Selfies en 1-op-1 gezichtsverificatie: wanneer kan dit worden gebruikt?
Een selfie, een handmatige fotovergelijking en een geautomatiseerde biometrische gezichtsvergelijking zijn niet dezelfde verwerking. Op deze pagina leggen we het verschil uit, het Europese AVG-kader en de aanvullende Nederlandse regels die wij hebben gevonden voor identiteitscontroles van werknemers op afstand.
Het is geen zoekopdracht naar een persoon in een database, geen 1-op-veel-identificatie en geen doorlopende herkenning of tracking van werknemers.
Drie verwerkingen die niet met elkaar moeten worden verward
De juridische beoordeling hangt af van wat er daadwerkelijk met een gezichtsafbeelding gebeurt. Daarom maken we in onze documentatie onderscheid tussen de volgende verwerkingen.
1. Een selfie maken of bewaren
Een selfie is een persoonsgegeven. Of het een bijzonder biometrisch persoonsgegeven is, hangt af van de specifieke technische verwerking en het doel. Een gezichtsafbeelding is niet automatisch hetzelfde als een geautomatiseerde biometrische vergelijking.
2. Handmatige houdercontrole
Een bevoegde persoon kan de selfie of het livebeeld visueel vergelijken met de foto uit het gecontroleerde identiteitsdocument. ID Scan voert bij deze route geen geautomatiseerde biometrische vergelijking uit.
3. Geautomatiseerde 1-op-1 Face Match
Software verwerkt technisch gezichtskenmerken en vergelijkt de live persoon met de documentfoto om de identiteit te bevestigen. De Autoriteit Persoonsgegevens beschouwt deze 1-op-1 identiteitsbevestiging expliciet als biometrische verwerking waarop de regels voor biometrie van toepassing zijn.
Bron: Autoriteit Persoonsgegevens (AP) – Biometrie en 1-op-1 identiteitsbevestiging
EU / EER: het uitgangspunt van de AVG
Artikel 9 AVG verbiedt in beginsel de verwerking van biometrische gegevens met het oog op de unieke identificatie van een natuurlijke persoon, tenzij een uitzondering van toepassing is. Artikel 9 lid 2 onder a biedt zo’n uitzondering wanneer de betrokkene uitdrukkelijke toestemming heeft gegeven voor één of meer specifieke doeleinden. Lidstaten kunnen op grond van artikel 88 AVG daarnaast specifiekere regels vaststellen voor de verwerking van persoonsgegevens in de arbeidscontext.
Door ID Scan ondersteunde route: uitdrukkelijke toestemming
- De persoon wordt geïnformeerd dat een geautomatiseerde biometrische 1-op-1 vergelijking plaatsvindt.
- De toestemming ziet specifiek op die biometrische houderverificatie.
- De persoon kan de geautomatiseerde vergelijking weigeren.
- In plaats daarvan kan een handmatige houderverificatie worden aangeboden.
Geen algemene conclusie voor ieder EU-land
De AVG geldt in de hele EU/EER, maar nationale wetgeving kan aanvullende regels bevatten, met name voor personeel. Een organisatie moet daarom het land, het doel, de arbeidsrelatie en de toepasselijke nationale richtlijnen beoordelen voordat biometrische verificatie wordt ingeschakeld.
Bron: Verordening (EU) 2016/679 (AVG), in het bijzonder artikelen 9 en 88
Uitdrukkelijke toestemming moet een echte keuze zijn
De AP noemt uitdrukkelijke toestemming als een van de belangrijkste mogelijke uitzonderingen voor gezichtsherkenning. In een arbeidsrelatie is extra zorgvuldigheid nodig, omdat een werknemer of sollicitant zich afhankelijk kan voelen van de organisatie. Een werkelijk alternatief is daarom belangrijk wanneer toestemming als basis wordt gebruikt.
