HR over de spanning tussen anti-witwasverplichtingen en privacyrecht

Hoge Raad 13 maart 2026, ECLI:NL:HR:2026:392

De Hoge Raad oordeelt in dit tussenarrest dat het enkele opslaan van een pasfoto geen verwerking van biometrische gegevens oplevert in de zin van de AVG, omdat de foto slechts de bron is waaruit biometrische gegevens kunnen worden afgeleid. De zaak betreft een creditcardmaatschappij die de overeenkomst met een kaarthoudster opzegt nadat deze weigert mee te werken aan online identificatie met een kopie van haar identiteitsbewijs en een selfie in het kader van de Wwft. Over de vraag of de Wwft en de vierde anti-witwasrichtlijn instellingen verplichten tot het bewaren van een kopie van een identiteitsbewijs inclusief pasfoto, en hoe die bewaarplicht zich verhoudt tot het AVG-beginsel van minimale gegevensverwerking, stelt de Hoge Raad prejudiciële vragen aan het Hof van Justitie van de Europese Unie. Tevens legt de Hoge Raad de vraag voor of foto's waarop personen herkenbaar zijn afgebeeld kunnen worden beschouwd als persoonsgegevens waaruit ras of etnische afkomst blijkt in de zin van art. 9 lid 1 AVG. Dit arrest is van belang voor alle Wwft-instellingen die kopieën van identiteitsbewijzen bewaren in het kader van cliëntenonderzoek.

Achtergrond

Creditcardmaatschappij International Card Services B.V. (hierna: ICS) en een natuurlijk persoon (hierna: de kaarthoudster) sluiten in 2008 een creditcardovereenkomst, op grond waarvan ICS aan de kaarthoudster een creditcard ter beschikking stelt. In juli 2020 verzoekt ICS de kaarthoudster om zich online te identificeren in het kader van een hernieuwd cliëntenonderzoek op grond van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft). Bij deze online identificatie dient de kaarthoudster met haar smartphone of tablet een foto van haar identiteitsbewijs en een foto van zichzelf (een zogenaamde selfie) te maken en deze aan ICS te versturen. ICS bewaart vervolgens de ontvangen kopie van het identiteitsbewijs met pasfoto.

De kaarthoudster geeft geen gevolg aan dit verzoek, ook niet na herhaalde herinneringen per e-mail en sms. Zij heeft principiële bezwaren tegen deze wijze van identificeren en in het bijzonder tegen het opslaan en bewaren van foto's door ICS. ICS blokkeert daarop de creditcard en zegt vervolgens de creditcardovereenkomst op per 10 november 2020, tenzij de kaarthoudster zich alsnog identificeert. De kaarthoudster volhardt in haar weigering en maakt een procedure aanhangig tegen ICS. Tijdens de procedure in eerste aanleg biedt ICS de kaarthoudster verschillende alternatieven aan voor de online identificatie. De kaarthoudster maakt van geen van die alternatieven gebruik.

De kaarthoudster vordert in deze procedure onder meer een veroordeling van ICS tot onmiddellijke reactivering van haar creditcard, een verbod aan ICS op het eenzijdig verbreken van de creditcardovereenkomst en een verklaring voor recht dat het opvragen, opslaan en verwerken van een pasfoto door ICS in welke vorm dan ook onrechtmatig is. De kantonrechter van de rechtbank Amsterdam wijst de vorderingen af. Het gerechtshof Amsterdam bekrachtigt dat vonnis op 5 maart 2024. Het hof oordeelt dat ICS de creditcardovereenkomst als duurovereenkomst naar maatstaven van redelijkheid en billijkheid (art. 6:248 BW) mocht opzeggen, dat de verwerking van persoonsgegevens in het kader van het Wwft-cliëntenonderzoek noodzakelijk is in de zin van de Algemene verordening gegevensbescherming (AVG) en dat de opslag van een foto niet kan worden aangemerkt als verwerking van een biometrisch gegeven.

De kaarthoudster is een natuurlijk persoon. De toepasselijke wetsartikelen zijn onder meer art. 3, 11, 33 en 38 Wwft, art. 4 van de Uitvoeringsregeling Wwft, art. 4 onder 14, art. 5, art. 6 en art. 9 AVG, alsmede art. 40 lid 1 van de (gewijzigde) Europese vierde anti-witwasrichtlijn (Richtlijn (EU) 2015/849). Over een opgelegde straf is geen sprake; het gaat om een civielrechtelijk geschil over de opzegging van een creditcardovereenkomst.

