Het Kifid kwam in een recente uitspraak tot twee belangrijke oordelen over het Wwft verplichte cliëntenonderzoek. De uitspraak gaat over het gebruik van de zogenaamde ‘liveness check’ en deze uitspraak is relevant voor alle financiële instellingen.
Ten eerste, instellingen hoeven geen genoegen te nemen met een kopietje van het paspoort en afgeleide identificatie. Een verificatiefilmpje (‘liveness check’) mag worden verlangd. Ten tweede, een liveness check betekent niet dat biometrische gegevens worden verwerkt. Een dergelijke check is daarom niet in strijd met de AVG.
De casus
Twee consumenten wilden een online privé-spaarrekening openen bij internetbank LeasePlan Bank. De verificatie van de identiteit bestond uit drie elementen: het uploaden van een paspoortfoto, het overmaken van een bedrag van 1 euro vanaf een andere bankrekening met dezelfde tenaamstelling en het opnemen en uploaden van een verificatiefilmpje.
Bij het verificatiefilmpje werden de aanvragers verzocht een liveness check te doen. Deze check houdt in dat de aanvrager in de camera kijkt, enkele getoonde cijfers opleest en het hoofd beide kanten op draait. Door middel van deze check wordt gecontroleerd of sprake is van een levend persoon, in plaats van een foto. De twee consumenten doorliepen de check niet, met als gevolg dat het Wwft-cliëntenonderzoek werd stopgezet en de spaarrekening niet werd geopend.
De consumenten dienden een klacht in bij het Kifid. Volgens de consumenten zou de bank ten onrechte een verificatiefilmpje verlangen en zou daarnaast biometrische gegevens verwerken. De consumenten betogen allereerst dat het Wwft-cliëntenonderzoek risico-georiënteerd mag geschieden en dat een verificatiefilmpje niet wettelijk vereist is. Bovendien worden bij een dergelijk filmpje biometrische gegevens verwerkt en dat is in strijd met de AVG. De voorwaarde dat naast een kopietje van het paspoort en afgeleide identificatie ook nog een verificatiefilmpje moet worden geüpload, is te zwaar en buitenproportioneel.
Alvorens tot een inhoudelijk oordeel te komen, stelt de Geschillencommissie vast dat zij ook klachten over privacyregelgeving mag behandelen.
Verificatiefilmpje noodzakelijk?
Het eerste inhoudelijke oordeel is dat de bank een verificatiefilmpje mag verlangen. De Geschillencommissie overweegt dat de bank terecht verwijst naar de DNB Leidraad Wwft en Sanctiewet uit 2020, waarin wordt aangegeven dat het mogelijk is om gebruik te maken van “innovatieve technologische oplossingen bij identificatie en verificatie op afstand”. Had de aanvraag plaatsgevonden voorafgaand aan de implementatie van de Vierde Anti-witwasrichtlijn, dan zouden de consumenten volgens mij wellicht in het gelijk zijn gesteld. Immers, in het toenmalige artikel 8 Wwft werd de zogenoemde ‘afgeleide identificatie’ als toereikend beschouwd. Maar dat artikel is verdwenen en sindsdien dienen instellingen zelf een beleid te hebben waarin is vastgelegd welke aanvullende maatregelen worden getroffen, naast een overboeking vanaf een andere eigen bankrekening. In dit geval betoogde de bank ook dat zij niet hoeft te vertrouwen op het verificatieproces van een andere bank.
Uiteraard speelt hier mogelijk een rol dat de bank in kwestie geen kantorennetwerk heeft. Feit blijft dan ook dat een bank of instelling met een baliefunctie niet verplicht is om fysieke verificatie aan te bieden. In januari 2023 heeft de Rechtbank Amsterdam met zoveel woorden overwogen dat een bank niet kan worden verplicht tot het bieden van een mogelijkheid voor een niet-digitale identificatie- en verificatieprocedure.
De Geschillencommissie concludeert dat, gezien de aard van de online bedrijfsvoering van de bank, een verificatiefilmpje noodzakelijk is om de identiteit van de rekeningaanvragers te verifiëren.
Liveness check in strijd met AVG?
Het tweede oordeel ziet op de vraag of een liveness check met zich meebrengt dat biometrische gegevens worden verwerkt. Het antwoord op die vraag bepaalt of er in strijd met de AVG wordt gehandeld.
Om hierover tot een oordeel te komen, heeft de Geschillencommissie advies gevraagd aan twee deskundigen. Het eerste advies ziet op de anti-witwasregelgeving zelf. Uit dit advies volgt dat de bestaande regelgeving ruimte biedt voor innovatieve technologische oplossingen, dus ook een liveness check.
Het tweede advies benadrukt het belang om vast te stellen of er sprake is van het verwerken van biometrische gegevens. Uit dit advies volgt dat het enkele feit dat een verificatiefilmpje moet worden aangeleverd, niet betekent dat ook biometrische gegevens worden verstrekt. Er is namelijk geen sprake van dat het de ‘technische middelen’ zijn die tot deze unieke identificatie of authenticatie komen, wat wel het geval zou zijn bij het inzetten van gezichtsherkenningssoftware.
De Geschillencommissie stelt dan ook vast dat – gelet op de adviezen – het enkele feit dat een verificatiefilmpje moet worden aangeleverd, niet betekent dat in strijd met de Wwft of de AVG wordt gehandeld. De consumenten hebben tegenover deze gemotiveerde betwisting van de bank niet nader onderbouwd dat in dit specifieke geval er wel degelijk sprake is van het verwerken van biometrische gegevens. De Geschillencommissie concludeert daarom dat het niet is komen vast te staan dat de bank met het verificatiefilmpje en de liveness check biometrische gegevens verwerkt.
Hoe verder?
Een financiële instelling mag van klanten verlangen dat hun identiteit wordt geverifieerd door een liveness check. Er bestaat geen recht op een fysieke verificatie. Wel geldt als voorwaarde voor een liveness check dat er geen biometrische gegevens worden verwerkt en dat het gebruik van technische middelen die tot de unieke identificatie of authenticatie komen – zoals gezichtsherkenningssoftware – niet is toegestaan, aldus de Geschillencommissie.
Financiële instellingen waaronder beleggingsondernemingen doen er goed aan om, als een liveness check wordt verlangd, in hun verificatiebeleid op te nemen hoe de liveness check dient te geschieden en meer in het bijzonder ervoor te waken dat biometrische gegevens niet worden verwerkt.
Felix Wolthuis Scheeres is advocaat bij Hart Advocaten, een van de kennisexperts van Investment Officer die maandelijks een bijdrage levert.