Kopie identiteitsbewijs van een klant bewaren? Liever niet

Moet u een kopie van het identiteitsbewijs van een klant bewaren? In de meeste gevallen niet. Controleer het ID, noteer dat u het hebt gecontroleerd, en bewaar de kopie niet. Dat adviseert een Duitse toezichthouder voor gegevensbescherming, en het rust op twee beginselen van de AVG (GDPR): bewaar alleen de persoonsgegevens die uw doel nodig heeft, en alleen zo lang als het ze nodig heeft (artikel 5, lid 1, onder c en e). Elke opgeslagen kopie is een risico dat u zelf kiest. Hieronder de regel, de ene echte uitzondering, en wat u doet als u wel een kopie nodig hebt.

Kopie identiteitsbewijs klant bewaren? Controleren, noteren, verwijderen

De toezichthouder voor gegevensbescherming van Noordrijn-Westfalen, in Duitsland, loopt de alledaagse gevallen één voor één na: overeenkomsten, telefoonabonnementen, verhuur, inzageverzoeken en meer (LDI NRW, Duitstalig). Het patroon is telkens hetzelfde.

• Controleren. Bekijk het identiteitsbewijs om te bevestigen wie de klant is. De toezichthouder zegt dat u altijd moet nagaan of een kopie echt nodig is.
• Noteren. Noteer alleen wat de relatie nodig heeft. Voor een overeenkomst is dat meestal voor- en achternaam, adres en eventueel de geldigheidsdatum. De nummers van het ID noteren is daar niet toegestaan. Een korte notitie zoals “ID is getoond” legt de controle vast.
• Verwijderen. Waar de toezichthouder een kopie toestaat, zoals bij een telefoonabonnement of een inzageverzoek, moet u die vernietigen zodra de identificatie is gedaan. Archiveren is niet toegestaan; een notitie volstaat.

Dit is een Duits richtsnoer. De beginselen erachter zijn die van de AVG, dus ze gelden overal waar de AVG geldt.

De uitzondering: een wet die een volledige kopie vereist

Sommige bedrijven moeten een volledige kopie bewaren: banken en anderen die onder de anti-witwasregels vallen, en in het Verenigd Koninkrijk verhuurders en werkgevers voor hun right-to-rent- en right-to-work-controles. Welke controles dat zijn, en waarom een zwartgelakte kopie daarvoor niet volstaat: wanneer een volledige kopie van een identiteitsbewijs verplicht is.

Hebt u een kopie nodig? Vraag om een zwartgelakte, gemarkeerde kopie

Als geen wet een volledige kopie vereist, maar u een ID toch op afstand moet zien, vraag dan om minder dan het hele document. Waar een kopie dient om de identiteit te bevestigen bij een inzageverzoek, zegt de LDI NRW dat de overige gegevens mogen en moeten worden zwartgelakt, zoals toegangs- en serienummer, nationaliteit, lengte, kleur van de ogen, pasfoto en de machineleesbare zone. Klanten moeten vooraf horen dat ze dat mogen doen. De kopie moet bovendien herkenbaar zijn als kopie.

Uw klanten doen allebei gratis in Dress Docs, zonder account en zonder hun document te uploaden. Welke velden ze weglakken: wat u zwartlakt op een kopie van uw ID-kaart. Hoe ze de kopie markeren: een watermerk op een kopie van uw identiteitsbewijs. In Nederland kan dat ook met de KopieID-app van de Rijksoverheid, waarmee iemand gegevens zoals het BSN of de pasfoto laat wegstrepen en een watermerk toevoegt (Rijksoverheid).

Om erom te vragen, gebruikt u onze aanvraagkit: een lijst per document en een kant-en-klaar bericht. Voor identiteitsbewijzen staat daar eerst: tonen, niet sturen.

Wat u bewaart, kan uitlekken

Een kopie die u nooit hebt ontvangen, kan niet uit uw dossiers uitlekken. Een kopie die u bewaart, moet u beveiligen, terugvinden en op tijd verwijderen. De opslagbeperking van de AVG maakt dat een plicht, geen keuze: persoonsgegevens worden niet langer bewaard dan hun doel vereist.

Voor verhuurders dezelfde regel, stap voor stap: kopie identiteitsbewijs van een huurder en de AVG.

Dit artikel is geen juridisch advies. Ga na wat de wet van uw bedrijf vraagt.