1-op-1 biometrische houderverificatie
Wanneer uitdrukkelijke toestemming in de specifieke context een geldige uitzondering onder artikel 9 AVG vormt, kan ID Scan de live persoon automatisch vergelijken met het portret uit het identiteitsdocument.
Handmatige houderverificatie
Als de persoon geen toestemming geeft voor de geautomatiseerde biometrische vergelijking, kan de organisatie een bevoegde persoon de selfie of het livebeeld handmatig laten vergelijken met de documentfoto.
Bron: AP – Gezichtsherkenning, uitdrukkelijke toestemming en alternatieven
In zaak C-660/26 (International Card Services) is het Hof van Justitie van de Europese Unie gevraagd of het vastleggen en bewaren van een gezichtsfoto met het doel deze voor identificatie te gebruiken biometrische verwerking onder artikelen 4(14) en 9 AVG kan zijn, en zo ja onder welke voorwaarden. De zaak loopt nog. ID Scan gaat daarom niet ervan uit dat iedere gezichtsfoto automatisch een biometrische template is; de geautomatiseerde Face Match verwerkt wel technisch gezichtskenmerken voor 1-op-1 identiteitsbevestiging en wordt op deze pagina daarom als biometrische verwerking behandeld.
Hof van Justitie EU – lopende zaak C-660/26, International Card Services
Houderverificatie op afstand: document + live persoon
Een authentiek identiteitsdocument bewijst op zichzelf niet dat de persoon die het aanbiedt ook de rechtmatige houder is. ID Scan combineert daarom documentverificatie met een afzonderlijke houdercontrole.
Waar het document dit ondersteunt, wordt de referentiefoto uit DG2 van de beveiligde NFC-chip gelezen. Voor de vergelijking wordt daardoor de pasfoto uit het fysieke identiteitsdocument gebruikt en niet een afzonderlijk geüploade referentiefoto.
De app volgt het gezicht tijdens de opname en voert liveness-gerelateerde controles uit. Deze controles zijn bedoeld om het aanbieden van een statische foto of andere niet-live invoer moeilijker te maken.
Het live gezicht wordt uitsluitend vergeleken met de pasfoto die hoort bij het identiteitsdocument dat wordt geverifieerd. ID Scan zoekt niet in een populatie- of klantendatabase met gezichten.
ID Scan voert ook controles op de integriteit van het apparaat uit en is ontworpen om verificatie te weigeren op apparaten die niet aan de vereiste integriteitsvoorwaarden voldoen, waaronder gedetecteerde rooted of jailbroken omgevingen.
Waarom niet uitsluitend vertrouwen op videobellen?
Een handmatig videogesprek kan nuttig zijn voor identiteitscontrole op afstand, maar digitale video kent ook eigen aanvalsmogelijkheden. Voorbeelden zijn herhaalde of vooraf opgenomen video, virtual-camera-software en gemanipuleerd of door AI gegenereerd beeld. Deze technieken worden onder meer aangeduid als presentation attacks, spoofing en, wanneer synthetische media worden gebruikt, deepfakes.
ID Scan vertrouwt daarom niet uitsluitend op wat een beoordelaar op een scherm ziet. De houdercontrole kan het fysieke NFC-identiteitsdocument en de pasfoto uit de chip combineren met live gezichtsopname, liveness-gerelateerde controles, controles op de integriteit van het apparaat en een 1-op-1 vergelijking.
Deze maatregelen zijn bedoeld om de betrouwbaarheid te verhogen en manipulatie moeilijker te maken. Ze maken identiteitsfraude niet onmogelijk en ID Scan stelt niet dat een technische methode iedere vorm van spoofing of deepfake-aanval kan uitsluiten.
Hoe ID Scan de biometrische verwerking beperkt
Het doel van Face Match is houderverificatie, niet het opbouwen van een gezichtsherkenningsdatabase. Het ontwerp beperkt daarom wat wordt verwerkt en wat wordt bewaard.
