verwerking van biometrische gegevens impliceert als bedoeld in art. 4, aanhef en onder 14, AVG. Hieraan doet niet af dat, zoals [de kaarthoudster] in cassatie heeft betoogd, de opgeslagen foto in de toekomst zou kunnen worden verwerkt met een specifiek technisch hulpmiddel om unieke identificatie van een natuurlijke persoon mogelijk te maken en dat dus na verloop van tijd wél sprake zou kunnen zijn van (een in beginsel verboden) verwerking van biometrische gegevens. Het bestreden oordeel van het hof is dus juist. De in 3.1 weergegeven klacht van onderdeel 1 faalt. Hoewel het HvJEU zich daarover nog niet heeft uitgelaten, bestaat in de context van de voorliggende zaak, gelet op hetgeen hiervoor is overwogen, redelijkerwijs geen twijfel over de uitleg van art. 4, aanhef en onder 14, AVG. De Hoge Raad is door partijen niet gewezen op, en evenmin ambtshalve bekend met, uitspraken van andere hoogste rechtscolleges van de lidstaten van de Europese Unie waarin wordt uitgegaan van een afwijkende uitleg van art. 4, aanhef en onder 14, AVG. De Hoge Raad ziet daarom geen aanleiding om over dit onderwerp prejudiciële vragen te stellen aan het HvJEU als bedoeld in art. 267 VWEU. Onderdeel 2: omvat een Wwft-cliëntenonderzoek een verplichting tot het bewaren van een (pas)foto en, zo ja, hoe verhoudt deze zich tot de AVG? 3.3 Onderdeel 2 keert zich tegen rov. 5.4-5.6, waarin het hof volgens het onderdeel heeft geoordeeld dat het bewaren van een pasfoto (ook via een kopie van het identiteitsbewijs) door ICS is toegestaan op grond van de Wwft in het kader van de verplichting tot actualisering van de cliëntenonderzoeken.

In de wijze waarop ICS aan deze verplichting vormgeeft, is zij tot op zekere hoogte vrij; zij mag bij wijze van uitgangspunt kiezen voor een online-identificatie en ook mag zij daarbij hulppersonen inschakelen, die geen bankierseed hoeven te hebben afgelegd omdat ze geen handelingen verrichten als bedoeld in art. 3:17b Wet financieel toezicht (Wft). In het kader van het cliëntenonderzoek van ICS is de verwerking van persoonsgegevens een noodzakelijke verwerking in de zin van de Algemene Verordening Gegevensbescherming (AVG), waarbij overigens de opslag van een foto, anders dan [de kaarthoudster] stelt, niet kan worden aangemerkt als de verwerking van een biometrisch gegeven. Het hernieuwde cliëntenonderzoek voldoet aan het transparantiebeginsel van de AVG: doel en werkwijze van de verwerking van de persoonsgegevens worden duidelijk en begrijpelijk beschreven in het Privacystatement van ICS. 5.5. De herhaalde verzoeken van ICS aan [de kaarthoudster] in 2020 om zich te identificeren, vinden hun verklaring in de verplichtingen die ten gevolge van de wijziging van de Wwft in 2018 op ICS waren komen te rusten. [de kaarthoudster] was naar maatstaven van redelijkheid en billijkheid (art. 6:248 lid 1 BW) gehouden daaraan haar medewerking te verlenen. (…) Toen [de kaarthoudster] op de herhaalde verzoeken van ICS niet reageerde, heeft ICS gevolg kunnen geven aan haar aankondiging dat de creditcard van [de kaarthoudster] zou worden geblokkeerd en dat de overeenkomst met haar zou worden opgezegd. De redenen die [de kaarthoudster] voor haar stilzwijgen heeft aangevoerd – ze vertrouwde de aankondigingen van ICS niet en beschouwde ze als spam – staan daaraan niet in de weg, omdat die redenen niet rechtvaardigen dat [de kaarthoudster] op geen enkele manier contact met ICS heeft gezocht om de (niet-)authenticiteit van de afzender van de berichten vast te stellen. 5.6. In het kader van de toets van de opzegging van de creditcard-overeenkomst door ICS aan de maatstaven van redelijkheid en billijkheid, heeft het hof de volgende omstandigheden meegewogen. Nadat [de kaarthoudster] ICS in de onderhavige procedure had betrokken, heeft ICS de beëindiging van de overeenkomst opgeschort. Omdat [de kaarthoudster] en [haar gemachtigde] geen ander contact met ICS wilden hebben dan in het kader van deze procedure, heeft ICS voor het eerst tijdens de procedure in eerste aanleg kennisgenomen van de bezwaren van [de kaarthoudster] tegen een online-identificatie. Zij heeft [de kaarthoudster] toen verschillende alternatieven geboden. [de kaarthoudster] heeft van die alternatieven geen gebruik willen maken, maar de redenen die zij daarvoor aanvoert, zijn naar het oordeel van het hof ondeugdelijk. [de kaarthoudster] stelt dat een vastlegging van haar pasfoto neerkomt op (…) een door de AVG in beginsel verboden verwerking van biometrische gegevens en dat ICS in geen geval een foto van haar mag bewaren (ook niet via een kopie van haar identiteitsbewijs), dat hulppersonen van ICS een bankierseed moeten hebben afgelegd, en dat ICS de kosten van alternatieven voor een online-identificatie voor haar rekening moet nemen. Deze stellingen zijn ongegrond. (…) 5.7. ICS heeft de aangekondigde opzegging van de overeenkomst dus mogen effectueren. Ze heeft daarbij geen zorgplichten jegens [de kaarthoudster] geschonden. De grieven 3 tot en met 9 falen.” 3 Beoordeling van het middel Onderdeel 1: is het bewaren van een pasfoto of ‘selfie’ een verwerking van biometrische gegevens? 3.1 Onderdeel 1 van het middel is gericht tegen het in rov. 5.4 en rov. 5.6 vervatte oordeel van het hof dat het vastleggen dan wel opslaan van een pasfoto niet kan worden aangemerkt als een door de AVG in beginsel verboden verwerking van biometrische gegevens. Het onderdeel klaagt dat het hof met dat oordeel blijk heeft gegeven van een onjuiste opvatting omtrent het begrip (verwerking van) ‘biometrische gegevens’ in art. 4, aanhef en onder 14, AVG. 3.2.1 Op grond van art. 9 lid 1 AVG is verwerking verboden van bijzondere categorieën van persoonsgegevens, waaronder de verwerking van biometrische gegevens met het oog op de unieke identificatie van een persoon, tenzij een in het tweede lid genoemde uitzondering van toepassing is. Art. 4, aanhef en onder 14, AVG bepaalt dat voor de toepassing van de AVG onder ‘biometrische gegevens’ wordt verstaan: “persoonsgegevens die het resultaat zijn van een specifieke technische verwerking met betrekking tot de fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon op grond waarvan eenduidige identificatie van die natuurlijke persoon mogelijk is of wordt bevestigd, zoals gezichtsafbeeldingen of vingerafdrukgegevens;”, In de considerans van de AVG is aandacht besteed aan de vraag of de verwerking van foto’s kan worden aangemerkt als verwerking van biometrische gegevens. Daarover vermeldt punt 51: “De verwerking van foto’s mag niet systematisch worden beschouwd als verwerking van bijzondere categorieën van persoonsgegevens, aangezien foto’s alleen onder de definitie van biometrische gegevens vallen wanneer zij worden verwerkt met behulp van bepaalde technische middelen die de unieke identificatie of authenticatie van een natuurlijk persoon mogelijk maken.” 3.2.2 Uit het in art. 4, aanhef en onder 14, AVG genoemde voorbeeld van een ‘gezichtsafbeelding’ zou afgeleid kunnen worden dat een foto waarop een gezicht van een persoon is afgebeeld, valt onder de definitie van biometrische gegevens. Uit de overige tekst van de bepaling, in verbinding gelezen met punt 51 van de considerans, blijkt evenwel dat de verwerking van een foto met een gezichtsafbeelding van een persoon slechts een verwerking van biometrische gegevens is, indien de foto voorwerp is van een specifieke technische verwerking met betrekking tot de fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon op grond waarvan eenduidige identificatie van die natuurlijke persoon mogelijk is of wordt bevestigd. De persoonsgegevens die het resultaat zijn van die specifieke technische verwerking zijn aan te merken als biometrische gegevens, zoals bijvoorbeeld een biometrische template van een gezicht dat met behulp van gezichtsherkenningstechnologie is gegenereerd op basis van een foto. De foto is dan te beschouwen als de bron waaruit biometrische gegevens kunnen worden afgeleid, maar is niet zelf een biometrisch gegeven. 3.2.3 Het hiervoor overwogene brengt mee dat het (enkele) vastleggen of opslaan van een foto met een gezichtsafbeelding geen verwerking van biometrische gegevens impliceert als bedoeld in art. 4, aanhef en onder 14, AVG. Hieraan doet niet af dat, zoals [de kaarthoudster] in cassatie heeft betoogd, de opgeslagen foto in de toekomst zou kunnen worden verwerkt met een specifiek technisch hulpmiddel om unieke identificatie van een natuurlijke persoon mogelijk te maken en dat dus na verloop van tijd wél sprake zou kunnen zijn van (een in beginsel verboden) verwerking van biometrische gegevens. Het bestreden oordeel van het hof is dus juist. De in 3.1 weergegeven klacht van onderdeel 1 faalt. Hoewel het HvJEU zich daarover nog niet heeft uitgelaten, bestaat in de context van de voorliggende zaak, gelet op hetgeen hiervoor is overwogen, redelijkerwijs geen twijfel over de uitleg van art. 4, aanhef en onder 14, AVG. De Hoge Raad is door partijen niet gewezen op, en evenmin ambtshalve bekend met, uitspraken van andere hoogste rechtscolleges van de lidstaten van de Europese Unie waarin wordt uitgegaan van een afwijkende uitleg van art. 4, aanhef en onder 14, AVG. De Hoge Raad ziet daarom geen aanleiding om over dit onderwerp prejudiciële vragen te stellen aan het HvJEU als bedoeld in art. 267 VWEU. Onderdeel 2: omvat een Wwft-cliëntenonderzoek een verplichting tot het bewaren van een (pas)foto en, zo ja, hoe verhoudt deze zich tot de AVG? 3.3 Onderdeel 2 keert zich tegen rov. 5.4-5.6, waarin het hof volgens het onderdeel heeft geoordeeld dat het bewaren van een pasfoto (ook via een kopie van het identiteitsbewijs) door ICS is toegestaan op grond van de Wwft in het kader van de verplichting tot actualisering van de cliëntenonderzoeken.

