Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet. Arnoud geeft elke week in een artikel antwoord op een interessante vraag. Vanwege het grote aantal inzendingen kunnen niet alle vragen beantwoord worden.

Vraag: Bij een bedrijf waar ik laatst moest zijn voor mijn werk, wilde men een legitimatie zien. Prima, maar ze maakten er meteen een kopie van. Volgens hun huisregels zou dat mogen, maar dat is toch tegen de wet?

Antwoord: Op zich mag je huisregels stellen wat je wilt, en je mag dan ook dingen eisen of verbieden die op zich legaal zijn. Een bedrijf kan geheimhouding eisen over wat je binnen ziet (wat dus je vrijheid van meningsuiting beperkt), bepalen dat er iemand met je meeloopt of dat er camera's zijn (beperkt je privacy) of dat je je moet legitimeren (beperkt je anonimiteit). Hoewel "huisregels niet tegen de wet" mogen zijn, is de wet meestal flexibel genoeg om heel wat huisregels toe te staan.

Specifiek bij identificatie van personen speelt er een iets minder flexibele wet: de Wet bescherming persoonsgegevens. Hoofdregel van die wet is dat je toestemming nodig hebt van de persoon in kwestie om zijn persoonsgegevens te mogen verwerken. Zonder toestemming moet er sprake zijn van een contract waarbij de verwerking nodig is, of een dringende noodzaak die de privacyschending rechtvaardigt.

Een bedrijf dat legitimatie van bezoekers wil zien, doet dit om zeker te zijn dat ze de juiste klant of relatie voor zich heeft. Dat zou je onder "uitvoering contract" kunnen scharen. Cameratoezicht is een voorbeeld van een dringende noodzaak; het toezicht is dringend nodig in verband met beveiliging en de privacyschending is meestal maar klein. Bij legitimatie van bezoekers gaat dit wellicht ook op: als je móet weten welke bezoeker dit is en wat zijn echte naam is, dan mag je vragen naar een legitimatie.

In alle gevallen eist de Wbp wél dat je zo min mogelijk gegevens verwerkt. Meestal is het genoeg dat je het legitimatiebewijs bekijkt en constateert dat het echt is, en dat de persoon aan de balie met die naam op de gastenlijst staat. Een kopie is dan niet nodig, en mág dan ook niet worden gemaakt. Hooguit kun je het ID-nummer (dus niet het BSN) noteren als bewijs dat dat legitimatiebewijs is getoond.

Een kopie mag dus pas worden gemaakt als deze absoluut noodzakelijk is en je niet kunt volstaan met inzien en overschrijven van de meest essentiële gegevens. Als iemand aan de balie staat, zou ik niet weten wat die noodzaak is. Handel je op afstand, dan is opsturen van een kopie eigenlijk de enige manier - maar hoe controleer je dan de echtheid van het document, en hoe stel je eigenlijk überhaupt vast dat dat ID van de persoon is met wie je op afstand zaken doet?

Soms is het wettelijk verplicht om een kopie te maken, dan mag dat natuurlijk van de Wbp. Een werkgever is bijvoorbeeld verplicht kopieën van een identiteitsbewijs van zijn werknemers te maken op de eerste werkdag, om zwartwerken te bestrijden. Ook is de werkgever verplicht om een kopie van het gecontroleerde document – inclusief burgerservicenummer (BSN) en pasfoto – in zijn loonadministratie op te nemen en te bewaren.

En soms zijn er bijzondere afspraken gemaakt met de privacytoezichthouder, het College bescherming persoonsgegevens. Zo heeft de BOVAG namens autoverhuurbedrijven een afspraak gemaakt dat haar leden een kopie van een identiteitsdocument mogen maken ter bestrijding van verduistering (wel huren, niet terugbrengen). De gegevens op dit ID kunnen dan op een zwarte lijst worden geplaatst als de huurder de auto niet inlevert, zodat andere verhuurders ook weten met wie ze te maken hebben. Maar hier moeten dan wel BSN en pasfoto onzichtbaar worden gemaakt, wat in mijn ervaring met autoverhuurders niet gebeurt.

Ik kan in het algemeen eigenlijk geen noodzaak verzinnen waarom je iemands foto zou moeten bewaren, dus eigenlijk zou je als je al een kopie maakt, altijd de foto moeten afschermen. En een kopie maken mag sowieso dus alleen als verificatie niet genoeg is. En wat is dáár een dringende noodzaak voor?

Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.