Hoge Raad twijfelt over bewaarplicht Wwft en verhouding AVG
“Nee, op dit moment is niet zeker dat een bank of kaartverstrekker op grond van de Wet ter voorkoming van witwassen en financieren terrorisme altijd een volledige kopie van uw identiteitsbewijs, inclusief pasfoto, mag of moet bewaren. De Hoge Raad oordeelt wel dat het opslaan van alleen een foto nog geen biometrische gegevensverwerking is. Maar hij wil prejudiciële vragen stellen aan het Hof van Justitie van de EU over de bewaarplicht en de verhouding met de AVG.”
In deze zaak tussen een kaarthoudster en International Card Services B.V. (ICS) staat centraal of een financiële instelling een creditcardovereenkomst mocht beëindigen nadat de klant weigerde online een identiteitsbewijs en selfie aan te leveren. De Hoge Raad wees op 13 maart 2026 een tussenarrest in ECLI:NL:HR:2026:392. Het gaat dus nog niet om een definitieve eindbeslissing. De zaak vloeit voort uit het arrest van het gerechtshof Amsterdam van 5 maart 2024, ECLI:NL:GHAMS:2024:419. Deze uitspraak is relevant voor ondernemers en particulieren. Veel banken, betaaldienstverleners en kredietverstrekkers beroepen zich bij Cliëntenonderzoek op de Wwft. Klanten stellen daar juist vragen over privacy, proportionaliteit en de vraag welke gegevens echt bewaard móéten worden.
Wat speelde er in ECLI:NL:HR:2026:392?
De kaarthoudster had sinds 2008 een creditcardovereenkomst met ICS. In 2020 vroeg ICS haar om zich opnieuw online te identificeren. Daarbij moest zij een foto van haar identiteitsbewijs uploaden en ook een selfie maken. Volgens ICS was dit nodig vanwege verplichtingen uit de Wet ter voorkoming van witwassen en financieren van terrorisme, de Wwft. ICS waarschuwde bovendien dat de kaart zou worden geblokkeerd en de overeenkomst zou worden beëindigd als de gevraagde identificatie uitbleef.
De kaarthoudster werkte niet mee. Zij had principiële bezwaren tegen deze manier van identificeren, vooral tegen het opslaan van de pasfoto op haar identiteitsbewijs en de selfie. Daarna blokkeerde ICS de creditcard en kondigde zij beëindiging van de overeenkomst aan. De klant stapte naar de rechter en vorderde onder meer reactivering van de kaart en een verklaring voor recht dat het opvragen, opslaan en verwerken van een pasfoto door ICS onrechtmatig was.
De kantonrechter wees haar vorderingen af. Het gerechtshof Amsterdam bekrachtigde dat oordeel in 2024. Het hof vond onder meer dat ICS de overeenkomst mocht opzeggen en dat de opslag van een foto niet als verboden verwerking van biometrische gegevens hoefde te gelden. In cassatie komt de zaak bij de Hoge Raad vooral neer op twee vragen. Is een opgeslagen foto een biometrisch gegeven in de zin van de AVG? En verplicht de Wwft financiële instellingen werkelijk om een kopie van het identiteitsbewijs met pasfoto te bewaren?
Wat heeft de Hoge Raad al beslist en wat nog niet?
Het belangrijke onderscheid in deze zaak is dat de Hoge Raad al één juridisch punt duidelijk heeft beantwoord. Over andere punten heeft hij nog geen definitieve knoop doorgehakt.
De Hoge Raad oordeelt in ECLI:NL:HR:2026:392 dat het enkele vastleggen of opslaan van een foto met een gezichtsafbeelding niet automatisch verwerking van biometrische gegevens oplevert in de zin van artikel 4 onder 14 AVG en artikel 9 AVG. Daarvoor is volgens de AVG méér nodig, namelijk een specifieke technische verwerking waarmee unieke identificatie mogelijk wordt of wordt bevestigd. Denk bijvoorbeeld aan een biometrische template die via gezichtsherkenningstechnologie uit een foto wordt afgeleid. De foto zelf is volgens de Hoge Raad in beginsel de bron waaruit biometrische gegevens kúnnen worden afgeleid. Maar zij is niet zonder meer zelf een biometrisch gegeven.
Dat is een belangrijk oordeel voor de praktijk. Veel consumenten en ondernemers denken dat iedere pasfoto of selfie automatisch onder het strenge biometrische regime van de AVG valt. De Hoge Raad zet daar dus een rem op. Een gewone opgeslagen foto is nog niet hetzelfde als gezichtsherkenning of biometrische profilering.
Maar daarmee is de zaak niet klaar. De Hoge Raad twijfelt namelijk wél over de uitleg van artikel 33 Wwft en artikel 40 van de vierde anti-witwasrichtlijn.
Twijfel over de bewaarplicht
Anders gezegd: moet een financiële instelling op grond van de Wwft daadwerkelijk een kopie van het identiteitsbewijs bewaren, en zo ja, moet dat dan ook inclusief pasfoto? Precies daarover wil de Hoge Raad prejudiciële vragen stellen aan het Hof van Justitie van de Europese Unie. Dit arrest is daarom een tussenarrest. De zaak is verwezen naar 10 april 2026 voor uitlating door partijen over die vragen. De verdere procedure staat dus nog open.