Alleen 1-op-1
Het live gezicht wordt uitsluitend vergeleken met de foto die hoort bij het identiteitsdocument dat op dat moment wordt gecontroleerd. Er wordt niet gezocht in een populatie- of klantendatabase.
Verwerking op het apparaat
Gezichtsdetectie, liveness-controles en de biometrische vergelijking worden uitgevoerd op het apparaat van de gebruiker. De biometrische sjablonen die voor de vergelijking worden gebruikt hoeven niet in een centrale biometrische database te worden opgeslagen.
Resultaat in plaats van herbruikbare biometrie
Het verificatieproces kan het resultaat van de houdercontrole vastleggen zonder een herbruikbaar gezichtssjabloon voor toekomstige herkenning te bewaren.
Het ontwerpdoel is eenvoudig: beantwoord “hoort deze persoon bij dit document?” en maak van die controle geen herbruikbaar gezichtsidentiteitssysteem.
De Spaanse AEPD geeft een concreet voorbeeld van dit privacy-patroon: biometrische authenticatie kan op het eigen mobiele apparaat van de gebruiker worden uitgevoerd, zonder externe resources of servers, door de foto uit een officieel identiteitsdocument te vergelijken met een realtime selfie om te controleren dat de gebruiker de documenthouder is. De AEPD benadrukt daarbij ook de beschikbaarheid van alternatieve mechanismen.
Bron: AEPD – biometrische authenticatie op het eigen mobiele apparaat van de gebruiker
Nederland: identiteitscontrole van werknemers op afstand
Aanvullende Nederlandse bronnen maken de toepassing bij personeel concreter.
De Rijksoverheid vermeldt dat een werkgever de identiteit van een nieuwe werknemer moet controleren en daarbij onder andere moet beoordelen of de pasfoto op het identiteitsdocument overeenkomt met de persoon die het document aanbiedt. Dit is een houdercontrole: een echt identiteitsdocument bewijst op zichzelf nog niet dat degene die het aanbiedt ook de rechtmatige houder is.
Het Handboek Loonheffingen van de Belastingdienst vermeldt dat een werkgever de identiteit van een werknemer digitaal mag vaststellen. Ook staat daarin dat zowel het identiteitsdocument als de identiteit van de werknemer op afstand mogen worden gecontroleerd en dat deze werkzaamheden aan een derde mogen worden uitbesteed. De werkgever blijft verantwoordelijk voor een juiste naleving en moet kunnen aantonen dat de identiteit voldoende zorgvuldig is vastgesteld.
In 2026 oordeelde Rechtbank Rotterdam in een financieel-toezichtzaak dat alleen een kopie van een paspoort onvoldoende was om iemands identiteit te verifiëren. De rechtbank wees erop dat een kopie geen echtheidskenmerken bevat, fysieke gegevens relatief eenvoudig kunnen worden aangepast en eventuele biometrische gegevens niet uitleesbaar zijn. Dit is geen rechterlijke goedkeuring van ID Scan, maar illustreert waarom ID Scan niet uitsluitend vertrouwt op een geüploade documentafbeelding en waar mogelijk het fysieke elektronische document via de NFC-chip controleert.
Rechtbank Rotterdam 2026 – identiteitsverificatie en paspoortkopieën
Voorbeeld: onboarding op afstand via een uitzend- of HR-platform
Neem een werknemer die zich op afstand inschrijft bij een uitzendbureau via een platform zoals Easyflex. Ook een authentiek NFC-identiteitsdocument kan geleend of gestolen zijn. Documentverificatie beantwoordt daarom een andere vraag dan houderverificatie.
MRZ/CAN, gegevens uit de NFC-chip en controles op documentauthenticiteit kunnen bewijs leveren over het document.
Een 1-op-1 Face Match of een handmatige houdercontrole beperkt het risico dat een echt document door iemand anders wordt gebruikt.