Het onderdeel klaagt dat dit oordeel onjuist is, omdat daarmee wordt miskend dat art. 33 Wwft geen grondslag biedt voor het opslaan van pasfoto’s, laat staan een verplichting daartoe schept. Bij het ontbreken van een verplichting tot, althans een wettelijke grondslag voor het opslaan van pasfoto’s is dat in strijd met het recht op bescherming van de persoonlijke levenssfeer, en meer specifiek het beginsel van minimale gegevensbescherming dat ten grondslag ligt aan de AVG. Een dergelijke opslag is niet noodzakelijk en voorzienbaar, te minder omdat uit een pasfoto het ras of de etnische afkomst van betrokkene blijkt en verwerking van deze persoonsgegevens verboden is (art. 9 lid 1 AVG), aldus onderdeel 2. Verwerking van persoonsgegevens op grond van de AVG 3.4.1 Bij het vastleggen en bewaren van een foto van het gezicht van een natuurlijke persoon door een instelling, zoals ICS, is sprake van verwerking van persoonsgegevens in de zin van de AVG. Bij de verwerking van persoonsgegevens moeten de in art. 5 lid 1 AVG neergelegde beginselen in acht worden genomen, waaronder het beginsel dat elke verwerking van persoonsgegevens rechtmatig, behoorlijk en transparant is (art. 5 lid 1, aanhef en onder a, AVG) en het beginsel van minimale gegevensverwerking (art. 5 lid 1, aanhef en onder c, AVG). 3.4.2 Het verwerken van persoonsgegevens is op grond van art. 6 lid 1 AVG alleen rechtmatig indien en voor zover de verwerking berust op een van de in die bepaling genoemde grondslagen. Dat is onder meer het geval indien de verwerking noodzakelijk is om te voldoen aan een wettelijke verplichting die rust op de verwerkingsverantwoordelijke (art. 6 lid 1, aanhef en onder c, AVG). Die grondslag is voor deze zaak relevant omdat in het oordeel van het hof besloten ligt dat de verwerking van persoonsgegevens – waaronder het bewaren van pasfoto’s – noodzakelijk is om te voldoen aan de op ICS rustende verplichting uit de Wwft om de persoonsgegevens te bewaren die zij heeft verkregen met het oog op de identificatie en verificatie van haar cliënten (zie rov. 5.4). Art. 6 lid 3 AVG bepaalt dat de wettelijke verplichting moet worden vastgesteld bij Unierecht of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is. Uit punt 41 van de considerans van de AVG volgt dat dit niet noodzakelijkerwijs een door een parlement vastgestelde wetgevingshandeling vereist, maar wél dat de rechtsgrond of wetgevingsmaatregel duidelijk en nauwkeurig moet zijn en dat de toepassing daarvan voorspelbaar moet zijn voor degenen op wie deze van toepassing is. Ook vermeldt punt 45 van de considerans dat de AVG niet voor elke afzonderlijke gegevensverwerking specifieke wetgeving vereist, maar dat kan worden volstaan met wetgeving die als basis fungeert voor verscheidene gegevensverwerkingen op grond van een wettelijke verplichting die op de verwerkingsverantwoordelijke rust. Art. 6 lid 3 AVG bepaalt als hoofdregel voorts dat het Unierecht of lidstatelijk recht het doel van de verwerking moet vaststellen, moet beantwoorden aan een doelstelling van algemeen belang en evenredig moet zijn met het nagestreefde doel. In het noodzakelijkheidsvereiste van art. 6 lid 1, aanhef en onder c, AVG ligt verder besloten dat de verwerkingsverantwoordelijke niet meer persoonsgegevens mag verwerken dan nodig is voor de uitvoering van de wettelijke verplichting. Dit strookt met het beginsel van minimale gegevensverwerking, dat – zoals blijkt uit art. 5 lid 1, aanhef en onder c, AVG – inhoudt dat de persoonsgegevens toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Het cliëntenonderzoek op grond van de Wwft en het bewaren van daarbij gebruikte documenten en gegevens 3.5.1 Voor de rechtmatigheid van het vastleggen en bewaren van foto’s van natuurlijke personen (al dan niet via een kopie van het identiteitsbewijs) door instellingen in het kader van de identificatie van hun cliënten, is het volgende van belang. 3.5.2 Een instelling is op grond van art. 3 lid 1 in verbinding met art. 3 lid 5, aanhef en onder a en b, Wwft verplicht ter voorkoming van witwassen en financieren van terrorisme een cliëntenonderzoek te verrichten bij (onder meer) het aangaan van een zakelijke relatie met de cliënt en het verrichten van een incidentele transactie ten behoeve van de cliënt van ten minste € 15.000. Deze verplichting vloeit voort uit de (gewijzigde) Europese vierde anti-witwasrichtlijn. Sinds de inwerkingtreding van de Implementatiewet vierde anti-witwasrichtlijn in 2018 dient de instelling bij eerste gelegenheid een nieuw cliëntenonderzoek te verrichten bij bestaande cliënten (art. 38 lid 1 Wwft). 3.5.3 Het cliëntenonderzoek stelt de instelling onder meer in staat de cliënt te identificeren en diens identiteit te verifiëren (art. 3 lid 2, aanhef en onder a, Wwft). Identificeren is het opgave laten doen van de identiteit; verifiëren betreft het vaststellen dat de opgegeven identiteit overeenkomt met de werkelijke identiteit (art. 1 lid 1 Wwft). Verificatie van de identiteit van een natuurlijke persoon vindt plaats aan de hand van documenten, gegevens of inlichtingen uit betrouwbare en onafhankelijke bron (art. 11 lid 1 Wwft). Bij ministeriële regeling is een aantal documenten aangewezen op basis waarvan kan worden voldaan aan art. 11 lid 1 Wwft, waaronder een geldig paspoort, Nederlandse identiteitskaart of Nederlands rijbewijs (art. 4 lid 1 van de Uitvoeringsregeling Wwft). Een geldig paspoort, Nederlandse identiteitskaart of Nederlands rijbewijs is voorzien van een pasfoto. (Andere) foto’s behoren niet tot de opsomming van aangewezen documenten. De opsomming is evenwel niet-limitatief zodat de verificatie ook kan plaatsvinden aan de hand van andere documenten, gegevens of inlichtingen uit onafhankelijke bron. Volgens de toelichting op de Uitvoeringsregeling Wwft houdt dit verband met de ‘principle based benadering’ van de Wwft: voorgeschreven is tot welk resultaat het cliëntenonderzoek moet leiden maar niet hoe het onderzoek dient te worden uitgevoerd. 3.5.4 Art. 33 Wwft bevat regels voor instellingen voor het bewaren van bewijsstukken. Deze bepaling luidt, voor zover relevant, als volgt: “1 Een instelling die op grond van deze wet cliëntenonderzoek heeft verricht (…) legt op opvraagbare wijze de documenten en gegevens vast die zijn gebruikt voor de naleving van het bepaalde in artikel 3, tweede tot en met vierde lid (…). 2 Onder de documenten en gegevens, bedoeld in het eerste lid, zijn ten minste begrepen: a. van natuurlijke personen (…): 1°. de geslachtsnaam, de voornamen, de geboortedatum, het adres en de woonplaats, dan wel de plaats van vestiging van de cliënt alsmede van degene die namens die natuurlijke persoon optreedt, of een afschrift van het document dat een persoonidentificerend nummer bevat en aan de hand waarvan de verificatie van de identiteit heeft plaatsgevonden; 2°. de aard, het nummer en de datum en plaats van uitgifte van het document met behulp waarvan de identiteit is geverifieerd; (…) 3 Een instelling bewaart de in het eerste en tweede lid bedoelde gegevens op toegankelijke wijze gedurende vijf jaar na het tijdstip van het beëindigen van de zakelijke relatie of gedurende vijf jaar na het uitvoeren van de desbetreffende transactie.” Uit art. 33 lid 1 en lid 3 Wwft volgt dat de instelling verplicht is om de documenten en gegevens die zijn gebruikt voor het cliëntenonderzoek op opvraagbare wijze vast te leggen en gedurende vijf jaar te bewaren na het einde van de zakelijke relatie of de incidentele transactie. Het tweede lid van art. 33 Wwft specificeert welke gegevens en documenten die zijn gebruikt voor de identificatie van de cliënt en de verificatie van diens identiteit, bewaard moeten worden. Uitleg art. 33 lid 2, aanhef en onder a.1º, Wwft: verplichting tot bewaren kopie identiteitsbewijs (inclusief pasfoto)? 3.6.1 De tekst van art. 33 lid 2, aanhef en onder a.1º, Wwft impliceert dat het vastleggen en bewaren van de kopie van het identiteitsbewijs een alternatief is voor het vastleggen van de geslachtsnaam, de voornamen, de geboortedatum, het adres en de woon- of vestigingsplaats van de cliënt.

Het onderdeel klaagt dat dit oordeel onjuist is, omdat daarmee wordt miskend dat art. 33 Wwft geen grondslag biedt voor het opslaan van pasfoto’s, laat staan een verplichting daartoe schept. Bij het ontbreken van een verplichting tot, althans een wettelijke grondslag voor het opslaan van pasfoto’s is dat in strijd met het recht op bescherming van de persoonlijke levenssfeer, en meer specifiek het beginsel van minimale gegevensbescherming dat ten grondslag ligt aan de AVG. Een dergelijke opslag is niet noodzakelijk en voorzienbaar, te minder omdat uit een pasfoto het ras of de etnische afkomst van betrokkene blijkt en verwerking van deze persoonsgegevens verboden is (art. 9 lid 1 AVG), aldus onderdeel 2. Verwerking van persoonsgegevens op grond van de AVG 3.4.1 Bij het vastleggen en bewaren van een foto van het gezicht van een natuurlijke persoon door een instelling, zoals ICS, is sprake van verwerking van persoonsgegevens in de zin van de AVG. Bij de verwerking van persoonsgegevens moeten de in art. 5 lid 1 AVG neergelegde beginselen in acht worden genomen, waaronder het beginsel dat elke verwerking van persoonsgegevens rechtmatig, behoorlijk en transparant is (art. 5 lid 1, aanhef en onder a, AVG) en het beginsel van minimale gegevensverwerking (art. 5 lid 1, aanhef en onder c, AVG). 3.4.2 Het verwerken van persoonsgegevens is op grond van art. 6 lid 1 AVG alleen rechtmatig indien en voor zover de verwerking berust op een van de in die bepaling genoemde grondslagen. Dat is onder meer het geval indien de verwerking noodzakelijk is om te voldoen aan een wettelijke verplichting die rust op de verwerkingsverantwoordelijke (art. 6 lid 1, aanhef en onder c, AVG). Die grondslag is voor deze zaak relevant omdat in het oordeel van het hof besloten ligt dat de verwerking van persoonsgegevens – waaronder het bewaren van pasfoto’s – noodzakelijk is om te voldoen aan de op ICS rustende verplichting uit de Wwft om de persoonsgegevens te bewaren die zij heeft verkregen met het oog op de identificatie en verificatie van haar cliënten (zie rov. 5.4). Art. 6 lid 3 AVG bepaalt dat de wettelijke verplichting moet worden vastgesteld bij Unierecht of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is. Uit punt 41 van de considerans van de AVG volgt dat dit niet noodzakelijkerwijs een door een parlement vastgestelde wetgevingshandeling vereist, maar wél dat de rechtsgrond of wetgevingsmaatregel duidelijk en nauwkeurig moet zijn en dat de toepassing daarvan voorspelbaar moet zijn voor degenen op wie deze van toepassing is. Ook vermeldt punt 45 van de considerans dat de AVG niet voor elke afzonderlijke gegevensverwerking specifieke wetgeving vereist, maar dat kan worden volstaan met wetgeving die als basis fungeert voor verscheidene gegevensverwerkingen op grond van een wettelijke verplichting die op de verwerkingsverantwoordelijke rust. Art. 6 lid 3 AVG bepaalt als hoofdregel voorts dat het Unierecht of lidstatelijk recht het doel van de verwerking moet vaststellen, moet beantwoorden aan een doelstelling van algemeen belang en evenredig moet zijn met het nagestreefde doel. In het noodzakelijkheidsvereiste van art. 6 lid 1, aanhef en onder c, AVG ligt verder besloten dat de verwerkingsverantwoordelijke niet meer persoonsgegevens mag verwerken dan nodig is voor de uitvoering van de wettelijke verplichting. Dit strookt met het beginsel van minimale gegevensverwerking, dat – zoals blijkt uit art. 5 lid 1, aanhef en onder c, AVG – inhoudt dat de persoonsgegevens toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Het cliëntenonderzoek op grond van de Wwft en het bewaren van daarbij gebruikte documenten en gegevens 3.5.1 Voor de rechtmatigheid van het vastleggen en bewaren van foto’s van natuurlijke personen (al dan niet via een kopie van het identiteitsbewijs) door instellingen in het kader van de identificatie van hun cliënten, is het volgende van belang. 3.5.2 Een instelling is op grond van art. 3 lid 1 in verbinding met art. 3 lid 5, aanhef en onder a en b, Wwft verplicht ter voorkoming van witwassen en financieren van terrorisme een cliëntenonderzoek te verrichten bij (onder meer) het aangaan van een zakelijke relatie met de cliënt en het verrichten van een incidentele transactie ten behoeve van de cliënt van ten minste € 15.000. Deze verplichting vloeit voort uit de (gewijzigde) Europese vierde anti-witwasrichtlijn. Sinds de inwerkingtreding van de Implementatiewet vierde anti-witwasrichtlijn in 2018 dient de instelling bij eerste gelegenheid een nieuw cliëntenonderzoek te verrichten bij bestaande cliënten (art. 38 lid 1 Wwft). 3.5.3 Het cliëntenonderzoek stelt de instelling onder meer in staat de cliënt te identificeren en diens identiteit te verifiëren (art. 3 lid 2, aanhef en onder a, Wwft). Identificeren is het opgave laten doen van de identiteit; verifiëren betreft het vaststellen dat de opgegeven identiteit overeenkomt met de werkelijke identiteit (art. 1 lid 1 Wwft). Verificatie van de identiteit van een natuurlijke persoon vindt plaats aan de hand van documenten, gegevens of inlichtingen uit betrouwbare en onafhankelijke bron (art. 11 lid 1 Wwft). Bij ministeriële regeling is een aantal documenten aangewezen op basis waarvan kan worden voldaan aan art. 11 lid 1 Wwft, waaronder een geldig paspoort, Nederlandse identiteitskaart of Nederlands rijbewijs (art. 4 lid 1 van de Uitvoeringsregeling Wwft). Een geldig paspoort, Nederlandse identiteitskaart of Nederlands rijbewijs is voorzien van een pasfoto. (Andere) foto’s behoren niet tot de opsomming van aangewezen documenten. De opsomming is evenwel niet-limitatief zodat de verificatie ook kan plaatsvinden aan de hand van andere documenten, gegevens of inlichtingen uit onafhankelijke bron. Volgens de toelichting op de Uitvoeringsregeling Wwft houdt dit verband met de ‘principle based benadering’ van de Wwft: voorgeschreven is tot welk resultaat het cliëntenonderzoek moet leiden maar niet hoe het onderzoek dient te worden uitgevoerd. 3.5.4 Art. 33 Wwft bevat regels voor instellingen voor het bewaren van bewijsstukken. Deze bepaling luidt, voor zover relevant, als volgt: “1 Een instelling die op grond van deze wet cliëntenonderzoek heeft verricht (…) legt op opvraagbare wijze de documenten en gegevens vast die zijn gebruikt voor de naleving van het bepaalde in artikel 3, tweede tot en met vierde lid (…). 2 Onder de documenten en gegevens, bedoeld in het eerste lid, zijn ten minste begrepen: a. van natuurlijke personen (…): 1°. de geslachtsnaam, de voornamen, de geboortedatum, het adres en de woonplaats, dan wel de plaats van vestiging van de cliënt alsmede van degene die namens die natuurlijke persoon optreedt, of een afschrift van het document dat een persoonidentificerend nummer bevat en aan de hand waarvan de verificatie van de identiteit heeft plaatsgevonden; 2°. de aard, het nummer en de datum en plaats van uitgifte van het document met behulp waarvan de identiteit is geverifieerd; (…) 3 Een instelling bewaart de in het eerste en tweede lid bedoelde gegevens op toegankelijke wijze gedurende vijf jaar na het tijdstip van het beëindigen van de zakelijke relatie of gedurende vijf jaar na het uitvoeren van de desbetreffende transactie.” Uit art. 33 lid 1 en lid 3 Wwft volgt dat de instelling verplicht is om de documenten en gegevens die zijn gebruikt voor het cliëntenonderzoek op opvraagbare wijze vast te leggen en gedurende vijf jaar te bewaren na het einde van de zakelijke relatie of de incidentele transactie. Het tweede lid van art. 33 Wwft specificeert welke gegevens en documenten die zijn gebruikt voor de identificatie van de cliënt en de verificatie van diens identiteit, bewaard moeten worden. Uitleg art. 33 lid 2, aanhef en onder a.1º, Wwft: verplichting tot bewaren kopie identiteitsbewijs (inclusief pasfoto)? 3.6.1 De tekst van art. 33 lid 2, aanhef en onder a.1º, Wwft impliceert dat het vastleggen en bewaren van de kopie van het identiteitsbewijs een alternatief is voor het vastleggen van de geslachtsnaam, de voornamen, de geboortedatum, het adres en de woon- of vestigingsplaats van de cliënt.