Waarom is het onderscheid tussen foto en biometrische gegevens zo belangrijk?
Voor cliënten is dit onderscheid van groot belang, omdat artikel 9 AVG in beginsel een verbod bevat op verwerking van bijzondere categorieën persoonsgegevens, waaronder biometrische gegevens met het oog op unieke identificatie. Als iedere pasfoto automatisch daaronder zou vallen, zouden veel identificatieprocessen van banken en kredietverstrekkers juridisch direct op losse schroeven staan.
De Hoge Raad volgt dat vergaande standpunt niet. Hij leest de definitie van biometrische gegevens in samenhang met overweging 51 van de AVG. Daaruit leidt hij af dat foto’s niet systematisch als bijzondere categorie persoonsgegevens mogen worden aangemerkt. Pas wanneer een foto met specifieke technische middelen wordt verwerkt voor unieke identificatie of authenticatie, kan sprake zijn van biometrische gegevens.
Voor de praktijk betekent dit dat een klant niet alleen met succes kan stellen: “Er staat een gezicht op de foto, dus dit is verboden biometrische verwerking.” Zo eenvoudig ligt het niet. Tegelijk betekent dit niet dat instellingen vrij spel hebben. Ook als geen sprake is van biometrische gegevens, blijft het opslaan van een pasfoto verwerking van gewone persoonsgegevens. Dan gelden nog steeds de basisbeginselen van de AVG: rechtmatigheid, transparantie, doelbinding, minimale gegevensverwerking en noodzakelijkheid.
Juist daardoor wordt deze uitspraak voor veel geschillen interessant. Banken en financiële instellingen zullen vaak wijzen op hun Wwft-verplichtingen, terwijl klanten kunnen tegenwerpen dat de instelling méér opslaat dan voor dat doel noodzakelijk is. Die discussie verschuift dus van “is dit biometrie?” naar “is dit echt nodig en is hiervoor een duidelijke wettelijke basis?”
Moet een bank op grond van de Wwft een kopie van het identiteitsbewijs bewaren?
Dat is op dit moment nog niet definitief beslist. De Hoge Raad ziet op dit punt reële twijfel en wil daarom uitleg van het Hof van Justitie.
Artikel 33 Wwft bepaalt dat een instelling de documenten en gegevens die zij heeft gebruikt voor het cliëntenonderzoek op opvraagbare wijze moet vastleggen en vijf jaar moet bewaren na het einde van de relatie. In lid 2 staat voor natuurlijke personen onder meer dat de naam, voornamen, geboortedatum, adres en woonplaats moeten worden vastgelegd, dan wel een afschrift van het document dat een persoonidentificerend nummer bevat en waarmee de identiteit is geverifieerd.
Precies dat “dan wel” is hier juridisch explosief. De Hoge Raad schetst meerdere mogelijke lezingen. De eerste lezing is dat de instelling een keuze heeft: ofwel de relevante persoonsgegevens noteren, ofwel een kopie van het identiteitsbewijs bewaren. Als dat zo is, is het bewaren van een kopie mogelijk niet “noodzakelijk om te voldoen aan een wettelijke verplichting” in de zin van artikel 6 lid 1 onder c AVG. Er bestaat dan immers een minder ingrijpend alternatief.
De tweede lezing is dat de wetgever beide routes heeft willen toestaan als invulling van één wettelijke verplichting. Dan zou het bewaren van een kopie van het identiteitsbewijs wél op een wettelijke grondslag kunnen rusten. Maar zelfs dan blijft nog de vraag hoe ver die bewaarplicht precies reikt. Moet een volledige kopie worden bewaard, inclusief pasfoto en andere zichtbare gegevens? Of mogen alleen de gegevens worden vastgelegd die de wet expliciet noemt, zodat de foto juist moet worden afgeschermd of gemaskeerd?
De Hoge Raad vindt dat deze vragen niet met voldoende zekerheid uit de Nederlandse wet of uit het Europese anti-witwasrecht kunnen worden beantwoord. Daarom wil hij prejudiciële vragen stellen over artikel 40 lid 1 van Richtlijn (EU) 2015/849, dus de vierde anti-witwasrichtlijn, in samenhang met artikel 6 lid 3 AVG en het beginsel van minimale gegevensverwerking uit artikel 5 lid 1 onder c AVG.
Wat betekent dit voor de verhouding tussen Wwft en AVG?
Deze zaak laat goed zien dat Wwft en AVG niet los van elkaar kunnen worden gelezen. De Wwft verplicht instellingen tot cliëntenonderzoek. De AVG bepaalt vervolgens onder welke voorwaarden persoonsgegevens daarvoor mogen worden verwerkt.