Onze lezing van de Nederlandse bronnen is daarom dat identiteitsverificatie van werknemers op afstand uitdrukkelijk mogelijk is, terwijl een geautomatiseerde biometrische houdercontrole een afzonderlijke verwerking blijft waarvoor de organisatie een toepasselijke uitzondering op artikel 9 AVG moet vaststellen. ID Scan ondersteunt uitdrukkelijke toestemming en een handmatig alternatief; de klant blijft verantwoordelijk voor de keuze van de toepasselijke rechtsgrond en procedure voor de eigen toepassing.
Duitsland: biometrie bij werknemers en identificatie op afstand
Duitsland past de AVG toe samen met nationale regels, waaronder §26 van het Bundesdatenschutzgesetz (BDSG), en kent daarnaast afzonderlijke gereguleerde kaders voor identificatie onder de antiwitwaswetgeving.
Werknemers en sollicitanten: extra aandacht voor vrijwillige toestemming
§26 BDSG regelt specifiek de verwerking van persoonsgegevens binnen arbeidsrelaties en geldt ook voor sollicitanten. Als werknemersgegevens op basis van toestemming worden verwerkt, moet bij de beoordeling of die toestemming vrij is gegeven rekening worden gehouden met de afhankelijkheidsrelatie en met de omstandigheden waaronder toestemming wordt gegeven.
Bij bijzondere categorieën persoonsgegevens, waaronder biometrische gegevens die worden gebruikt om een persoon uniek te identificeren, moet de toestemming uitdrukkelijk op die gegevens betrekking hebben. Duitse toezichthouders waarschuwen bovendien dat toestemming van werknemers vaak geen voldoende rechtsgrond is, omdat de arbeidsrelatie de daadwerkelijke keuzevrijheid kan beperken.
ID Scan maakt automatische Face Match daarom niet de enige route. Als iemand geen toestemming geeft voor de geautomatiseerde biometrische 1-op-1 vergelijking, kan in plaats daarvan een handmatige houdercontrole worden gebruikt. Dit ondersteunt een daadwerkelijke keuze, maar bepaalt niet automatisch de rechtsgrond van de klant: de Duitse toepassing moet nog steeds op de eigen omstandigheden worden beoordeeld.
Privacy by design: geen centrale herbruikbare gezichtstemplate
ID Scan voert de biometrische 1-op-1 vergelijking lokaal op de smartphone uit. De biometrische gezichtstemplate wordt niet naar de servers van ID Scan of naar de klant verzonden en wordt niet in een centrale biometrische database bewaard. De klant ontvangt het verificatieresultaat en geen herbruikbaar biometrisch gezichtsprofiel. Dit neemt de beoordeling onder AVG/BDSG niet weg, maar beperkt de risico’s rond opslag, hergebruik en toegang wezenlijk.
Duitse GwG: een afzonderlijk gereguleerd identificatiekader
Voor organisaties die onder het Duitse Geldwäschegesetz (GwG) vallen, is het niet voldoende om alleen te concluderen dat een technische methode een gelijkwaardig beveiligingsniveau lijkt te bieden. §13 GwG en de richtlijnen van BaFin vormen een afzonderlijk kader voor toegestane identificatieprocedures. Een biometrische NFC- en Face-Match-flow mag daarom niet automatisch als toegelaten Duitse GwG-identificatie worden gepresenteerd zonder de toepasselijke regulatoire route te controleren.
Voor Duitsland is het daarom belangrijk onderscheid te maken tussen algemene biometrische houderverificatie onder de AVG/BDSG en identificatie binnen een specifiek gereguleerd kader zoals het GwG. De juiste rechtsgrond en procedure hangen af van doel en context.
België: biometrie bij werknemers en houderverificatie op afstand
Belgische richtsnoeren maken een duidelijk onderscheid tussen biometrische verwerking in de arbeidsrelatie en identiteitsverificatie op afstand binnen het antiwitwaskader.