Het onderdeel klaagt dat dit oordeel onjuist is, omdat daarmee wordt miskend dat art. 33 Wwft geen grondslag biedt voor het opslaan van pasfoto’s, laat staan een verplichting daartoe schept. Bij het ontbreken van een verplichting tot, althans een wettelijke grondslag voor het opslaan van pasfoto’s is dat in strijd met het recht op bescherming van de persoonlijke levenssfeer, en meer specifiek het beginsel van minimale gegevensbescherming dat ten grondslag ligt aan de AVG. Een dergelijke opslag is niet noodzakelijk en voorzienbaar, te minder omdat uit een pasfoto het ras of de etnische afkomst van betrokkene blijkt en verwerking van deze persoonsgegevens verboden is (art. 9 lid 1 AVG), aldus onderdeel 2. Verwerking van persoonsgegevens op grond van de AVG 3.4.1 Bij het vastleggen en bewaren van een foto van het gezicht van een natuurlijke persoon door een instelling, zoals ICS, is sprake van verwerking van persoonsgegevens in de zin van de AVG. Bij de verwerking van persoonsgegevens moeten de in art. 5 lid 1 AVG neergelegde beginselen in acht worden genomen, waaronder het beginsel dat elke verwerking van persoonsgegevens rechtmatig, behoorlijk en transparant is (art. 5 lid 1, aanhef en onder a, AVG) en het beginsel van minimale gegevensverwerking (art. 5 lid 1, aanhef en onder c, AVG). 3.4.2 Het verwerken van persoonsgegevens is op grond van art. 6 lid 1 AVG alleen rechtmatig indien en voor zover de verwerking berust op een van de in die bepaling genoemde grondslagen. Dat is onder meer het geval indien de verwerking noodzakelijk is om te voldoen aan een wettelijke verplichting die rust op de verwerkingsverantwoordelijke (art. 6 lid 1, aanhef en onder c, AVG). Die grondslag is voor deze zaak relevant omdat in het oordeel van het hof besloten ligt dat de verwerking van persoonsgegevens – waaronder het bewaren van pasfoto’s – noodzakelijk is om te voldoen aan de op ICS rustende verplichting uit de Wwft om de persoonsgegevens te bewaren die zij heeft verkregen met het oog op de identificatie en verificatie van haar cliënten (zie rov. 5.4). Art. 6 lid 3 AVG bepaalt dat de wettelijke verplichting moet worden vastgesteld bij Unierecht of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is. Uit punt 41 van de considerans van de AVG volgt dat dit niet noodzakelijkerwijs een door een parlement vastgestelde wetgevingshandeling vereist, maar wél dat de rechtsgrond of wetgevingsmaatregel duidelijk en nauwkeurig moet zijn en dat de toepassing daarvan voorspelbaar moet zijn voor degenen op wie deze van toepassing is. Ook vermeldt punt 45 van de considerans dat de AVG niet voor elke afzonderlijke gegevensverwerking specifieke wetgeving vereist, maar dat kan worden volstaan met wetgeving die als basis fungeert voor verscheidene gegevensverwerkingen op grond van een wettelijke verplichting die op de verwerkingsverantwoordelijke rust. Art. 6 lid 3 AVG bepaalt als hoofdregel voorts dat het Unierecht of lidstatelijk recht het doel van de verwerking moet vaststellen, moet beantwoorden aan een doelstelling van algemeen belang en evenredig moet zijn met het nagestreefde doel. In het noodzakelijkheidsvereiste van art. 6 lid 1, aanhef en onder c, AVG ligt verder besloten dat de verwerkingsverantwoordelijke niet meer persoonsgegevens mag verwerken dan nodig is voor de uitvoering van de wettelijke verplichting. Dit strookt met het beginsel van minimale gegevensverwerking, dat – zoals blijkt uit art. 5 lid 1, aanhef en onder c, AVG – inhoudt dat de persoonsgegevens toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Het cliëntenonderzoek op grond van de Wwft en het bewaren van daarbij gebruikte documenten en gegevens 3.5.1 Voor de rechtmatigheid van het vastleggen en bewaren van foto’s van natuurlijke personen (al dan niet via een kopie van het identiteitsbewijs) door instellingen in het kader van de identificatie van hun cliënten, is het volgende van belang. 3.5.2 Een instelling is op grond van art. 3 lid 1 in verbinding met art. 3 lid 5, aanhef en onder a en b, Wwft verplicht ter voorkoming van witwassen en financieren van terrorisme een cliëntenonderzoek te verrichten bij (onder meer) het aangaan van een zakelijke relatie met de cliënt en het verrichten van een incidentele transactie ten behoeve van de cliënt van ten minste € 15.000. Deze verplichting vloeit voort uit de (gewijzigde) Europese vierde anti-witwasrichtlijn. Sinds de inwerkingtreding van de Implementatiewet vierde anti-witwasrichtlijn in 2018 dient de instelling bij eerste gelegenheid een nieuw cliëntenonderzoek te verrichten bij bestaande cliënten (art. 38 lid 1 Wwft). 3.5.3 Het cliëntenonderzoek stelt de instelling onder meer in staat de cliënt te identificeren en diens identiteit te verifiëren (art. 3 lid 2, aanhef en onder a, Wwft). Identificeren is het opgave laten doen van de identiteit; verifiëren betreft het vaststellen dat de opgegeven identiteit overeenkomt met de werkelijke identiteit (art. 1 lid 1 Wwft). Verificatie van de identiteit van een natuurlijke persoon vindt plaats aan de hand van documenten, gegevens of inlichtingen uit betrouwbare en onafhankelijke bron (art. 11 lid 1 Wwft). Bij ministeriële regeling is een aantal documenten aangewezen op basis waarvan kan worden voldaan aan art. 11 lid 1 Wwft, waaronder een geldig paspoort, Nederlandse identiteitskaart of Nederlands rijbewijs (art. 4 lid 1 van de Uitvoeringsregeling Wwft). Een geldig paspoort, Nederlandse identiteitskaart of Nederlands rijbewijs is voorzien van een pasfoto. (Andere) foto’s behoren niet tot de opsomming van aangewezen documenten. De opsomming is evenwel niet-limitatief zodat de verificatie ook kan plaatsvinden aan de hand van andere documenten, gegevens of inlichtingen uit onafhankelijke bron. Volgens de toelichting op de Uitvoeringsregeling Wwft houdt dit verband met de ‘principle based benadering’ van de Wwft: voorgeschreven is tot welk resultaat het cliëntenonderzoek moet leiden maar niet hoe het onderzoek dient te worden uitgevoerd. 3.5.4 Art. 33 Wwft bevat regels voor instellingen voor het bewaren van bewijsstukken. Deze bepaling luidt, voor zover relevant, als volgt: “1 Een instelling die op grond van deze wet cliëntenonderzoek heeft verricht (…) legt op opvraagbare wijze de documenten en gegevens vast die zijn gebruikt voor de naleving van het bepaalde in artikel 3, tweede tot en met vierde lid (…). 2 Onder de documenten en gegevens, bedoeld in het eerste lid, zijn ten minste begrepen: a. van natuurlijke personen (…): 1°. de geslachtsnaam, de voornamen, de geboortedatum, het adres en de woonplaats, dan wel de plaats van vestiging van de cliënt alsmede van degene die namens die natuurlijke persoon optreedt, of een afschrift van het document dat een persoonidentificerend nummer bevat en aan de hand waarvan de verificatie van de identiteit heeft plaatsgevonden; 2°. de aard, het nummer en de datum en plaats van uitgifte van het document met behulp waarvan de identiteit is geverifieerd; (…) 3 Een instelling bewaart de in het eerste en tweede lid bedoelde gegevens op toegankelijke wijze gedurende vijf jaar na het tijdstip van het beëindigen van de zakelijke relatie of gedurende vijf jaar na het uitvoeren van de desbetreffende transactie.” Uit art. 33 lid 1 en lid 3 Wwft volgt dat de instelling verplicht is om de documenten en gegevens die zijn gebruikt voor het cliëntenonderzoek op opvraagbare wijze vast te leggen en gedurende vijf jaar te bewaren na het einde van de zakelijke relatie of de incidentele transactie. Het tweede lid van art. 33 Wwft specificeert welke gegevens en documenten die zijn gebruikt voor de identificatie van de cliënt en de verificatie van diens identiteit, bewaard moeten worden. Uitleg art. 33 lid 2, aanhef en onder a.1º, Wwft: verplichting tot bewaren kopie identiteitsbewijs (inclusief pasfoto)? 3.6.1 De tekst van art. 33 lid 2, aanhef en onder a.1º, Wwft impliceert dat het vastleggen en bewaren van de kopie van het identiteitsbewijs een alternatief is voor het vastleggen van de geslachtsnaam, de voornamen, de geboortedatum, het adres en de woon- of vestigingsplaats van de cliënt.

