Hoge Raad stelt prejudiciële vragen over bewaarplicht van pasfoto's, biometrische gegevens en de AVG

HR 12 juni 2026, IT&Recht 5331; ECLI:NL:HR:2026:921 ([de kaarthoudster] tegen ICS). In deze zaak tussen [de kaarthoudster] en International Card Services B.V. (ICS) staat de vraag centraal of International Card Services (ICS) de creditcardovereenkomst met [de kaarthoudster] mocht opzeggen nadat zij had geweigerd mee te werken aan een nieuwe online-identificatie op grond van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft). Voor deze identificatie diende zij een foto van haar identiteitsbewijs en een selfie aan te leveren. [de kaarthoudster] verzette zich tegen deze werkwijze omdat ICS de foto's zou opslaan. Volgens haar is sprake van verwerking van biometrische gegevens en ontbreekt een toereikende wettelijke grondslag voor het bewaren van deze foto's. Het hof oordeelde eerder dat ICS de overeenkomst mocht opzeggen. Volgens het hof was de online-identificatie noodzakelijk om te voldoen aan de verplichtingen uit de Wwft en vormt het enkele opslaan van een foto geen verwerking van biometrische gegevens in de zin van de AVG, omdat daarvoor specifieke technische verwerking nodig is waarmee een persoon uniek kan worden geïdentificeerd of geauthentiseerd. In cassatie ziet de Hoge Raad aanleiding om op meerdere punten prejudiciële vragen aan het Hof van Justitie te stellen. De Hoge Raad stelt voorop dat de zaak draait om de afweging tussen enerzijds de verplichtingen die voortvloeien uit de Europese anti-witwasregelgeving en anderzijds het recht op bescherming van persoonsgegevens en de persoonlijke levenssfeer zoals gewaarborgd door de AVG, het Handvest en het EVRM. Omdat deze afweging in belangrijke mate afhankelijk is van de uitleg van Unierecht, acht de Hoge Raad beantwoording door het Hof van Justitie noodzakelijk. Een eerste vraag betreft de kwalificatie van foto's als biometrische gegevens. De Hoge Raad overweegt dat uit de tekst van artikel 4, onder 14, AVG en overweging 51 van de AVG volgt dat een gewone foto niet zonder meer een biometrisch gegeven vormt. Daarvoor is vereist dat de foto wordt onderworpen aan een specifieke technische verwerking waarmee een persoon uniek kan worden geïdentificeerd of geauthentiseerd. De foto vormt dan de bron waaruit biometrische gegevens kunnen worden afgeleid, maar is niet zonder meer zelf een biometrisch gegeven. De Hoge Raad wijst er echter op dat een recent arrest van het Hof van Justitie aanleiding geeft om hierover alsnog prejudiciële vragen te stellen.