Werknemers: ga er niet van uit dat toestemming het artikel 9-vraagstuk oplost
De Belgische Gegevensbeschermingsautoriteit (GBA/APD) neemt een streng standpunt in over biometrie op de werkplek. Vanwege de machtsverhouding tussen werkgever en werknemer kan uitdrukkelijke toestemming van een werknemer volgens de GBA in een werkgerelateerde context normaal gesproken niet als vrij gegeven worden beschouwd. Volgens de GBA is daarom vrijwel steeds een specifieke wettelijke grondslag nodig waaruit duidelijk volgt dat de biometrische verwerking in die context proportioneel en gerechtvaardigd is.
Belgische werkgevers hebben wel legitieme redenen en verplichtingen om werknemers te identificeren, onder meer voor de socialezekerheidsadministratie. Die noodzaak om de identiteit vast te stellen, geeft op zichzelf geen toestemming om geautomatiseerde biometrische Face Match te gebruiken. De rechtsgrond voor het identiteitsproces en de uitzondering van artikel 9 AVG voor biometrische verwerking moeten afzonderlijk worden beoordeeld.
De Belgische toezichthouder stelt dat, wanneer biometrische verwerking gerechtvaardigd is, een biometrische template in beginsel onder controle van de werknemer moet blijven in plaats van in een centrale database van de werkgever te worden opgeslagen. De architectuur van ID Scan sluit daarbij aan: de tijdelijke gezichtstemplate en de 1-op-1 vergelijking blijven op de smartphone, er wordt geen herbruikbare biometrische template naar ID Scan of de klant verzonden en er wordt geen centrale gezichtsdatabase opgebouwd. Dit beperkt de risico’s van opslag en hergebruik, maar creëert op zichzelf geen rechtsgrond.
Belgische antiwitwasregels: de Nationale Bank benoemt expliciet het probleem van houderverificatie
Voor identificatie op afstand binnen het Belgische antiwitwaskader merkt de Nationale Bank van België (NBB) expliciet op dat controle van een elektronisch identiteitsdocument op afstand minder betrouwbaar kan zijn dan een face-to-facecontrole, omdat geen visuele controle plaatsvindt waarmee kan worden vastgesteld dat de persoon die het document gebruikt daadwerkelijk de rechtmatige houder is.
Wanneer er geen visueel contact is, verwacht de NBB dat de instelling kan aantonen dat het vereiste betrouwbaarheidsniveau toch is bereikt of, waar nodig, een aanvullende verificatiemaatregel toepast. De NBB merkt ook op dat vergelijking van de gegevens op de chip met de zichtbare documentgegevens kan helpen om vervalsing op te sporen. Dit illustreert waarom documentauthenticiteit en houderverificatie twee afzonderlijke vragen zijn in een proces op afstand.
Voor België hangt de conclusie daarom sterk af van de context. Biometrie bij werknemers vraagt volgens de richtsnoeren van de GBA/APD om bijzondere voorzichtigheid. Binnen het antiwitwaskader erkent de NBB expliciet het risico van houderverificatie op afstand en de mogelijke noodzaak van aanvullende verificatiemaatregelen. Geen van beide standpunten mag worden gelezen als een algemene goedkeuring van een specifieke Face Match-implementatie.
Frankrijk: onderscheid tussen biometrie op het werk en eenmalige identiteitsverificatie op afstand
De Franse CNIL hanteert strenge regels voor biometrische toegangscontrole op het werk, terwijl gereguleerde identiteitsverificatie op afstand ook een afzonderlijk ANSSI/PVID-beveiligingskader kent.
Werknemers: de CNIL-regels voor biometrie op het werk hebben een specifieke reikwijdte
De bindende CNIL-regeling voor biometrie op het werk geldt voor biometrische authenticatie waarmee toegang tot gebouwen, arbeidsmiddelen en professionele applicaties wordt gecontroleerd. De CNIL verlangt noodzakelijkheid en proportionaliteit en geeft aan dat toestemming van werknemers slechts zelden als rechtsgrond kan dienen, omdat de arbeidsrelatie de werkelijke keuzevrijheid kan beïnvloeden.