Over deze alternatieve mogelijkheid staat in de memorie van toelichting: “Een instelling dient de nodige aandacht te besteden aan het vastleggen van de gegevens van de cliënt. De gegevens uit het cliëntenonderzoek worden immers vastgelegd om in die gevallen waar dat aan de orde is, een melding te verrichten aan het meldpunt, of te kunnen voldoen aan een bevel van een opsporingsinstantie. Om op een efficiënte wijze te voldoen aan de verplichting tot het vastleggen van gegevens wordt in dit artikel de mogelijkheid geboden een afschrift van het document aan de hand waarvan de identificatie heeft plaats gevonden, vast te leggen. Deze verwerking van persoonsgegevens valt onder de Wet bescherming persoonsgegevens (Wbp). De grondslag voor de toelaatbaarheid van de verwerking van persoonsgegevens door een instelling, ligt in artikel 8, onder c, van de Wbp.” 3.6.2 Mede in het licht van de hierboven geciteerde toelichting is art. 33 lid 2, aanhef en onder a.1º, Wwft vatbaar voor verschillende interpretaties: (i) De instelling is niet verplicht om een kopie van het bij het cliëntenonderzoek gebruikte identiteitsbewijs vast te leggen en te bewaren, omdat zij volgens de bepaling kan kiezen tussen het vastleggen van de in de bepaling genoemde gegevens en het bewaren van een kopie. Voor deze uitleg pleit dat volgens de toelichting met dit artikel de mogelijkheid wordt geboden tot het vastleggen van een afschrift van het document aan de hand waarvan de identificatie heeft plaatsgevonden, als efficiënte wijze van vastlegging van de in die bepaling genoemde gegevens. Dit zou betekenen dat wanneer de instelling kiest voor het bewaren van een kopie van het identiteitsbewijs, die verwerking van persoonsgegevens niet kan worden aangemerkt als ‘noodzakelijk om te voldoen aan een wettelijke verplichting’ als bedoeld in art. 6 lid 1, aanhef en onder c, AVG. De instelling kan immers om aan haar wettelijke verplichting te voldoen ook kiezen voor het (voor de betrokkene minder bezwaarlijke) alternatief van het vastleggen van de in art. 33 lid 2, aanhef en onder a.1º, Wwft genoemde gegevens. (ii) De instelling voldoet aan een op haar rustende verplichting indien zij een afschrift van het bij het cliëntenonderzoek gebruikte identiteitsbewijs vastlegt en bewaart. Uit de toelichting zou kunnen worden afgeleid dat de wetgever de keuzemogelijkheid tussen het vastleggen van de in art. 33 lid 2, aanhef en onder a.1º, Wwft genoemde gegevens en het bewaren van een kopie van het identiteitsbewijs als één wettelijke verplichting heeft gezien. De toelichting verwijst immers als grondslag voor de verwerking van persoonsgegevens naar art. 8, onder c, Wet bescherming persoonsgegevens (hierna: Wbp (oud)), waarin als grond was opgenomen dat de gegevensverwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke onderworpen is. Dit zou betekenen dat, hoewel de instelling volgens de tekst van de wet kan kiezen uit twee mogelijkheden, ieder van die mogelijkheden voldoet aan de grondslag ‘noodzakelijk om te voldoen aan een wettelijke verplichting’. Dat gold ten tijde van de memorie van toelichting op de Wwft voor art. 8, onder c, Wbp (oud), en thans voor art. 6 lid 1, aanhef en onder c, AVG. In de hiervoor onder (ii) genoemde uitleg van art. 33 lid 2, aanhef en onder a.1º, Wwft kan voorts op twee manieren worden gedacht over de reikwijdte van de verplichting tot het bewaren van de kopie van het identiteitsbewijs: a. de verplichting betreft slechts de in art. 33 lid 2, aanhef en onder a.1º, Wwft genoemde gegevens die op de kopie zichtbaar zijn. Dit zou betekenen dat er geen verplichting bestaat voor de instelling om een kopie van het identiteitsbewijs te bewaren met inbegrip van de daarop aangebrachte foto. De andere mogelijkheid om aan de verplichting van art. 33 lid 2, aanhef en onder a.1º, Wwft te voldoen – het vastleggen van de aldaar genoemde persoonsgegevens – omvat immers niet de informatie die op een foto zichtbaar is. De instelling dient deze foto (en overige, niet in art. 33 lid 2, aanhef en onder a.1º, Wwft genoemde, gegevens) te maskeren. b. de verplichting betreft in beginsel ook de op het identiteitsbewijs aangebrachte foto en andere, niet in art. 33 lid 2, aanhef en onder a.1º, Wwft genoemde gegevens die op het identiteitsbewijs staan. De wettekst maakt daarvoor immers geen uitzondering. 3.6.3 Bij de beantwoording van de vraag hoe art. 33 lid 2, aanhef en onder a.1º, Wwft moet worden uitgelegd kan van belang zijn of art. 40 lid 1 van de (gewijzigde) vierde anti-witwasrichtlijn van de lidstaten verlangt dat het bewaren van een (volledige) kopie van het identiteitsbewijs dat is gebruikt bij de verificatie van de identiteit van een cliënt verplicht wordt gesteld. De wetgever heeft immers met de hiervoor genoemde bepalingen in art. 33 Wwft uitvoering willen geven aan art. 40 lid 1 van de (gewijzigde) vierde anti-witwasrichtlijn. Bij de implementatie van de vierde anti-witwasrichtlijn heeft de wetgever art. 33 Wwft op diverse onderdelen gewijzigd, maar niet op het onderdeel van de keuzemogelijkheid tussen het vastleggen en bewaren van de geslachtsnaam, de voornamen, de geboortedatum, het adres en de woon- of vestigingsplaats van de cliënt en het vastleggen en bewaren van een kopie van het identiteitsbewijs. Zoals blijkt uit de memorie van toelichting, zijn bij de in het tweede lid opgenomen specificatie van de te bewaren gegevens en documenten, gebruikt voor de identificatie van de cliënt en de verificatie van diens identiteit, grotendeels de bestaande verplichtingen van art. 33 Wwft gevolgd. Art. 40 lid 1 vierde anti-witwasrichtlijn 3.7.1 Art 40 lid 1 vierde anti-witwasrichtlijn luidt, voor zover van belang: “1. De lidstaten verlangen dat meldingsplichtige entiteiten overeenkomstig het nationale recht met het oog op het voorkomen, opsporen of onderzoeken door de FIE of door andere bevoegde autoriteiten van mogelijke gevallen van witwassen of terrorismefinanciering, de volgende documenten en informatie bewaren: a) wat het cliëntenonderzoek betreft, een afschrift van de documenten en inlichtingen die nodig zijn voor het naleven van de cliëntenonderzoeksvoorschriften vastgelegd in hoofdstuk II, met inbegrip van, indien beschikbaar, informatie verkregen via elektronische identificatiemiddelen, relevante vertrouwensdiensten zoals bedoeld in Verordening (EU) nr. 910/2014 of ieder ander identificatieproces dat veilig is, op afstand of langs elektronische weg plaatsvindt en door de relevante nationale autoriteiten is gereglementeerd, erkend, goedgekeurd of aanvaard, gedurende een termijn van vijf jaar vanaf het einde van de zakelijke relatie met hun cliënt of vanaf de datum van een occasionele transactie; (…)” 3.7.2 Niet duidelijk is of uit art. 40 lid 1, aanhef en onder a, van de vierde anti-witwasrichtlijn voortvloeit dat de lidstaten meldingsplichtige entiteiten dienen te verplichten tot het bewaren van een (volledige) kopie van een identiteitsbewijs dat is gebruikt bij de verificatie van de identiteit van een natuurlijke persoon in het kader van een cliëntenonderzoek. Uit de bepaling volgt dat bewaard moet worden ‘een afschrift van de documenten (…) die nodig zijn voor het naleven van de cliëntenonderzoeksvoorschriften vastgelegd in hoofdstuk II’. Hoofdstuk II van de richtlijn bevat evenwel geen bepalingen waaruit blijkt welke documenten nodig zijn voor de voorgeschreven identificatie en verificatie van de identiteit van een cliënt in het kader van een cliëntenonderzoek. Art. 13 lid 1, aanhef en onder a, van de richtlijn bepaalt slechts, voor zover van belang, dat cliëntenonderzoeksmaatregelen omvatten ‘de identificatie van de cliënt en verificatie van zijn identiteit op basis van documenten, gegevens of informatie uit een betrouwbare en onafhankelijke bron’. Het ligt voor de hand dat een identiteitsbewijs kan worden aangemerkt als een document uit een betrouwbare en onafhankelijke bron en derhalve een afschrift daarvan bewaard zou moeten worden als het identiteitsbewijs is gebruikt voor de identificatie van de cliënt. 3.7.3 Anders dan het geval was op grond van art.

Over deze alternatieve mogelijkheid staat in de memorie van toelichting: “Een instelling dient de nodige aandacht te besteden aan het vastleggen van de gegevens van de cliënt. De gegevens uit het cliëntenonderzoek worden immers vastgelegd om in die gevallen waar dat aan de orde is, een melding te verrichten aan het meldpunt, of te kunnen voldoen aan een bevel van een opsporingsinstantie. Om op een efficiënte wijze te voldoen aan de verplichting tot het vastleggen van gegevens wordt in dit artikel de mogelijkheid geboden een afschrift van het document aan de hand waarvan de identificatie heeft plaats gevonden, vast te leggen. Deze verwerking van persoonsgegevens valt onder de Wet bescherming persoonsgegevens (Wbp). De grondslag voor de toelaatbaarheid van de verwerking van persoonsgegevens door een instelling, ligt in artikel 8, onder c, van de Wbp.” 3.6.2 Mede in het licht van de hierboven geciteerde toelichting is art. 33 lid 2, aanhef en onder a.1º, Wwft vatbaar voor verschillende interpretaties: (i) De instelling is niet verplicht om een kopie van het bij het cliëntenonderzoek gebruikte identiteitsbewijs vast te leggen en te bewaren, omdat zij volgens de bepaling kan kiezen tussen het vastleggen van de in de bepaling genoemde gegevens en het bewaren van een kopie. Voor deze uitleg pleit dat volgens de toelichting met dit artikel de mogelijkheid wordt geboden tot het vastleggen van een afschrift van het document aan de hand waarvan de identificatie heeft plaatsgevonden, als efficiënte wijze van vastlegging van de in die bepaling genoemde gegevens. Dit zou betekenen dat wanneer de instelling kiest voor het bewaren van een kopie van het identiteitsbewijs, die verwerking van persoonsgegevens niet kan worden aangemerkt als ‘noodzakelijk om te voldoen aan een wettelijke verplichting’ als bedoeld in art. 6 lid 1, aanhef en onder c, AVG. De instelling kan immers om aan haar wettelijke verplichting te voldoen ook kiezen voor het (voor de betrokkene minder bezwaarlijke) alternatief van het vastleggen van de in art. 33 lid 2, aanhef en onder a.1º, Wwft genoemde gegevens. (ii) De instelling voldoet aan een op haar rustende verplichting indien zij een afschrift van het bij het cliëntenonderzoek gebruikte identiteitsbewijs vastlegt en bewaart. Uit de toelichting zou kunnen worden afgeleid dat de wetgever de keuzemogelijkheid tussen het vastleggen van de in art. 33 lid 2, aanhef en onder a.1º, Wwft genoemde gegevens en het bewaren van een kopie van het identiteitsbewijs als één wettelijke verplichting heeft gezien. De toelichting verwijst immers als grondslag voor de verwerking van persoonsgegevens naar art. 8, onder c, Wet bescherming persoonsgegevens (hierna: Wbp (oud)), waarin als grond was opgenomen dat de gegevensverwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke onderworpen is. Dit zou betekenen dat, hoewel de instelling volgens de tekst van de wet kan kiezen uit twee mogelijkheden, ieder van die mogelijkheden voldoet aan de grondslag ‘noodzakelijk om te voldoen aan een wettelijke verplichting’. Dat gold ten tijde van de memorie van toelichting op de Wwft voor art. 8, onder c, Wbp (oud), en thans voor art. 6 lid 1, aanhef en onder c, AVG. In de hiervoor onder (ii) genoemde uitleg van art. 33 lid 2, aanhef en onder a.1º, Wwft kan voorts op twee manieren worden gedacht over de reikwijdte van de verplichting tot het bewaren van de kopie van het identiteitsbewijs: a. de verplichting betreft slechts de in art. 33 lid 2, aanhef en onder a.1º, Wwft genoemde gegevens die op de kopie zichtbaar zijn. Dit zou betekenen dat er geen verplichting bestaat voor de instelling om een kopie van het identiteitsbewijs te bewaren met inbegrip van de daarop aangebrachte foto. De andere mogelijkheid om aan de verplichting van art. 33 lid 2, aanhef en onder a.1º, Wwft te voldoen – het vastleggen van de aldaar genoemde persoonsgegevens – omvat immers niet de informatie die op een foto zichtbaar is. De instelling dient deze foto (en overige, niet in art. 33 lid 2, aanhef en onder a.1º, Wwft genoemde, gegevens) te maskeren. b. de verplichting betreft in beginsel ook de op het identiteitsbewijs aangebrachte foto en andere, niet in art. 33 lid 2, aanhef en onder a.1º, Wwft genoemde gegevens die op het identiteitsbewijs staan. De wettekst maakt daarvoor immers geen uitzondering. 3.6.3 Bij de beantwoording van de vraag hoe art. 33 lid 2, aanhef en onder a.1º, Wwft moet worden uitgelegd kan van belang zijn of art. 40 lid 1 van de (gewijzigde) vierde anti-witwasrichtlijn van de lidstaten verlangt dat het bewaren van een (volledige) kopie van het identiteitsbewijs dat is gebruikt bij de verificatie van de identiteit van een cliënt verplicht wordt gesteld. De wetgever heeft immers met de hiervoor genoemde bepalingen in art. 33 Wwft uitvoering willen geven aan art. 40 lid 1 van de (gewijzigde) vierde anti-witwasrichtlijn. Bij de implementatie van de vierde anti-witwasrichtlijn heeft de wetgever art. 33 Wwft op diverse onderdelen gewijzigd, maar niet op het onderdeel van de keuzemogelijkheid tussen het vastleggen en bewaren van de geslachtsnaam, de voornamen, de geboortedatum, het adres en de woon- of vestigingsplaats van de cliënt en het vastleggen en bewaren van een kopie van het identiteitsbewijs. Zoals blijkt uit de memorie van toelichting, zijn bij de in het tweede lid opgenomen specificatie van de te bewaren gegevens en documenten, gebruikt voor de identificatie van de cliënt en de verificatie van diens identiteit, grotendeels de bestaande verplichtingen van art. 33 Wwft gevolgd. Art. 40 lid 1 vierde anti-witwasrichtlijn 3.7.1 Art 40 lid 1 vierde anti-witwasrichtlijn luidt, voor zover van belang: “1. De lidstaten verlangen dat meldingsplichtige entiteiten overeenkomstig het nationale recht met het oog op het voorkomen, opsporen of onderzoeken door de FIE of door andere bevoegde autoriteiten van mogelijke gevallen van witwassen of terrorismefinanciering, de volgende documenten en informatie bewaren: a) wat het cliëntenonderzoek betreft, een afschrift van de documenten en inlichtingen die nodig zijn voor het naleven van de cliëntenonderzoeksvoorschriften vastgelegd in hoofdstuk II, met inbegrip van, indien beschikbaar, informatie verkregen via elektronische identificatiemiddelen, relevante vertrouwensdiensten zoals bedoeld in Verordening (EU) nr. 910/2014 of ieder ander identificatieproces dat veilig is, op afstand of langs elektronische weg plaatsvindt en door de relevante nationale autoriteiten is gereglementeerd, erkend, goedgekeurd of aanvaard, gedurende een termijn van vijf jaar vanaf het einde van de zakelijke relatie met hun cliënt of vanaf de datum van een occasionele transactie; (…)” 3.7.2 Niet duidelijk is of uit art. 40 lid 1, aanhef en onder a, van de vierde anti-witwasrichtlijn voortvloeit dat de lidstaten meldingsplichtige entiteiten dienen te verplichten tot het bewaren van een (volledige) kopie van een identiteitsbewijs dat is gebruikt bij de verificatie van de identiteit van een natuurlijke persoon in het kader van een cliëntenonderzoek. Uit de bepaling volgt dat bewaard moet worden ‘een afschrift van de documenten (…) die nodig zijn voor het naleven van de cliëntenonderzoeksvoorschriften vastgelegd in hoofdstuk II’. Hoofdstuk II van de richtlijn bevat evenwel geen bepalingen waaruit blijkt welke documenten nodig zijn voor de voorgeschreven identificatie en verificatie van de identiteit van een cliënt in het kader van een cliëntenonderzoek. Art. 13 lid 1, aanhef en onder a, van de richtlijn bepaalt slechts, voor zover van belang, dat cliëntenonderzoeksmaatregelen omvatten ‘de identificatie van de cliënt en verificatie van zijn identiteit op basis van documenten, gegevens of informatie uit een betrouwbare en onafhankelijke bron’. Het ligt voor de hand dat een identiteitsbewijs kan worden aangemerkt als een document uit een betrouwbare en onafhankelijke bron en derhalve een afschrift daarvan bewaard zou moeten worden als het identiteitsbewijs is gebruikt voor de identificatie van de cliënt. 3.7.3 Anders dan het geval was op grond van art.

