Wat begon als een relatief overzichtelijk contractenrechtelijk geschil over een geblokkeerde creditcard, is geëscaleerd tot een principiële Unierechtelijke strijd over de reikwijdte van artikel 9 AVG ten opzichte van de anti-witwaswetgeving (Wwft). De hamvraag:
Levert de wettelijke KYC-verplichting van financiële instellingen een rechtvaardiging op voor het schenden van het strikte verwerkingsverbod van biometrische gegevens?
Tot voor kort was de heersende leer in de rechtspraak vrij eenduidig. Een reguliere pasfoto of selfie kwalificeerde als een ‘gewoon’ persoonsgegeven. Foto’s vallen immers nadrukkelijk pas onder de definitie van biometrische gegevens wanneer zij worden verwerkt met “bepaalde technische middelen” (zoals gezichtsherkenningssoftware) om een unieke identificatie mogelijk te maken (art. 4 sub 14 AVG). Zolang een bank de foto louter als ‘plat’ document opsloeg in het klantdossier, werd de hoge drempel van artikel 9 AVG (het verwerkingsverbod van bijzondere persoonsgegevens) niet gehaald.
De dogmatische kanteling: Het Comdribus-arrest
Deze zekerheid werd op 19 maart 2026 getorpedeerd door het Hof van Justitie van de EU in de zaak Comdribus (C-371/24). Het Europese Hof introduceerde hierin een sterk teleologische interpretatie van het begrip biometrie. Het Hof oordeelde dat niet enkel de technische bewerking doorslaggevend is, maar primair het doel van de verwerking.
Kortom: verzamel en bewaar je een statische foto met de expliciete intentie om een individu daarmee uniek te identificeren? Dan valt die opslag zélf mogelijk al onder de verwerking van biometrische gegevens.
De Hoge Raad in een Unierechtelijke spagaat
Deze recente jurisprudentie bracht de Hoge Raad in de zaak tegen creditcardmaatschappij ICS in een lastig parket. ICS had een overeenkomst opgezegd omdat de klant weigerde een selfie en een ongemaskeerde kopie van haar paspoort aan te leveren ter voldoening aan de Wwft.
Door het Comdribus-arrest moest de Hoge Raad de vraag onder ogen zien of de opslag van deze ID-bewijzen door banken in feite de grootschalige verwerking van biometrische (en etnische) gegevens betreft. Als dat zo is, is dit ex art. 9 lid 1 AVG verboden, tenzij er een uitdrukkelijke wettelijke uitzondering is.
Biedt artikel 33 Wwft (de bewaarplicht) zo’n robuuste en specifieke wettelijke uitzondering? En zo ja, hoe verhoudt zich dit tot het AVG-beginsel van minimale gegevensverwerking (art. 5 lid 1 sub c AVG)? Dwingt dit beginsel banken niet om de pasfoto op een identiteitsbewijs standaard te maskeren, omdat de foto voor de puur administratieve bewaarplicht disproportioneel is?
Prejudiciële vragen: De bal ligt in Luxemburg
De Hoge Raad heeft 12 juni 2026 zeer terecht besloten dat de hoogste nationale rechter deze dogmatische knoop niet zelf mag doorhakken en stelt prejudiciële vragen aan het HvJEU.
Wat staat er op het spel? Als het Europese Hof in Luxemburg oordeelt dat artikel 33 Wwft (en de daaraan ten grondslag liggende Europese witwasrichtlijn) onvoldoende wettelijke basis biedt voor het ongemaskeerd opslaan van pasfoto’s en selfies, heeft dit gigantische consequenties. Nagenoeg elk digitaal KYC-proces binnen de financiële sector zal dan moeten worden herzien.