Belangrijk is dat de CNIL uitdrukkelijk aangeeft dat deze regeling niet geldt voor biometrische verwerkingen met een ander doel. Een eenmalige houdercontrole op afstand tijdens onboarding is daarom niet automatisch dezelfde juridische toepassing als een biometrisch deurslot of toegangscontrolesysteem. Wij hebben geen officiële Franse bron gevonden die van dit onderscheid een algemene toestemming voor biometrische onboarding van werknemers maakt. De toepasselijke uitzondering van artikel 9 AVG en de noodzakelijkheid moeten dus nog steeds per toepassing worden beoordeeld.
Binnen haar richtlijnen voor toegangscontrole zegt de CNIL dat een werkgever die zich op toestemming wil baseren een werkelijk gelijkwaardig alternatief moet aanbieden, zoals een badge of wachtwoord, zonder positieve of negatieve gevolgen die de keuze beïnvloeden. ID Scan biedt op vergelijkbare wijze een handmatige houderverificatie wanneer automatische Face Match niet wordt gebruikt. Dat is een relevante waarborg, maar mag niet worden gelezen als een goedkeuring van de CNIL voor Face Match bij employee onboarding.
In 2017 en 2018, voordat de AVG van toepassing werd, gaf de CNIL Société Générale en Boursorama toestemming om gezichtsherkenning te gebruiken voor klantonboarding op afstand. Deze systemen vergeleken een live-/selfiebeeld met het portret uit het identiteitsdocument om de identiteitscontrole op afstand te versterken en fraude met een valse of gestolen identiteit te beperken. In beide besluiten bleef een onboardingroute zonder biometrie beschikbaar; de CNIL beschouwde een echt alternatief als essentieel voor de vrijheid van toestemming.
In de Boursorama-flow werden de selfie en het documentportret beveiligd verzonden voor biometrische vergelijking op een server. De templates bestonden alleen in het werkgeheugen tijdens de vergelijking en werden daarna verwijderd, samen met het uitgesneden documentportret, de selfie en de vergelijkingsscore; alleen het authenticatieresultaat bleef bewaard. De CNIL benadrukte dataminimalisatie en het niet bewaren van biometrische templates als waarborgen.
Deze historische toestemmingen zijn geen algemene goedkeuring onder de huidige AVG, maar zijn wel relevante precedenten voor het doel en de waarborgen van eenmalige houderverificatie op afstand. ID Scan past hetzelfde minimalisatieprincipe toe en gaat verder bij datalokalisatie: de biometrische 1-op-1 vergelijking vindt lokaal op de smartphone plaats en er wordt geen herbruikbare biometrische gezichtstemplate naar ID Scan of de aanvragende organisatie verzonden.
Frankrijk heeft een formeel kader voor identiteitsverificatie op afstand: PVID
De Franse cybersecurityautoriteit ANSSI beheert het PVID-kader voor aanbieders van identiteitsverificatie op afstand. ANSSI omschrijft het doel daarvan als hetzelfde als bij een fysieke identiteitscontrole: vaststellen dat het door een natuurlijke persoon aangeboden identiteitsdocument authentiek is én dat deze persoon de rechtmatige houder van dat document is.
De huidige PVID-eisen bevatten maatregelen tegen fraude en definiëren liveness-detectie expliciet als het controleren dat de gezichtsvideo van de gebruiker live is en niet fysiek of digitaal is gemanipuleerd. PVID-diensten kunnen worden gecertificeerd op het betrouwbaarheidsniveau substantieel of hoog. Dit bevestigt het technische onderscheid dat op deze pagina centraal staat: documentauthenticiteit en houderverificatie zijn afzonderlijke onderdelen van identiteitsverificatie op afstand.