Middelen

In cassatie stelt de kaarthoudster twee middelen aan de orde.

Eerste middel

Het eerste middel richt zich tegen het oordeel van het hof dat het vastleggen dan wel opslaan van een pasfoto niet kan worden aangemerkt als een door de AVG in beginsel verboden verwerking van biometrische gegevens. De kaarthoudster klaagt dat het hof daarmee blijk geeft van een onjuiste opvatting omtrent het begrip "verwerking van biometrische gegevens" in art. 4, aanhef en onder 14, AVG.

Tweede middel

Het tweede middel keert zich tegen het oordeel van het hof dat het bewaren van een pasfoto, ook via een kopie van het identiteitsbewijs, door ICS is toegestaan op grond van de Wwft in het kader van de verplichting tot actualisering van de cliëntenonderzoeken. De kaarthoudster klaagt dat art. 33 Wwft geen grondslag biedt voor het opslaan van pasfoto's en dat bij het ontbreken van een dergelijke wettelijke grondslag de opslag in strijd is met het recht op bescherming van de persoonlijke levenssfeer, meer specifiek het beginsel van minimale gegevensverwerking uit de AVG. De kaarthoudster wijst er daarbij op dat uit een pasfoto het ras of de etnische afkomst van de betrokkene kan blijken, zodat verwerking van deze persoonsgegevens verboden is op grond van art. 9 lid 1 AVG.

Beoordeling Hoge Raad

Beoordeling eerste middel: pasfoto is geen biometrisch gegeven

De Hoge Raad verwerpt het eerste middel. De Hoge Raad overweegt dat op grond van art. 9 lid 1 AVG de verwerking verboden is van bijzondere categorieën van persoonsgegevens, waaronder biometrische gegevens met het oog op de unieke identificatie van een persoon. Art. 4, aanhef en onder 14, AVG definieert biometrische gegevens als persoonsgegevens die het resultaat zijn van een specifieke technische verwerking met betrekking tot de fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon, op grond waarvan eenduidige identificatie van die persoon mogelijk is of wordt bevestigd.

De Hoge Raad erkent dat uit het in de definitie genoemde voorbeeld van een "gezichtsafbeelding" zou kunnen worden afgeleid dat een foto waarop een gezicht van een persoon is afgebeeld onder de definitie valt. Uit de overige tekst van de bepaling, gelezen in samenhang met punt 51 van de considerans van de AVG, blijkt echter dat de verwerking van een foto met een gezichtsafbeelding slechts een verwerking van biometrische gegevens is, indien de foto voorwerp is van een specifieke technische verwerking die eenduidige identificatie mogelijk maakt of bevestigt. De persoonsgegevens die het resultaat zijn van die specifieke technische verwerking, zoals een biometrische template van een gezicht dat met behulp van gezichtsherkenningstechnologie is gegenereerd, zijn aan te merken als biometrische gegevens. De foto zelf is dan slechts de bron waaruit biometrische gegevens kunnen worden afgeleid, maar is niet zelf een biometrisch gegeven.

Het enkele vastleggen of opslaan van een foto met een gezichtsafbeelding impliceert daarom geen verwerking van biometrische gegevens als bedoeld in art. 4, aanhef en onder 14, AVG. Daaraan doet niet af dat de opgeslagen foto in de toekomst zou kunnen worden verwerkt met specifieke technische middelen om unieke identificatie mogelijk te maken. De Hoge Raad acht op dit punt geen aanleiding aanwezig om prejudiciële vragen te stellen aan het Hof van Justitie van de Europese Unie (HvJEU), omdat er redelijkerwijs geen twijfel bestaat over de uitleg van de bepaling.

Beoordeling tweede middel: prejudiciële vragen over de Wwft-bewaarplicht

Ten aanzien van het tweede middel slaat de Hoge Raad een andere koers in dan de Advocaat-Generaal, die in zijn conclusie van 14 maart 2025 adviseerde het cassatieberoep te verwerpen zonder prejudiciële vragen te stellen.

De Hoge Raad stelt vast dat bij het vastleggen en bewaren van een foto van het gezicht van een natuurlijke persoon door een instelling als ICS sprake is van verwerking van persoonsgegevens in de zin van de AVG. Het verwerken is alleen rechtmatig indien het berust op een van de in art. 6 lid 1 AVG genoemde grondslagen. In het oordeel van het hof ligt besloten dat het bewaren van pasfoto's noodzakelijk is om te voldoen aan een op ICS rustende wettelijke verplichting uit de Wwft (art. 6 lid 1, aanhef en onder c, AVG).

