Elize van Loon
Steeds meer bedrijven in Spanje krijgen boetes voor het scannen van identiteitsbewijzen van hun klanten als er geen duidelijke wettelijke basis of expliciete toestemming voor is.
De Spaanse autoriteit voor gegevensbescherming, de AEPD, treedt hier steeds strenger tegen op. Het scannen gebeurt in onder andere hotels, sportscholen, makelaarskantoren en kantoren.
Waarom is het scannen een probleem?
Identiteitsbewijzen bevatten gevoelige persoonsgegevens zoals een pasfoto, handtekening en documentnummer. Door gegevens zonder noodzaak op te slaan of te verwerken wordt het risico op identiteitsfraude groter. Volgens de Europese privacywetgeving (AVG) mogen bedrijven alleen gegevens verzamelen die strikt noodzakelijk zijn voor hun dienstverlening. Het beginsel van gegevensminimalisatie is hierbij leidend: verzamel niet meer dan nodig is.
Boetes lopen op
De afgelopen maanden zijn de boetebedragen fors gestegen. Waar eerder boetes tussen de €1.000 en €30.000 werden opgelegd, zijn er nu gevallen bekend van boetes tot €70.000. Volgens het bedrijf werden er geen beelden opgeslagen, maar de AEPD oordeelde dat deze werkwijze in strijd was met de privacyregels. De boete werd verlaagd tot €42.000 vanwege snelle betaling, maar de boodschap is duidelijk: onzorgvuldige omgang met persoonsgegevens kan duur uitpakken.
Wat mag wel?
Volgens de AEPD mogen bedrijven klanten vragen hun identiteitsbewijs te tonen. Dan kunnen noodzakelijke gegevens zoals naam en ID-nummer genoteerd worden. Een kopie maken of het document scannen is echter verboden, tenzij er een wettelijke verplichting is.
In de toeristische sector geldt sinds december 2024 een nieuw registratiesysteem. Hotels en verhuurders moeten bepaalde gegevens doorgeven aan de overheid. Het scannen van identiteitsbewijzen blijft echter verboden. Alternatieven zoals verificatie via bankbetaling of sms-code zijn veiliger en voldoen aan de privacyregels.
Tips voor ondernemers
Het advies aan ondernemers is om hun werkwijze aan te passen en te investeren in privacyvriendelijke oplossingen. Om die gegevens te verzamelen die strikt noodzakelijk zijn voor de dienstverlening en om alleen kopieën van identiteitsbewijzen te maken als dit wettelijk verplicht is. Verder is het advies om medewerkers goed te informeren over de privacyregels en hen te trainen om veilig en bewust om te gaan met klantgegevens.