Franse AML: gereguleerde verificatie op afstand kent specifieke routes
Voor organisaties die onder de Franse antiwitwasregels vallen, bevat de Code monétaire et financier specifieke routes voor identiteitsverificatie. Wanneer de primaire methoden niet kunnen worden gebruikt, verlangt artikel R.561-5-2 een combinatie van ten minste twee genoemde maatregelen en noemt het onder andere een door ANSSI gecertificeerde dienst voor identiteitsverificatie op afstand op substantieel betrouwbaarheidsniveau. Ook ACPR-guidance bevestigt dat technieken zoals biometrie en videoconferentie alleen kunnen worden gebruikt wanneer aan de toepasselijke wettelijke eisen wordt voldaan. ID Scan mag daarom niet automatisch als goedgekeurd voor Franse AML worden gepresenteerd alleen omdat NFC, liveness en Face Match worden gebruikt.
Voor Frankrijk is de context doorslaggevend. De bindende CNIL-regels voor biometrie op het werk zijn specifiek gericht op toegangscontrole en kunnen niet simpelweg op eenmalige onboarding worden geplakt. Tegelijk blijft voor biometrische onboarding een toepasselijke uitzondering van artikel 9 AVG nodig. Voor gereguleerde identiteitsverificatie op afstand heeft Frankrijk met ANSSI/PVID een volwassen kader waarin documentauthenticiteit, verificatie van de rechtmatige houder en liveness/fraudebestendigheid expliciet samenkomen.
Oostenrijk: biometrische identificatie op afstand is expliciet gereguleerd
Oostenrijkse regels geven concrete voorbeelden van gereguleerde identiteitsverificatie op afstand met liveness, biometrische houdervergelijking en, binnen het financiële AML-kader, controle van de elektronische chip.
Photoident: live gezicht en biometrische vergelijking met het identiteitsdocument
De Oostenrijkse Identifikationsverordnung (IVO) bevat een gereguleerde Photoident-procedure voor transacties op afstand. De procedure vereist geautomatiseerde stappen, waaronder het vastleggen van foto’s of video van het gezicht, controleren dat een levend persoon deelneemt, onderzoeken van het identiteitsdocument en biometrisch vergelijken van het gezicht met de foto op het identiteitsdocument.
Dit is een bruikbaar regelgevend voorbeeld van het onderscheid tussen controle van een document en controle van de houder: het proces op afstand moet zowel het identiteitsbewijs beoordelen als vaststellen of de deelnemende persoon overeenkomt met het portret op dat bewijs.
Financiële AML-identificatie: NFC en cryptografische documentauthenticiteit
De Oostenrijkse financiële toezichthouder FMA staat sinds 2021 onder de Online-Identifikationsverordnung volledig biometrische klantidentificatie op afstand toe, onder specifieke voorwaarden. De FMA beschrijft een algoritmisch proces zonder persoonlijk contact met een medewerker, met instemming van de klant, state-of-the-art technologie, een beveiligingsniveau vergelijkbaar met identificatie door een medewerker en een liveness-controle.
Voor biometrische identificatie vereist de huidige Online-IDV een officieel identiteitsdocument met foto waarvan de inhoud elektronisch door de uitgevende autoriteit is ondertekend. De verantwoordelijke moet de authenticiteit van die elektronische handtekening, de integriteit van de ondertekende gegevens en het niet gecompromitteerd zijn van de ondertekeningssleutel controleren. De FMA legt uit dat deze documentcontrole sinds 1 januari 2023 plaatsvindt door het uitlezen van de elektronische beveiligingschip (NFC-chip).
Het Oostenrijkse kader behandelt dezelfde twee technische vragen die ID Scan van elkaar scheidt: is het elektronische identiteitsdocument authentiek en is de persoon die het aanbiedt ook de houder? ID Scan controleert waar ondersteund het cryptografisch beveiligde NFC-document en voert daarna een eenmalige 1-op-1 houdervergelijking uit met liveness-gerelateerde controles. Deze technische overeenkomst betekent niet dat ID Scan automatisch is goedgekeurd of gecertificeerd onder de Oostenrijkse regelingen.