De Hoge Raad signaleert dat de tekst van art. 33 lid 2, aanhef en onder a.1, Wwft vatbaar is voor verschillende interpretaties. De bepaling biedt de instelling een keuze tussen enerzijds het vastleggen van de persoonsgegevens van de cliënt (geslachtsnaam, voornamen, geboortedatum, adres en woonplaats) en anderzijds het bewaren van een afschrift van het identiteitsbewijs. De Hoge Raad schetst daarbij meerdere mogelijke uitleggingen. Indien het bewaren van een kopie van het identiteitsbewijs een keuze is en geen verplichting, kan die verwerking niet worden aangemerkt als "noodzakelijk om te voldoen aan een wettelijke verplichting". Indien het bewaren wel als wettelijke verplichting geldt, rijst de vraag of die verplichting ook de pasfoto op het identiteitsbewijs omvat of dat de instelling de foto dient te maskeren.

De Hoge Raad overweegt dat bij de beantwoording van deze vragen de uitleg van art. 40 lid 1, aanhef en onder a, van de (gewijzigde) vierde anti-witwasrichtlijn van belang is, omdat de Nederlandse wetgever met art. 33 Wwft uitvoering heeft willen geven aan die richtlijnbepaling. De Hoge Raad wijst erop dat voorshands niet goed valt in te zien welke doelstelling van algemeen belang wordt gediend met het bewaren van een afschrift van een identiteitsbewijs, nu de instelling bij het melden van een ongebruikelijke transactie niet verplicht is een kopie van het identiteitsbewijs over te leggen. Het is twijfelachtig of het doel van "efficiënte vastlegging" een doelstelling van algemeen belang is als bedoeld in art. 6 lid 3 AVG. Ook betwijfelt de Hoge Raad of een bewaarplicht inclusief pasfoto verenigbaar is met het beginsel van minimale gegevensverwerking (art. 5 lid 1, aanhef en onder c, AVG).

Daarnaast werpt de Hoge Raad de vraag op of foto's waarop een persoon herkenbaar is afgebeeld, kunnen worden beschouwd als persoonsgegevens waaruit ras of etnische afkomst blijkt in de zin van art. 9 lid 1 AVG. De Hoge Raad wijst daarbij op zijn eerdere arrest uit 2010 (ECLI:NL:HR:2010:BK6331), waarin hij oordeelde dat uit een foto van een persoon informatie over het ras kan worden afgeleid en dat deze daarom als "gevoelige informatie" moet worden aangemerkt. In het kader van de AVG bestaat hierover nog onduidelijkheid, onder meer over de vraag of de kwalificatie afhangt van het doel waarmee de foto wordt verwerkt en of relevant is of informatie over ras of etnische afkomst met voldoende zekerheid uit de foto kan worden afgeleid.

Prejudiciële vragen aan het HvJEU

De Hoge Raad constateert dat op deze punten geen sprake is van een acte clair of acte éclairé en formuleert de volgende prejudiciële vragen aan het HvJEU:

1. Verplicht art. 40 lid 1, aanhef en onder a, van de vierde anti-witwasrichtlijn, mede bezien in verhouding tot art. 6 lid 3 AVG en het beginsel van minimale gegevensverwerking, de lidstaten om meldingsplichtige entiteiten te verplichten tot het bewaren van een afschrift van het identiteitsbewijs dat is gebruikt bij de verificatie van de identiteit?

2. Indien vraag 1 bevestigend wordt beantwoord: omvat die bewaarplicht dan een volledig afschrift van het identiteitsbewijs, met inbegrip van de pasfoto?

3. Kunnen foto's waarop een persoon herkenbaar is afgebeeld, worden beschouwd als persoonsgegevens waaruit ras of etnische afkomst blijkt (art. 9 lid 1 AVG), en zo ja, onder welke voorwaarden? In dat verband vraagt de Hoge Raad of relevant is of de foto wordt verwerkt met het doel onderscheid te maken naar ras of etnische afkomst (vraag 3a) en of relevant is of informatie over ras of etnische afkomst met voldoende zekerheid uit de foto kan worden afgeleid (vraag 3b).

De Hoge Raad stelt partijen in de gelegenheid zich op 10 april 2026 uit te laten over het voornemen prejudiciële vragen te stellen en over de formulering van die vragen.

Lees hier de volledige uitspraak.