Daarnaast staat de uitleg van de Wwft centraal. De Hoge Raad signaleert dat onduidelijk is of artikel 33 Wwft instellingen daadwerkelijk verplicht een volledige kopie van een identiteitsbewijs, inclusief pasfoto, te bewaren, of dat kan worden volstaan met het vastleggen van de daarin genoemde identificatiegegevens. Volgens de Hoge Raad laat de tekst van de wet beide interpretaties toe. Die vraag hangt rechtstreeks samen met de uitleg van artikel 40 van de Vierde anti-witwasrichtlijn, waarop de Nederlandse regeling is gebaseerd. De Hoge Raad vraagt zich vervolgens af hoe een eventuele bewaarplicht zich verhoudt tot de AVG. Iedere verwerking van persoonsgegevens moet voldoen aan de beginselen van rechtmatigheid, noodzakelijkheid en minimale gegevensverwerking. Wanneer het bewaren van een volledige kopie van een identiteitsbewijs wettelijk verplicht zou zijn, rijst de vraag of die verplichting geschikt en evenredig is ter verwezenlijking van het doel van de anti-witwasregelgeving. Daarbij merkt de Hoge Raad op dat de Wwft bij meldingen van ongebruikelijke transacties niet verplicht tot het verstrekken van een kopie van het identiteitsbewijs en dat evenmin uitdrukkelijk is geregeld dat toezichthouders een dergelijke kopie mogen opvragen. Tegen die achtergrond bestaat volgens de Hoge Raad gerede twijfel of het bewaren van een volledige kopie van een identiteitsbewijs, inclusief pasfoto, verenigbaar is met het beginsel van minimale gegevensverwerking. Tot slot stelt de Hoge Raad vragen over artikel 9 AVG. Onder de Wet bescherming persoonsgegevens oordeelde de Hoge Raad eerder dat uit een foto informatie over ras kan worden afgeleid. De AVG kent echter een ander systeem voor bijzondere categorieën persoonsgegevens. Daarom vraagt de Hoge Raad het Hof van Justitie of herkenbare foto's kunnen worden aangemerkt als persoonsgegevens waaruit ras of etnische afkomst blijkt en, zo ja, onder welke voorwaarden dat het geval is, en of daarbij van belang is met welk doel de foto wordt verwerkt of in hoeverre dergelijke informatie daadwerkelijk uit de foto kan worden afgeleid. De Hoge Raad legt uiteindelijk meerdere prejudiciële vragen, gegroepeerd in verschillende clusters, voor aan het Hof van Justitie. Deze hebben betrekking op de kwalificatie van foto's als biometrische gegevens, de reikwijdte van de bewaarplicht uit de Vierde anti-witwasrichtlijn en de Wwft, de verenigbaarheid daarvan met de AVG en de vraag of herkenbare foto's bijzondere categorieën persoonsgegevens kunnen bevatten. De behandeling van de cassatieprocedure wordt aangehouden in afwachting van de beantwoording van deze vragen door het Hof van Justitie.

5. Vragen van uitleg

1. Kan het vastleggen en opslaan van een foto met een gezichtsafbeelding van een persoon met het doel om deze voor identificatie te gebruiken, worden beschouwd als de verwerking van een biometrisch gegeven in de zin van art. 9 lid 1 van Verordening (EU) 2016/679 (Algemene verordening gegevensbescherming, AVG) in verbinding met art. 4, aanhef en onder 14 AVG, en, zo ja, onder welke voorwaarden?

2. Dient art. 40 lid 1, aanhef en onder a, van Richtlijn (EU) 2015/849 van 20 mei 2015 (de (gewijzigde) Europese vierde anti-witwasrichtlijn), mede bezien in verhouding tot art. 6 lid 3 AVG, het in art. 5 lid 1, aanhef en onder c, AVG vervatte beginsel van minimale gegevensverwerking, art. 7, 8 en 52 van het Handvest van de grondrechten van de Europese Unie, en art. 8 van het Europees Verdrag voor de Rechten van de Mens aldus te worden uitgelegd dat de lidstaten meldingsplichtige entiteiten dienen te verplichten tot het bewaren van een afschrift van het identiteitsbewijs dat is gebruikt bij de verificatie van de identiteit van een cliënt in het kader van een cliëntenonderzoek?

3. Indien vraag 2 bevestigend moet worden beantwoord: omvat de door de lidstaten te implementeren bewaarplicht van de meldingsplichtige entiteiten dan een volledig afschrift van de relevante pagina’s van een identiteitsbewijs, met inbegrip van de op het identiteitsbewijs aangebrachte foto?

4. Kunnen foto’s waarop een persoon herkenbaar is afgebeeld, worden beschouwd als persoonsgegevens waaruit ras of etnische afkomst blijkt als bedoeld in art. 9 lid 1 AVG, en zo ja, onder welke voorwaarden?

a. Is in dat verband van belang of de desbetreffende foto wordt verwerkt met het doel of oogmerk om onderscheid te maken naar ras of etnische afkomst?

b. Is in dit verband van belang of informatie over ras of etnische afkomst met een voldoende mate van zekerheid uit de desbetreffende foto kan worden afgeleid