In de praktijk beroepen banken en andere financiële instellingen zich vaak stevig op hun wettelijke poortwachtersrol. Dat is begrijpelijk. Zij moeten cliënten identificeren, risico’s beoordelen en informatie bewaren. Maar de AVG eist dat de gekozen verwerking noodzakelijk, duidelijk en proportioneel is. Een algemene verwijzing naar “de Wwft” is dus niet altijd genoeg. De instelling moet kunnen uitleggen welke concrete wettelijke verplichting geldt, waarom het bewaren van juist die gegevens nodig is en waarom een minder ingrijpend alternatief niet volstaat.
Gevolgen voor klanten
Voor consumenten en ondernemers is dit belangrijk, omdat het laat zien dat niet ieder verzoek om een scan, kopie, pasfoto of selfie automatisch rechtmatig is enkel omdat een financiële instelling “Wwft” zegt. Tegelijk geldt ook het omgekeerde: een klant kan niet zonder meer elke medewerking weigeren. Cliëntenonderzoek is op zichzelf een reële wettelijke verplichting. Het geschil gaat vaak over de vorm, de omvang en de bewaartermijn van de gevraagde gegevens.
Kan een foto ook bijzondere persoonsgegevens over ras of etnische afkomst bevatten?
Ook daarover bestaat nog geen definitieve duidelijkheid. De Hoge Raad verwijst naar zijn oudere arrest van 23 maart 2010, ECLI:NL:HR:2010:BK6331, waarin hij onder het oude privacyrecht oordeelde dat uit een foto informatie over ras kan worden afgeleid. Onder de AVG vindt de Hoge Raad het echter niet voldoende duidelijk hoe dit nu precies moet worden beoordeeld.
Daarom wil hij ook hierover vragen stellen aan het Hof van Justitie. De kernvraag is of herkenbare foto’s kunnen gelden als persoonsgegevens waaruit ras of etnische afkomst blijken in de zin van artikel 9 lid 1 AVG. Daaronder vallen weer deelvragen. Bijvoorbeeld of het doel van de verwerking relevant is, en of bepalend is of ras of etnische afkomst met voldoende zekerheid uit de foto kan worden afgeleid.
Dit onderdeel kan later grote gevolgen hebben voor de praktijk. Als het Hof van Justitie hier een ruime uitleg geeft, kan de opslag van pasfoto’s in sommige situaties nog gevoeliger komen te liggen dan nu al het geval is. Voorlopig blijft dat dus onzeker.
Voor cliënten met een conflict met een bank of financiële dienstverlener is deze uitspraak over Wwft identificatie pasfoto relevant, juist omdat zij laat zien dat privacybezwaren niet kansloos zijn, maar ook dat volledige weigering van medewerking risico’s kan opleveren. Financieel Recht Advocaten behandelt geschillen over bankopzeggingen, hypotheekopzeggingen, EVR– en IVR-registraties, cliëntenonderzoek en andere conflicten met financiële instellingen. Heeft u een geschil over een beëindigde rekening, geweigerde dienstverlening of een registratie, dan kunt u vrijblijvend contact opnemen voor beoordeling van uw dossier.
Disclaimer: deze tekst geeft algemene informatie en is geen individueel juridisch advies; de beoordeling hangt altijd af van de feiten, de contractuele relatie en de manier waarop de instelling haar Wwft- en AVG-verplichtingen onderbouwt.
Praktische FAQ’s
Mag een bank of creditcardmaatschappij mij vragen om een selfie?
Ja, dat kan in beginsel, vooral in het kader van cliëntenonderzoek of heridentificatie. De juridische discussie gaat meestal niet over de vraag óf identificatie mag worden gevraagd, maar over de vraag welke gegevens daarvoor noodzakelijk zijn, hoe die worden verwerkt en hoe lang ze worden bewaard.
Is een pasfoto automatisch een biometrisch gegeven?
Nee. Volgens de Hoge Raad in ECLI:NL:HR:2026:392 levert het enkele opslaan van een foto met een gezicht niet automatisch verwerking van biometrische gegevens op. Daarvoor is specifieke technische verwerking nodig die unieke identificatie mogelijk maakt of bevestigt.
Moet een financiële instelling altijd een kopie van mijn identiteitsbewijs bewaren?
Dat is nog niet definitief beslist. Juist daarover wil de Hoge Raad prejudiciële vragen stellen aan het Hof van Justitie van de EU. Het is dus op dit moment geen uitgemaakte zaak dat een volledige kopie inclusief pasfoto altijd verplicht moet worden bewaard.
Kan mijn overeenkomst worden beëindigd als ik niet meewerk aan cliëntenonderzoek?
Dat kan, maar niet onbeperkt. Instellingen hebben Wwft-verplichtingen en kunnen onder omstandigheden een relatie beëindigen als u niet meewerkt. Tegelijk moet de instelling zorgvuldig handelen en mag zij niet méér gegevens eisen of bewaren dan juridisch noodzakelijk is.
Is deze uitspraak al definitief?
Nee. Dit is een tussenarrest van de Hoge Raad van 13 maart 2026. De Hoge Raad heeft nog geen einduitspraak gedaan over alle onderdelen en wil eerst prejudiciële vragen voorleggen aan het Hof van Justitie van de EU.