Over deze alternatieve mogelijkheid staat in de memorie van toelichting: “Een instelling dient de nodige aandacht te besteden aan het vastleggen van de gegevens van de cliënt. De gegevens uit het cliëntenonderzoek worden immers vastgelegd om in die gevallen waar dat aan de orde is, een melding te verrichten aan het meldpunt, of te kunnen voldoen aan een bevel van een opsporingsinstantie. Om op een efficiënte wijze te voldoen aan de verplichting tot het vastleggen van gegevens wordt in dit artikel de mogelijkheid geboden een afschrift van het document aan de hand waarvan de identificatie heeft plaats gevonden, vast te leggen. Deze verwerking van persoonsgegevens valt onder de Wet bescherming persoonsgegevens (Wbp). De grondslag voor de toelaatbaarheid van de verwerking van persoonsgegevens door een instelling, ligt in artikel 8, onder c, van de Wbp.” 3.6.2 Mede in het licht van de hierboven geciteerde toelichting is art. 33 lid 2, aanhef en onder a.1º, Wwft vatbaar voor verschillende interpretaties: (i) De instelling is niet verplicht om een kopie van het bij het cliëntenonderzoek gebruikte identiteitsbewijs vast te leggen en te bewaren, omdat zij volgens de bepaling kan kiezen tussen het vastleggen van de in de bepaling genoemde gegevens en het bewaren van een kopie. Voor deze uitleg pleit dat volgens de toelichting met dit artikel de mogelijkheid wordt geboden tot het vastleggen van een afschrift van het document aan de hand waarvan de identificatie heeft plaatsgevonden, als efficiënte wijze van vastlegging van de in die bepaling genoemde gegevens. Dit zou betekenen dat wanneer de instelling kiest voor het bewaren van een kopie van het identiteitsbewijs, die verwerking van persoonsgegevens niet kan worden aangemerkt als ‘noodzakelijk om te voldoen aan een wettelijke verplichting’ als bedoeld in art. 6 lid 1, aanhef en onder c, AVG. De instelling kan immers om aan haar wettelijke verplichting te voldoen ook kiezen voor het (voor de betrokkene minder bezwaarlijke) alternatief van het vastleggen van de in art. 33 lid 2, aanhef en onder a.1º, Wwft genoemde gegevens. (ii) De instelling voldoet aan een op haar rustende verplichting indien zij een afschrift van het bij het cliëntenonderzoek gebruikte identiteitsbewijs vastlegt en bewaart. Uit de toelichting zou kunnen worden afgeleid dat de wetgever de keuzemogelijkheid tussen het vastleggen van de in art. 33 lid 2, aanhef en onder a.1º, Wwft genoemde gegevens en het bewaren van een kopie van het identiteitsbewijs als één wettelijke verplichting heeft gezien. De toelichting verwijst immers als grondslag voor de verwerking van persoonsgegevens naar art. 8, onder c, Wet bescherming persoonsgegevens (hierna: Wbp (oud)), waarin als grond was opgenomen dat de gegevensverwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke onderworpen is. Dit zou betekenen dat, hoewel de instelling volgens de tekst van de wet kan kiezen uit twee mogelijkheden, ieder van die mogelijkheden voldoet aan de grondslag ‘noodzakelijk om te voldoen aan een wettelijke verplichting’. Dat gold ten tijde van de memorie van toelichting op de Wwft voor art. 8, onder c, Wbp (oud), en thans voor art. 6 lid 1, aanhef en onder c, AVG. In de hiervoor onder (ii) genoemde uitleg van art. 33 lid 2, aanhef en onder a.1º, Wwft kan voorts op twee manieren worden gedacht over de reikwijdte van de verplichting tot het bewaren van de kopie van het identiteitsbewijs: a. de verplichting betreft slechts de in art. 33 lid 2, aanhef en onder a.1º, Wwft genoemde gegevens die op de kopie zichtbaar zijn. Dit zou betekenen dat er geen verplichting bestaat voor de instelling om een kopie van het identiteitsbewijs te bewaren met inbegrip van de daarop aangebrachte foto. De andere mogelijkheid om aan de verplichting van art. 33 lid 2, aanhef en onder a.1º, Wwft te voldoen – het vastleggen van de aldaar genoemde persoonsgegevens – omvat immers niet de informatie die op een foto zichtbaar is. De instelling dient deze foto (en overige, niet in art. 33 lid 2, aanhef en onder a.1º, Wwft genoemde, gegevens) te maskeren. b. de verplichting betreft in beginsel ook de op het identiteitsbewijs aangebrachte foto en andere, niet in art. 33 lid 2, aanhef en onder a.1º, Wwft genoemde gegevens die op het identiteitsbewijs staan. De wettekst maakt daarvoor immers geen uitzondering. 3.6.3 Bij de beantwoording van de vraag hoe art. 33 lid 2, aanhef en onder a.1º, Wwft moet worden uitgelegd kan van belang zijn of art. 40 lid 1 van de (gewijzigde) vierde anti-witwasrichtlijn van de lidstaten verlangt dat het bewaren van een (volledige) kopie van het identiteitsbewijs dat is gebruikt bij de verificatie van de identiteit van een cliënt verplicht wordt gesteld. De wetgever heeft immers met de hiervoor genoemde bepalingen in art. 33 Wwft uitvoering willen geven aan art. 40 lid 1 van de (gewijzigde) vierde anti-witwasrichtlijn. Bij de implementatie van de vierde anti-witwasrichtlijn heeft de wetgever art. 33 Wwft op diverse onderdelen gewijzigd, maar niet op het onderdeel van de keuzemogelijkheid tussen het vastleggen en bewaren van de geslachtsnaam, de voornamen, de geboortedatum, het adres en de woon- of vestigingsplaats van de cliënt en het vastleggen en bewaren van een kopie van het identiteitsbewijs. Zoals blijkt uit de memorie van toelichting, zijn bij de in het tweede lid opgenomen specificatie van de te bewaren gegevens en documenten, gebruikt voor de identificatie van de cliënt en de verificatie van diens identiteit, grotendeels de bestaande verplichtingen van art. 33 Wwft gevolgd. Art. 40 lid 1 vierde anti-witwasrichtlijn 3.7.1 Art 40 lid 1 vierde anti-witwasrichtlijn luidt, voor zover van belang: “1. De lidstaten verlangen dat meldingsplichtige entiteiten overeenkomstig het nationale recht met het oog op het voorkomen, opsporen of onderzoeken door de FIE of door andere bevoegde autoriteiten van mogelijke gevallen van witwassen of terrorismefinanciering, de volgende documenten en informatie bewaren: a) wat het cliëntenonderzoek betreft, een afschrift van de documenten en inlichtingen die nodig zijn voor het naleven van de cliëntenonderzoeksvoorschriften vastgelegd in hoofdstuk II, met inbegrip van, indien beschikbaar, informatie verkregen via elektronische identificatiemiddelen, relevante vertrouwensdiensten zoals bedoeld in Verordening (EU) nr. 910/2014 of ieder ander identificatieproces dat veilig is, op afstand of langs elektronische weg plaatsvindt en door de relevante nationale autoriteiten is gereglementeerd, erkend, goedgekeurd of aanvaard, gedurende een termijn van vijf jaar vanaf het einde van de zakelijke relatie met hun cliënt of vanaf de datum van een occasionele transactie; (…)” 3.7.2 Niet duidelijk is of uit art. 40 lid 1, aanhef en onder a, van de vierde anti-witwasrichtlijn voortvloeit dat de lidstaten meldingsplichtige entiteiten dienen te verplichten tot het bewaren van een (volledige) kopie van een identiteitsbewijs dat is gebruikt bij de verificatie van de identiteit van een natuurlijke persoon in het kader van een cliëntenonderzoek. Uit de bepaling volgt dat bewaard moet worden ‘een afschrift van de documenten (…) die nodig zijn voor het naleven van de cliëntenonderzoeksvoorschriften vastgelegd in hoofdstuk II’. Hoofdstuk II van de richtlijn bevat evenwel geen bepalingen waaruit blijkt welke documenten nodig zijn voor de voorgeschreven identificatie en verificatie van de identiteit van een cliënt in het kader van een cliëntenonderzoek. Art. 13 lid 1, aanhef en onder a, van de richtlijn bepaalt slechts, voor zover van belang, dat cliëntenonderzoeksmaatregelen omvatten ‘de identificatie van de cliënt en verificatie van zijn identiteit op basis van documenten, gegevens of informatie uit een betrouwbare en onafhankelijke bron’. Het ligt voor de hand dat een identiteitsbewijs kan worden aangemerkt als een document uit een betrouwbare en onafhankelijke bron en derhalve een afschrift daarvan bewaard zou moeten worden als het identiteitsbewijs is gebruikt voor de identificatie van de cliënt. 3.7.3 Anders dan het geval was op grond van art.

