De Wet bescherming persoonsgegevens (Wbp) kent een aantal

De Wet bescherming persoonsgegevens (Wbp) kent een aantal categorieën persoonsgegevens die in
beginsel niet mogen worden verwerkt. Daarvan een kopie of scan maken is dus eveneens verboden.
Deze zogeheten bijzondere persoonsgegevens zeggen onder meer iets over ras, gezondheid of
geloofsovertuiging of betreffen strafrechtelijke gegevens. Het zijn gevoelige persoonsgegevens die
extra risico’s met zich meebrengen, zoals discriminatie of uitsluiting van de betreffende persoon voor
een bepaalde dienst of product. Bij een verzoek om legitimatie en eventueel een ‘kopie paspoort’ is
met name het begrip ‘ras’ van belang.
Dit begrip moet ruim worden uitgelegd en omvat zowel iemands nationaliteit als kenmerken waaruit
zijn of haar etnische afkomst kan worden afgeleid, zoals bij een pasfoto. Daarom mag een pasfoto niet
zomaar worden gekopieerd. De Wbp bevat een (limitatief) aantal uitzonderingen op het verbod op het
gebruik van deze gegevens, waaronder het gebruik van een pasfoto als dat voor de identificatie van
een persoon onvermijdelijk is. Als voorbeeld dient het gebruik van een pasfoto op een toegangspas
van een groot concern. In overige gevallen is het gebruik verboden.
Een andere categorie ‘verboden’ persoonsgegevens is die van de persoonsidentificerende nummers,
in het bijzonder het Burgerservicenummer (BSN). Het risico van een grootschalig gebruik van het BSN
is dat daarmee eenvoudig bestandskoppelingen kunnen worden uitgevoerd, veelal buiten het zicht
van de betreffende persoon. Dit nummer mag daarom niet worden verzameld en gebruikt zonder dat
daarvoor een wettelijke verplichting of andere wettelijke basis bestaat. Behalve voor de
loonadministratie zal deze voor bedrijven of organisaties over het algemeen niet bestaan. Bij het
vragen om een geldig identiteitsbewijs moeten bedrijven en organisaties in de private sector zich
houden aan het verbod op het verzamelen en gebruiken van rasgegevens en nummers als een BSN.
Als geen uitzondering bestaat op het verbod op het verzamelen van deze gegevens, moeten deze bij
het maken van een kopie of scan altijd worden afgeschermd of onleesbaar worden gemaakt.
Bovenstaande geldt specifiek voor werknemers met de Nederlandse nationaliteit en die uit de EER
komen. De opdrachtgever moet wel bij deze werknemers het originele en geldige identiteitsbewijs
controleren (zonder het te kopiëren of in te scannen). Ook moet de inlener of aannemer een aantal
persoonsgegevens van het identiteitsbewijs overnemen, waaronder het BSN. Dit is de inlener of
aannemer verplicht op grond van artikel 34.8.2 van de Leidraad invordering 2008. De inlener of
aannemer voert de controle uit en neemt de gegevens over op het moment dat de
(aanneem)overeenkomst uitgevoerd gaat worden. De inlener of aannemer mag absoluut geen kopie
of scan van het identiteitsbewijs maken.
https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/identificatie/identiteitsbewijs#faq
Gaat het echter om een werknemer die niet de nationaliteit heeft van een van de landen van de EER,
dan krijgt de opdrachtgever van de werkgever een kopie of scan van het identiteitsbewijs van de
desbetreffende werknemer. De uitlener is dit verplicht op grond van artikel 15 van de Wet arbeid
vreemdelingen. Vervolgens moeten de volgende stappen worden uitgevoerd:
1. Opdrachtgever stelt de identiteit van de ingeleende werknemer vast aan de hand van zijn
geldig en originele identiteitsbewijs.
2. Opdrachtgever vergelijkt het identiteitsbewijs met de kopie/scan die de opdrachtgever van de
uitlener/aannemer ontvangt.
3. Opdrachtgever neemt de kopie of scan van het identiteitsbewijs op in de administratie.
4. Opdrachtgever bewaart de kopie/scan ten minste 5 jaar na het einde van het kalenderjaar
waarin de (aanneem)overeenkomst van de ingeleende werknemer is beëindigd.
Bron: https://autoriteitpersoonsgegevens.nl/sites/default/files/downloads/rs/rs_kopieidentiteitsbewijs.pdf