30 van de derde anti-witwasrichtlijn en in de toekomst het geval lijkt te zijn op grond van art. 77 lid 2 van de (nog niet van toepassing zijnde) Verordening (EU) 2024/1624 tot voorkoming van het gebruik van het financiële stelsel voor witwassen of terrorismefinanciering van 31 mei 2024 , volgt niet uit art. 40 lid 1, aanhef en onder a, van de vierde anti-witwasrichtlijn dat volstaan zou kunnen worden met het bewaren van ‘verwijzingen’ naar documenten, zoals een identiteitsbewijs (zie ook de conclusie van de Advocaat-Generaal onder 4.46-4.47 en voetnoot 49). 3.7.4 Indien art. 40 lid 1, aanhef en onder a, van de (gewijzigde) vierde anti-witwasrichtlijn inderdaad zo moet worden uitgelegd dat de lidstaten meldingsplichtige entiteiten dienen te verplichten tot het bewaren van een (volledige) kopie van een identiteitsbewijs dat is gebruikt bij de verificatie van de identiteit van een natuurlijke persoon in het kader van een cliëntenonderzoek, en art. 33 lid 2, aanhef en onder a.1º, Wwft in overeenstemming daarmee zou worden geïnterpreteerd, rijst de vraag hoe een dergelijke verplichting zich verhoudt tot de AVG. Verhouding tussen een eventuele bewaarplicht en de AVG 3.8.1 Zoals volgt uit hetgeen hiervoor in 3.4.2 is overwogen ten aanzien van art. 6 lid 3 AVG, dient een Unierechtelijke of lidstatelijke verplichting tot gegevensverwerking een doelstelling van algemeen belang te dienen en mag deze verplichting niet verder gaan dan noodzakelijk is om dat doel te bereiken. Het beginsel van minimale gegevensverwerking (art. 5 lid 1, aanhef en onder c, AVG) brengt ook mee dat de te verwerken persoonsgegevens ter zake dienend moeten zijn en proportioneel met het daarmee te dienen doel. De vraag rijst of een verplichting tot het bewaren van een (volledige) kopie van een identiteitsbewijs dat is gebruikt bij een cliëntenonderzoek geschikt is om het daarmee te dienen doel te verwezenlijken en evenredig is aan dat doel. 3.8.2 Het doel van art. 40 lid 1 van de (gewijzigde) vierde anti-witwasrichtlijn is blijkens de tekst van die bepaling gelegen in het voorkomen, opsporen en onderzoeken van (mogelijke gevallen van) witwassen of terrorismefinanciering. In de toelichting op art. 33 Wwft is vermeld dat het vastleggen van de gegevens uit het cliëntenonderzoek ertoe strekt de instelling in staat te stellen om in die gevallen waar dat aan de orde is, een melding te verrichten aan het meldpunt, of te voldoen aan een bevel van een opsporingsinstantie. Op grond van de Wwft dient een instelling bij het doen van een melding van een verrichte of voorgenomen ongebruikelijke transactie onder meer de identiteit van de cliënt en de aard en het nummer van het identiteitsbewijs van de cliënt te verstrekken (zie art. 16 lid 2, aanhef en onder a en b, Wwft). De instelling is niet verplicht om daarbij een kopie van het identiteitsbewijs van de cliënt over te leggen. Evenmin is uitdrukkelijk wettelijk vastgelegd dat de Financiële inlichtingen eenheid dergelijke documenten bij de instelling mag opvragen (vgl. art. 17 lid 1 en 2 Wwft en art. 33 lid 4 Wwft). Tegen deze achtergrond valt daarom voorshands niet goed in te zien welke doelstelling van algemeen belang wordt gediend met het bewaren van een afschrift van een identiteitsbewijs. Het is twijfelachtig of het in de memorie van toelichting genoemde doel om op efficiënte wijze te kunnen voldoen aan de verplichting om de in art. 33 lid 2, aanhef en onder a.1º, Wwft genoemde gegevens vast te leggen, is aan te merken als een doelstelling van algemeen belang als bedoeld in art. 6 lid 3 AVG. Voorts is voor redelijke twijfel vatbaar of een verplichting tot het bewaren van een kopie van een identiteitsbewijs met inbegrip van de daarop aangebrachte pasfoto van de cliënt niet verder gaat dan noodzakelijk is om het doel te bereiken en of een dergelijke verplichting verenigbaar is met het beginsel van minimale gegevensverwerking. 3.8.3 Het HvJEU heeft zich nog niet uitgelaten over de vraag of art. 40 lid 1, aanhef en onder a, van de (gewijzigde) vierde anti-witwasrichtlijn, bezien in verhouding tot de hiervoor vermelde bepalingen van de AVG, aldus moet worden uitgelegd dat lidstaten meldingsplichtige entiteiten dienen te verplichten tot het bewaren van een (volledig) afschrift van een identiteitsbewijs dat is gebruikt in het kader van de verificatie van de identiteit van een cliënt ten behoeve van een cliëntenonderzoek. Nu uit het voorgaande volgt dat geen sprake is van een acte clair of acte éclairé, ziet de Hoge Raad grond om op de voet van art. 267 VWEU de hierna onder 5 vermelde prejudiciële vragen 1 en 2 te stellen aan het HvJEU. De antwoorden op de hierna onder 5 vermelde prejudiciële vragen 1 en 2 zijn van belang voor de verdere beoordeling van onderdeel 2 van het middel. 3.8.4 Zoals hiervoor in 3.2.1 al is overwogen, is het op grond van art. 9 AVG verboden bijzondere categorieën van persoonsgegevens te verwerken, tenzij een toegestane uitzondering van toepassing is. Dit roept de vraag op of – zoals onderdeel 2 van het middel betoogt – een foto waarop een gezicht van een persoon is afgebeeld kan worden aangemerkt als persoonsgegevens waaruit ras of etnische afkomst blijkt, een van de bijzondere categorieën van persoonsgegevens als bedoeld in art. 9 lid 1 AVG. Op grond van de Wbp (oud) heeft de Hoge Raad in 2010 geoordeeld dat uit een foto van een persoon informatie over het ras van die persoon kan worden afgeleid en dat deze daarom als “gevoelige informatie” moet worden aangemerkt, ongeacht of is beoogd de desbetreffende gevoelige informatie aan die foto’s te ontlenen. In het kader van de AVG bestaat onduidelijkheid over de vraag of, en zo ja onder welke omstandigheden, foto’s waarop personen zijn afgebeeld kunnen worden aangemerkt als persoonsgegevens waaruit ras of etnische afkomst blijkt. De hiervoor in 3.2.1 geciteerde passage uit punt 51 van de considerans van de AVG lijkt slechts betrekking te hebben op de kwalificatie van foto’s als biometrische gegevens, en sluit niet uit dat foto’s andere bijzondere categorieën van persoonsgegevens kunnen bevatten, zoals informatie over ras of etnische afkomst. Het citaat roept de vraag op of de kwalificatie van foto’s als bijzondere categorieën van persoonsgegevens, als bedoeld in art. 9 lid 1 AVG, afhangt van het doel waarmee de foto’s worden verwerkt. Niet uitgesloten is dat voor het antwoord op de vraag of foto’s kunnen worden aangemerkt als persoonsgegevens waaruit ras of etnische afkomst blijkt, van belang kan zijn of de foto’s worden verwerkt met het oogmerk om onderscheid te maken naar ras of etnische afkomst. Evenmin is uitgesloten dat relevant kan zijn of deze bijzondere persoonsgegevens met een voldoende mate van zekerheid kunnen worden afgeleid uit de foto’s. Het HvJEU heeft zich over deze vragen nog niet uitgelaten. Nu uit het voorgaande volgt dat geen sprake is van een acte clair of acte éclairé, ziet de Hoge Raad grond om de hierna onder 5 vermelde prejudiciële vragen 3, 3a en 3b te stellen aan het HvJEU. 3.8.5 De antwoorden op de hierna onder 5 vermelde prejudiciële vragen 3, 3a en 3b zijn van belang voor de verdere beoordeling van onderdeel 2 van het middel. Indien sprake is van persoonsgegevens waaruit ras of etnische afkomst blijkt, is de verwerking van deze gegevens slechts toegestaan in de in art. 9 lid 2 AVG genoemde gevallen. Bijvoorbeeld indien de verwerking noodzakelijk is om redenen van zwaarwegend algemeen belang, op grond van Unierecht of lidstatelijk recht, waarbij de evenredigheid met het nagestreefde doel wordt gewaarborgd, de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de fundamentele belangen van betrokkene (art. 9 lid 2, aanhef en onder g, AVG). In Nederland is in art. 25 Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) onder meer geregeld dat de verwerking van deze gegevens is toegestaan indien de verwerking geschiedt met het oog op de identificatie van de betrokkene, en slechts voor zover de verwerking voor dat doel onvermijdelijk is. 4.

30 van de derde anti-witwasrichtlijn en in de toekomst het geval lijkt te zijn op grond van art. 77 lid 2 van de (nog niet van toepassing zijnde) Verordening (EU) 2024/1624 tot voorkoming van het gebruik van het financiële stelsel voor witwassen of terrorismefinanciering van 31 mei 2024 , volgt niet uit art. 40 lid 1, aanhef en onder a, van de vierde anti-witwasrichtlijn dat volstaan zou kunnen worden met het bewaren van ‘verwijzingen’ naar documenten, zoals een identiteitsbewijs (zie ook de conclusie van de Advocaat-Generaal onder 4.46-4.47 en voetnoot 49). 3.7.4 Indien art. 40 lid 1, aanhef en onder a, van de (gewijzigde) vierde anti-witwasrichtlijn inderdaad zo moet worden uitgelegd dat de lidstaten meldingsplichtige entiteiten dienen te verplichten tot het bewaren van een (volledige) kopie van een identiteitsbewijs dat is gebruikt bij de verificatie van de identiteit van een natuurlijke persoon in het kader van een cliëntenonderzoek, en art. 33 lid 2, aanhef en onder a.1º, Wwft in overeenstemming daarmee zou worden geïnterpreteerd, rijst de vraag hoe een dergelijke verplichting zich verhoudt tot de AVG. Verhouding tussen een eventuele bewaarplicht en de AVG 3.8.1 Zoals volgt uit hetgeen hiervoor in 3.4.2 is overwogen ten aanzien van art. 6 lid 3 AVG, dient een Unierechtelijke of lidstatelijke verplichting tot gegevensverwerking een doelstelling van algemeen belang te dienen en mag deze verplichting niet verder gaan dan noodzakelijk is om dat doel te bereiken. Het beginsel van minimale gegevensverwerking (art. 5 lid 1, aanhef en onder c, AVG) brengt ook mee dat de te verwerken persoonsgegevens ter zake dienend moeten zijn en proportioneel met het daarmee te dienen doel. De vraag rijst of een verplichting tot het bewaren van een (volledige) kopie van een identiteitsbewijs dat is gebruikt bij een cliëntenonderzoek geschikt is om het daarmee te dienen doel te verwezenlijken en evenredig is aan dat doel. 3.8.2 Het doel van art. 40 lid 1 van de (gewijzigde) vierde anti-witwasrichtlijn is blijkens de tekst van die bepaling gelegen in het voorkomen, opsporen en onderzoeken van (mogelijke gevallen van) witwassen of terrorismefinanciering. In de toelichting op art. 33 Wwft is vermeld dat het vastleggen van de gegevens uit het cliëntenonderzoek ertoe strekt de instelling in staat te stellen om in die gevallen waar dat aan de orde is, een melding te verrichten aan het meldpunt, of te voldoen aan een bevel van een opsporingsinstantie. Op grond van de Wwft dient een instelling bij het doen van een melding van een verrichte of voorgenomen ongebruikelijke transactie onder meer de identiteit van de cliënt en de aard en het nummer van het identiteitsbewijs van de cliënt te verstrekken (zie art. 16 lid 2, aanhef en onder a en b, Wwft). De instelling is niet verplicht om daarbij een kopie van het identiteitsbewijs van de cliënt over te leggen. Evenmin is uitdrukkelijk wettelijk vastgelegd dat de Financiële inlichtingen eenheid dergelijke documenten bij de instelling mag opvragen (vgl. art. 17 lid 1 en 2 Wwft en art. 33 lid 4 Wwft). Tegen deze achtergrond valt daarom voorshands niet goed in te zien welke doelstelling van algemeen belang wordt gediend met het bewaren van een afschrift van een identiteitsbewijs. Het is twijfelachtig of het in de memorie van toelichting genoemde doel om op efficiënte wijze te kunnen voldoen aan de verplichting om de in art. 33 lid 2, aanhef en onder a.1º, Wwft genoemde gegevens vast te leggen, is aan te merken als een doelstelling van algemeen belang als bedoeld in art. 6 lid 3 AVG. Voorts is voor redelijke twijfel vatbaar of een verplichting tot het bewaren van een kopie van een identiteitsbewijs met inbegrip van de daarop aangebrachte pasfoto van de cliënt niet verder gaat dan noodzakelijk is om het doel te bereiken en of een dergelijke verplichting verenigbaar is met het beginsel van minimale gegevensverwerking. 3.8.3 Het HvJEU heeft zich nog niet uitgelaten over de vraag of art. 40 lid 1, aanhef en onder a, van de (gewijzigde) vierde anti-witwasrichtlijn, bezien in verhouding tot de hiervoor vermelde bepalingen van de AVG, aldus moet worden uitgelegd dat lidstaten meldingsplichtige entiteiten dienen te verplichten tot het bewaren van een (volledig) afschrift van een identiteitsbewijs dat is gebruikt in het kader van de verificatie van de identiteit van een cliënt ten behoeve van een cliëntenonderzoek. Nu uit het voorgaande volgt dat geen sprake is van een acte clair of acte éclairé, ziet de Hoge Raad grond om op de voet van art. 267 VWEU de hierna onder 5 vermelde prejudiciële vragen 1 en 2 te stellen aan het HvJEU. De antwoorden op de hierna onder 5 vermelde prejudiciële vragen 1 en 2 zijn van belang voor de verdere beoordeling van onderdeel 2 van het middel. 3.8.4 Zoals hiervoor in 3.2.1 al is overwogen, is het op grond van art. 9 AVG verboden bijzondere categorieën van persoonsgegevens te verwerken, tenzij een toegestane uitzondering van toepassing is. Dit roept de vraag op of – zoals onderdeel 2 van het middel betoogt – een foto waarop een gezicht van een persoon is afgebeeld kan worden aangemerkt als persoonsgegevens waaruit ras of etnische afkomst blijkt, een van de bijzondere categorieën van persoonsgegevens als bedoeld in art. 9 lid 1 AVG. Op grond van de Wbp (oud) heeft de Hoge Raad in 2010 geoordeeld dat uit een foto van een persoon informatie over het ras van die persoon kan worden afgeleid en dat deze daarom als “gevoelige informatie” moet worden aangemerkt, ongeacht of is beoogd de desbetreffende gevoelige informatie aan die foto’s te ontlenen. In het kader van de AVG bestaat onduidelijkheid over de vraag of, en zo ja onder welke omstandigheden, foto’s waarop personen zijn afgebeeld kunnen worden aangemerkt als persoonsgegevens waaruit ras of etnische afkomst blijkt. De hiervoor in 3.2.1 geciteerde passage uit punt 51 van de considerans van de AVG lijkt slechts betrekking te hebben op de kwalificatie van foto’s als biometrische gegevens, en sluit niet uit dat foto’s andere bijzondere categorieën van persoonsgegevens kunnen bevatten, zoals informatie over ras of etnische afkomst. Het citaat roept de vraag op of de kwalificatie van foto’s als bijzondere categorieën van persoonsgegevens, als bedoeld in art. 9 lid 1 AVG, afhangt van het doel waarmee de foto’s worden verwerkt. Niet uitgesloten is dat voor het antwoord op de vraag of foto’s kunnen worden aangemerkt als persoonsgegevens waaruit ras of etnische afkomst blijkt, van belang kan zijn of de foto’s worden verwerkt met het oogmerk om onderscheid te maken naar ras of etnische afkomst. Evenmin is uitgesloten dat relevant kan zijn of deze bijzondere persoonsgegevens met een voldoende mate van zekerheid kunnen worden afgeleid uit de foto’s. Het HvJEU heeft zich over deze vragen nog niet uitgelaten. Nu uit het voorgaande volgt dat geen sprake is van een acte clair of acte éclairé, ziet de Hoge Raad grond om de hierna onder 5 vermelde prejudiciële vragen 3, 3a en 3b te stellen aan het HvJEU. 3.8.5 De antwoorden op de hierna onder 5 vermelde prejudiciële vragen 3, 3a en 3b zijn van belang voor de verdere beoordeling van onderdeel 2 van het middel. Indien sprake is van persoonsgegevens waaruit ras of etnische afkomst blijkt, is de verwerking van deze gegevens slechts toegestaan in de in art. 9 lid 2 AVG genoemde gevallen. Bijvoorbeeld indien de verwerking noodzakelijk is om redenen van zwaarwegend algemeen belang, op grond van Unierecht of lidstatelijk recht, waarbij de evenredigheid met het nagestreefde doel wordt gewaarborgd, de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de fundamentele belangen van betrokkene (art. 9 lid 2, aanhef en onder g, AVG). In Nederland is in art. 25 Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) onder meer geregeld dat de verwerking van deze gegevens is toegestaan indien de verwerking geschiedt met het oog op de identificatie van de betrokkene, en slechts voor zover de verwerking voor dat doel onvermijdelijk is. 4.

30 van de derde anti-witwasrichtlijn en in de toekomst het geval lijkt te zijn op grond van art. 77 lid 2 van de (nog niet van toepassing zijnde) Verordening (EU) 2024/1624 tot voorkoming van het gebruik van het financiële stelsel voor witwassen of terrorismefinanciering van 31 mei 2024 , volgt niet uit art. 40 lid 1, aanhef en onder a, van de vierde anti-witwasrichtlijn dat volstaan zou kunnen worden met het bewaren van ‘verwijzingen’ naar documenten, zoals een identiteitsbewijs (zie ook de conclusie van de Advocaat-Generaal onder 4.46-4.47 en voetnoot 49). 3.7.4 Indien art. 40 lid 1, aanhef en onder a, van de (gewijzigde) vierde anti-witwasrichtlijn inderdaad zo moet worden uitgelegd dat de lidstaten meldingsplichtige entiteiten dienen te verplichten tot het bewaren van een (volledige) kopie van een identiteitsbewijs dat is gebruikt bij de verificatie van de identiteit van een natuurlijke persoon in het kader van een cliëntenonderzoek, en art. 33 lid 2, aanhef en onder a.1º, Wwft in overeenstemming daarmee zou worden geïnterpreteerd, rijst de vraag hoe een dergelijke verplichting zich verhoudt tot de AVG. Verhouding tussen een eventuele bewaarplicht en de AVG 3.8.1 Zoals volgt uit hetgeen hiervoor in 3.4.2 is overwogen ten aanzien van art. 6 lid 3 AVG, dient een Unierechtelijke of lidstatelijke verplichting tot gegevensverwerking een doelstelling van algemeen belang te dienen en mag deze verplichting niet verder gaan dan noodzakelijk is om dat doel te bereiken. Het beginsel van minimale gegevensverwerking (art. 5 lid 1, aanhef en onder c, AVG) brengt ook mee dat de te verwerken persoonsgegevens ter zake dienend moeten zijn en proportioneel met het daarmee te dienen doel. De vraag rijst of een verplichting tot het bewaren van een (volledige) kopie van een identiteitsbewijs dat is gebruikt bij een cliëntenonderzoek geschikt is om het daarmee te dienen doel te verwezenlijken en evenredig is aan dat doel. 3.8.2 Het doel van art. 40 lid 1 van de (gewijzigde) vierde anti-witwasrichtlijn is blijkens de tekst van die bepaling gelegen in het voorkomen, opsporen en onderzoeken van (mogelijke gevallen van) witwassen of terrorismefinanciering. In de toelichting op art. 33 Wwft is vermeld dat het vastleggen van de gegevens uit het cliëntenonderzoek ertoe strekt de instelling in staat te stellen om in die gevallen waar dat aan de orde is, een melding te verrichten aan het meldpunt, of te voldoen aan een bevel van een opsporingsinstantie. Op grond van de Wwft dient een instelling bij het doen van een melding van een verrichte of voorgenomen ongebruikelijke transactie onder meer de identiteit van de cliënt en de aard en het nummer van het identiteitsbewijs van de cliënt te verstrekken (zie art. 16 lid 2, aanhef en onder a en b, Wwft). De instelling is niet verplicht om daarbij een kopie van het identiteitsbewijs van de cliënt over te leggen. Evenmin is uitdrukkelijk wettelijk vastgelegd dat de Financiële inlichtingen eenheid dergelijke documenten bij de instelling mag opvragen (vgl. art. 17 lid 1 en 2 Wwft en art. 33 lid 4 Wwft). Tegen deze achtergrond valt daarom voorshands niet goed in te zien welke doelstelling van algemeen belang wordt gediend met het bewaren van een afschrift van een identiteitsbewijs. Het is twijfelachtig of het in de memorie van toelichting genoemde doel om op efficiënte wijze te kunnen voldoen aan de verplichting om de in art. 33 lid 2, aanhef en onder a.1º, Wwft genoemde gegevens vast te leggen, is aan te merken als een doelstelling van algemeen belang als bedoeld in art. 6 lid 3 AVG. Voorts is voor redelijke twijfel vatbaar of een verplichting tot het bewaren van een kopie van een identiteitsbewijs met inbegrip van de daarop aangebrachte pasfoto van de cliënt niet verder gaat dan noodzakelijk is om het doel te bereiken en of een dergelijke verplichting verenigbaar is met het beginsel van minimale gegevensverwerking. 3.8.3 Het HvJEU heeft zich nog niet uitgelaten over de vraag of art. 40 lid 1, aanhef en onder a, van de (gewijzigde) vierde anti-witwasrichtlijn, bezien in verhouding tot de hiervoor vermelde bepalingen van de AVG, aldus moet worden uitgelegd dat lidstaten meldingsplichtige entiteiten dienen te verplichten tot het bewaren van een (volledig) afschrift van een identiteitsbewijs dat is gebruikt in het kader van de verificatie van de identiteit van een cliënt ten behoeve van een cliëntenonderzoek. Nu uit het voorgaande volgt dat geen sprake is van een acte clair of acte éclairé, ziet de Hoge Raad grond om op de voet van art. 267 VWEU de hierna onder 5 vermelde prejudiciële vragen 1 en 2 te stellen aan het HvJEU. De antwoorden op de hierna onder 5 vermelde prejudiciële vragen 1 en 2 zijn van belang voor de verdere beoordeling van onderdeel 2 van het middel. 3.8.4 Zoals hiervoor in 3.2.1 al is overwogen, is het op grond van art. 9 AVG verboden bijzondere categorieën van persoonsgegevens te verwerken, tenzij een toegestane uitzondering van toepassing is. Dit roept de vraag op of – zoals onderdeel 2 van het middel betoogt – een foto waarop een gezicht van een persoon is afgebeeld kan worden aangemerkt als persoonsgegevens waaruit ras of etnische afkomst blijkt, een van de bijzondere categorieën van persoonsgegevens als bedoeld in art. 9 lid 1 AVG. Op grond van de Wbp (oud) heeft de Hoge Raad in 2010 geoordeeld dat uit een foto van een persoon informatie over het ras van die persoon kan worden afgeleid en dat deze daarom als “gevoelige informatie” moet worden aangemerkt, ongeacht of is beoogd de desbetreffende gevoelige informatie aan die foto’s te ontlenen. In het kader van de AVG bestaat onduidelijkheid over de vraag of, en zo ja onder welke omstandigheden, foto’s waarop personen zijn afgebeeld kunnen worden aangemerkt als persoonsgegevens waaruit ras of etnische afkomst blijkt. De hiervoor in 3.2.1 geciteerde passage uit punt 51 van de considerans van de AVG lijkt slechts betrekking te hebben op de kwalificatie van foto’s als biometrische gegevens, en sluit niet uit dat foto’s andere bijzondere categorieën van persoonsgegevens kunnen bevatten, zoals informatie over ras of etnische afkomst. Het citaat roept de vraag op of de kwalificatie van foto’s als bijzondere categorieën van persoonsgegevens, als bedoeld in art. 9 lid 1 AVG, afhangt van het doel waarmee de foto’s worden verwerkt. Niet uitgesloten is dat voor het antwoord op de vraag of foto’s kunnen worden aangemerkt als persoonsgegevens waaruit ras of etnische afkomst blijkt, van belang kan zijn of de foto’s worden verwerkt met het oogmerk om onderscheid te maken naar ras of etnische afkomst. Evenmin is uitgesloten dat relevant kan zijn of deze bijzondere persoonsgegevens met een voldoende mate van zekerheid kunnen worden afgeleid uit de foto’s. Het HvJEU heeft zich over deze vragen nog niet uitgelaten. Nu uit het voorgaande volgt dat geen sprake is van een acte clair of acte éclairé, ziet de Hoge Raad grond om de hierna onder 5 vermelde prejudiciële vragen 3, 3a en 3b te stellen aan het HvJEU. 3.8.5 De antwoorden op de hierna onder 5 vermelde prejudiciële vragen 3, 3a en 3b zijn van belang voor de verdere beoordeling van onderdeel 2 van het middel. Indien sprake is van persoonsgegevens waaruit ras of etnische afkomst blijkt, is de verwerking van deze gegevens slechts toegestaan in de in art. 9 lid 2 AVG genoemde gevallen. Bijvoorbeeld indien de verwerking noodzakelijk is om redenen van zwaarwegend algemeen belang, op grond van Unierecht of lidstatelijk recht, waarbij de evenredigheid met het nagestreefde doel wordt gewaarborgd, de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de fundamentele belangen van betrokkene (art. 9 lid 2, aanhef en onder g, AVG). In Nederland is in art. 25 Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) onder meer geregeld dat de verwerking van deze gegevens is toegestaan indien de verwerking geschiedt met het oog op de identificatie van de betrokkene, en slechts voor zover de verwerking voor dat doel onvermijdelijk is. 4.

Omschrijving van de uitgangspunten en feiten waarop de door het HvJEU te geven uitleg moet worden toegepast De Hoge Raad verwijst naar de hiervoor onder 2 vermelde uitgangspunten en feiten, waarvan in deze procedure moet worden uitgegaan. 5. Vragen van uitleg 1. Dient art. 40 lid 1, aanhef en onder a, van Richtlijn (EU) 2015/849 van 20 mei 2015 (de (gewijzigde) Europese vierde anti-witwasrichtlijn), mede bezien in verhouding tot art. 6 lid 3 van Verordening (EU) 2016/679 (Algemene verordening gegevensbescherming, AVG) en het in art. 5 lid 1, aanhef en onder c, AVG vervatte beginsel van minimale gegevensverwerking, aldus te worden uitgelegd dat de lidstaten meldingsplichtige entiteiten dienen te verplichten tot het bewaren van een afschrift van het identiteitsbewijs dat is gebruikt bij de verificatie van de identiteit van een cliënt in het kader van een cliëntenonderzoek? 2. Indien vraag 1 bevestigend moet worden beantwoord: omvat de door de lidstaten te implementeren bewaarplicht van de meldingsplichtige entiteiten dan een volledig afschrift van de relevante pagina’s van een identiteitsbewijs, met inbegrip van de op het identiteitsbewijs aangebrachte foto? 3. Kunnen foto’s waarop een persoon herkenbaar is afgebeeld, worden beschouwd als persoonsgegevens waaruit ras of etnische afkomst blijken als bedoeld in art. 9 lid 1 AVG, en zo ja, onder welke voorwaarden? a. Is in dat verband van belang of de desbetreffende foto wordt verwerkt met het doel of oogmerk om onderscheid te maken naar ras of etnische afkomst? b. Is in dit verband van belang of informatie over ras of etnische afkomst met een voldoende mate van zekerheid uit de desbetreffende foto kan worden afgeleid? 6 Uitlating partijen De Hoge Raad zal partijen in de gelegenheid stellen zich uit te laten over zijn voornemen prejudiciële vragen te stellen aan het HvJEU en over de hiervoor onder 5 geformuleerde vragen. 7 Beslissing De Hoge Raad verwijst de zaak naar 10 april 2026 voor de hiervoor onder 6 bedoelde uitlating van partijen. Dit arrest is gewezen door de vicepresident M.J. Kroeze als voorzitter en de raadsheren C.E. du Perron, A.E.B. ter Heide, S.J. Schaafsma en G.C. Makkink, en in het openbaar uitgesproken door de raadsheer A.E.B. ter Heide op 13 maart 2026 . Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), PbEU 2016, L 119/1. Richtlijn (EU) 2015/849 van het Europees Parlement en de Raad van 20 mei 2015 inzake de voorkoming van het gebruik van het financiële stelsel voor het witwassen van geld of terrorismefinanciering, tot wijziging van Verordening (EU) nr. 648/2012 van het Europees Parlement en de Raad en tot intrekking van Richtlijn 2005/60/EG van het Europees Parlement en de Raad en Richtlijn 2006/70/EG van de Commissie (PbEU 2015, L 141/73), nadien gewijzigd door Richtlijn (EU) 2018/843 van het Europees Parlement en de Raad van 30 mei 2018 tot wijziging van Richtlijn (EU) 2015/849 inzake de voorkoming van het gebruik van het financiële stelsel voor het witwassen van geld of terrorismefinanciering, en tot wijziging van de Richtlijnen 2009/138/EG en 2013/36/EU (PbEU 2018, L 156/43). Gerechtshof Amsterdam 5 maart 2024, ECLI:NL:GHAMS:2024:419. Vgl. EDPB, Richtsnoeren 3/2019 inzake de verwerking van persoonsgegevens door middel van videoapparatuur, versie 2.0, 29 januari 2020, nr. 77-82. Zie o.a. HvJEU 6 oktober 2021, zaak C-561/19, ECLI:EU:C:2021:799 (Consorzio Italian Management c.s./Rete Ferroviaria Italiana). Zie ook HR 3 december 2021, ECLI:NL:HR:2021:1814, rov. 3.1.5. Toelichting op de Uitvoeringsregeling Wwft, Stcrt. 2008, 142, p. 8. Kamerstukken II 2017/18, 34 808, nr. 3, p. 79. Kamerstukken II 2007/08, 31238, nr. 3, p. 35. Kamerstukken II 2017/18, 34 808, nr. 3, p. 79. Richtlijn 2005/60/EG van het Europees Parlement en de Raad van 26 oktober 2005 tot voorkoming van het gebruik van het financiële stelsel voor het witwassen van geld en de financiering van terrorisme, PbEU 2005, L 309/15. PbEU 2024/1624. Kamerstukken II 2007/08, 31238, nr. 3, p. 35. Kamerstukken II 2007/08, 31238, nr. 3, p. 35. HR 23 maart 2010, ECLI:NL:HR:2010:BK6331, rov. 2.6.

Omschrijving van de uitgangspunten en feiten waarop de door het HvJEU te geven uitleg moet worden toegepast De Hoge Raad verwijst naar de hiervoor onder 2 vermelde uitgangspunten en feiten, waarvan in deze procedure moet worden uitgegaan. 5. Vragen van uitleg 1. Dient art. 40 lid 1, aanhef en onder a, van Richtlijn (EU) 2015/849 van 20 mei 2015 (de (gewijzigde) Europese vierde anti-witwasrichtlijn), mede bezien in verhouding tot art. 6 lid 3 van Verordening (EU) 2016/679 (Algemene verordening gegevensbescherming, AVG) en het in art. 5 lid 1, aanhef en onder c, AVG vervatte beginsel van minimale gegevensverwerking, aldus te worden uitgelegd dat de lidstaten meldingsplichtige entiteiten dienen te verplichten tot het bewaren van een afschrift van het identiteitsbewijs dat is gebruikt bij de verificatie van de identiteit van een cliënt in het kader van een cliëntenonderzoek? 2. Indien vraag 1 bevestigend moet worden beantwoord: omvat de door de lidstaten te implementeren bewaarplicht van de meldingsplichtige entiteiten dan een volledig afschrift van de relevante pagina’s van een identiteitsbewijs, met inbegrip van de op het identiteitsbewijs aangebrachte foto? 3. Kunnen foto’s waarop een persoon herkenbaar is afgebeeld, worden beschouwd als persoonsgegevens waaruit ras of etnische afkomst blijken als bedoeld in art. 9 lid 1 AVG, en zo ja, onder welke voorwaarden? a. Is in dat verband van belang of de desbetreffende foto wordt verwerkt met het doel of oogmerk om onderscheid te maken naar ras of etnische afkomst? b. Is in dit verband van belang of informatie over ras of etnische afkomst met een voldoende mate van zekerheid uit de desbetreffende foto kan worden afgeleid? 6 Uitlating partijen De Hoge Raad zal partijen in de gelegenheid stellen zich uit te laten over zijn voornemen prejudiciële vragen te stellen aan het HvJEU en over de hiervoor onder 5 geformuleerde vragen. 7 Beslissing De Hoge Raad verwijst de zaak naar 10 april 2026 voor de hiervoor onder 6 bedoelde uitlating van partijen. Dit arrest is gewezen door de vicepresident M.J. Kroeze als voorzitter en de raadsheren C.E. du Perron, A.E.B. ter Heide, S.J. Schaafsma en G.C. Makkink, en in het openbaar uitgesproken door de raadsheer A.E.B. ter Heide op 13 maart 2026 . Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), PbEU 2016, L 119/1. Richtlijn (EU) 2015/849 van het Europees Parlement en de Raad van 20 mei 2015 inzake de voorkoming van het gebruik van het financiële stelsel voor het witwassen van geld of terrorismefinanciering, tot wijziging van Verordening (EU) nr. 648/2012 van het Europees Parlement en de Raad en tot intrekking van Richtlijn 2005/60/EG van het Europees Parlement en de Raad en Richtlijn 2006/70/EG van de Commissie (PbEU 2015, L 141/73), nadien gewijzigd door Richtlijn (EU) 2018/843 van het Europees Parlement en de Raad van 30 mei 2018 tot wijziging van Richtlijn (EU) 2015/849 inzake de voorkoming van het gebruik van het financiële stelsel voor het witwassen van geld of terrorismefinanciering, en tot wijziging van de Richtlijnen 2009/138/EG en 2013/36/EU (PbEU 2018, L 156/43). Gerechtshof Amsterdam 5 maart 2024, ECLI:NL:GHAMS:2024:419. Vgl. EDPB, Richtsnoeren 3/2019 inzake de verwerking van persoonsgegevens door middel van videoapparatuur, versie 2.0, 29 januari 2020, nr. 77-82. Zie o.a. HvJEU 6 oktober 2021, zaak C-561/19, ECLI:EU:C:2021:799 (Consorzio Italian Management c.s./Rete Ferroviaria Italiana). Zie ook HR 3 december 2021, ECLI:NL:HR:2021:1814, rov. 3.1.5. Toelichting op de Uitvoeringsregeling Wwft, Stcrt. 2008, 142, p. 8. Kamerstukken II 2017/18, 34 808, nr. 3, p. 79. Kamerstukken II 2007/08, 31238, nr. 3, p. 35. Kamerstukken II 2017/18, 34 808, nr. 3, p. 79. Richtlijn 2005/60/EG van het Europees Parlement en de Raad van 26 oktober 2005 tot voorkoming van het gebruik van het financiële stelsel voor het witwassen van geld en de financiering van terrorisme, PbEU 2005, L 309/15. PbEU 2024/1624. Kamerstukken II 2007/08, 31238, nr. 3, p. 35. Kamerstukken II 2007/08, 31238, nr. 3, p. 35. HR 23 maart 2010, ECLI:NL:HR:2010:BK6331, rov. 2.6.

Omschrijving van de uitgangspunten en feiten waarop de door het HvJEU te geven uitleg moet worden toegepast De Hoge Raad verwijst naar de hiervoor onder 2 vermelde uitgangspunten en feiten, waarvan in deze procedure moet worden uitgegaan. 5. Vragen van uitleg 1. Dient art. 40 lid 1, aanhef en onder a, van Richtlijn (EU) 2015/849 van 20 mei 2015 (de (gewijzigde) Europese vierde anti-witwasrichtlijn), mede bezien in verhouding tot art. 6 lid 3 van Verordening (EU) 2016/679 (Algemene verordening gegevensbescherming, AVG) en het in art. 5 lid 1, aanhef en onder c, AVG vervatte beginsel van minimale gegevensverwerking, aldus te worden uitgelegd dat de lidstaten meldingsplichtige entiteiten dienen te verplichten tot het bewaren van een afschrift van het identiteitsbewijs dat is gebruikt bij de verificatie van de identiteit van een cliënt in het kader van een cliëntenonderzoek? 2. Indien vraag 1 bevestigend moet worden beantwoord: omvat de door de lidstaten te implementeren bewaarplicht van de meldingsplichtige entiteiten dan een volledig afschrift van de relevante pagina’s van een identiteitsbewijs, met inbegrip van de op het identiteitsbewijs aangebrachte foto? 3. Kunnen foto’s waarop een persoon herkenbaar is afgebeeld, worden beschouwd als persoonsgegevens waaruit ras of etnische afkomst blijken als bedoeld in art. 9 lid 1 AVG, en zo ja, onder welke voorwaarden? a. Is in dat verband van belang of de desbetreffende foto wordt verwerkt met het doel of oogmerk om onderscheid te maken naar ras of etnische afkomst? b. Is in dit verband van belang of informatie over ras of etnische afkomst met een voldoende mate van zekerheid uit de desbetreffende foto kan worden afgeleid? 6 Uitlating partijen De Hoge Raad zal partijen in de gelegenheid stellen zich uit te laten over zijn voornemen prejudiciële vragen te stellen aan het HvJEU en over de hiervoor onder 5 geformuleerde vragen. 7 Beslissing De Hoge Raad verwijst de zaak naar 10 april 2026 voor de hiervoor onder 6 bedoelde uitlating van partijen. Dit arrest is gewezen door de vicepresident M.J. Kroeze als voorzitter en de raadsheren C.E. du Perron, A.E.B. ter Heide, S.J. Schaafsma en G.C. Makkink, en in het openbaar uitgesproken door de raadsheer A.E.B. ter Heide op 13 maart 2026 . Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), PbEU 2016, L 119/1. Richtlijn (EU) 2015/849 van het Europees Parlement en de Raad van 20 mei 2015 inzake de voorkoming van het gebruik van het financiële stelsel voor het witwassen van geld of terrorismefinanciering, tot wijziging van Verordening (EU) nr. 648/2012 van het Europees Parlement en de Raad en tot intrekking van Richtlijn 2005/60/EG van het Europees Parlement en de Raad en Richtlijn 2006/70/EG van de Commissie (PbEU 2015, L 141/73), nadien gewijzigd door Richtlijn (EU) 2018/843 van het Europees Parlement en de Raad van 30 mei 2018 tot wijziging van Richtlijn (EU) 2015/849 inzake de voorkoming van het gebruik van het financiële stelsel voor het witwassen van geld of terrorismefinanciering, en tot wijziging van de Richtlijnen 2009/138/EG en 2013/36/EU (PbEU 2018, L 156/43). Gerechtshof Amsterdam 5 maart 2024, ECLI:NL:GHAMS:2024:419. Vgl. EDPB, Richtsnoeren 3/2019 inzake de verwerking van persoonsgegevens door middel van videoapparatuur, versie 2.0, 29 januari 2020, nr. 77-82. Zie o.a. HvJEU 6 oktober 2021, zaak C-561/19, ECLI:EU:C:2021:799 (Consorzio Italian Management c.s./Rete Ferroviaria Italiana). Zie ook HR 3 december 2021, ECLI:NL:HR:2021:1814, rov. 3.1.5. Toelichting op de Uitvoeringsregeling Wwft, Stcrt. 2008, 142, p. 8. Kamerstukken II 2017/18, 34 808, nr. 3, p. 79. Kamerstukken II 2007/08, 31238, nr. 3, p. 35. Kamerstukken II 2017/18, 34 808, nr. 3, p. 79. Richtlijn 2005/60/EG van het Europees Parlement en de Raad van 26 oktober 2005 tot voorkoming van het gebruik van het financiële stelsel voor het witwassen van geld en de financiering van terrorisme, PbEU 2005, L 309/15. PbEU 2024/1624. Kamerstukken II 2007/08, 31238, nr. 3, p. 35. Kamerstukken II 2007/08, 31238, nr. 3, p. 35. HR 23 maart 2010, ECLI:NL:HR:2010:BK6331, rov. 2.6.