Deze Oostenrijkse regels gelden voor specifieke gereguleerde toepassingen en vormen geen algemene toestemming om Face Match voor ieder doel te gebruiken. Buiten zo’n wettelijk kader moet de organisatie nog steeds zelf de grondslag onder artikel 6 AVG en een toepasselijke uitzondering onder artikel 9 lid 2 bepalen en noodzakelijkheid, proportionaliteit en nationale eisen beoordelen.
Spanje: houderverificatie op afstand en lokale 1-op-1 biometrie worden expliciet erkend
Spaanse regels en richtlijnen van de AEPD geven opvallend concrete voorbeelden van documentverificatie, liveness en biometrische houdervergelijking bij identiteitsprocessen op afstand.
Identificatie op afstand: documentauthenticiteit, rechtmatige houder en liveness
Orden ETD/465/2021 regelt video-identificatie op afstand voor gekwalificeerde elektronische certificaten. Het proces moet de authenticiteit, geldigheid en integriteit van het identiteitsdocument controleren en vaststellen dat de documenthouder overeenkomt met de aanvrager, met technologieën zoals gezichtsherkenning. Ook moet worden vastgesteld dat een levend persoon deelneemt en dat geen sprake is van persoonsverwisseling.
De regeling staat zowel begeleide als onbegeleide processen op afstand toe, waarbij een onbegeleid proces achteraf door een medewerker wordt beoordeeld. Ook is uitdrukkelijke toestemming vereist voor de video-opname en voor verwerking en bewaring van bijzondere persoonsgegevens, terwijl de aanvrager moet worden geïnformeerd over beschikbare identificatiealternatieven zonder verwerking en bewaring van beeld- en biometrische gegevens.
De Spaanse privacytoezichthouder AEPD beschrijft biometrische authenticatie op het apparaat als een mogelijke manier om te controleren dat iemand die informatie uit een officieel identiteitsdocument haalt ook de eigenaar van dat document is: de foto uit het officiële document wordt op het eigen apparaat vergeleken met een realtime selfie, zonder externe resources of servers. De AEPD benadrukt dat ook alternatieve mechanismen beschikbaar moeten zijn.
Waarom dit bijzonder relevant is voor ID Scan
Dit AEPD-voorbeeld sluit nauw aan bij de privacy-architectuur van ID Scan: een betrouwbaar portret uit het identiteitsdocument wordt 1-op-1 vergeleken met een live gezicht op de smartphone, terwijl de biometrische vergelijking lokaal blijft. Die overeenkomst is technisch relevant, maar vormt geen goedkeuring van ID Scan en creëert geen algemene rechtsgrond voor biometrische verwerking.
Spanje geeft daarmee sterke regelgevende erkenning aan houderverificatie op afstand als legitiem technisch concept. Dat betekent niet dat 1-op-1 Face Match automatisch rechtmatig is voor iedere Spaanse toepassing. De verwerkingsverantwoordelijke moet nog steeds de toepasselijke grondslag onder artikel 6, een uitzondering onder artikel 9 lid 2, noodzakelijkheid en proportionaliteit en eventuele sectorspecifieke eisen bepalen.
Italië: remote identiteitsverificatie wordt erkend, met een duidelijk onderscheid tussen handmatige en biometrische controles
Italiaanse toezichtsbronnen erkennen remote onboarding en 1-op-1 biometrische verificatie, terwijl de rechtsgrond en proportionaliteit afhankelijk blijven van de concrete toepassing.
Handmatige gezichtsvergelijking is niet automatisch biometrische verwerking
De Italiaanse Garante maakt uitdrukkelijk onderscheid tussen een gewone visuele identiteitscontrole en geautomatiseerde gezichtsherkenning. In een zaak over verificatie op afstand stelde de Garante dat gezichtsbeelden bij identiteitsverificatie biometrische verwerking worden wanneer de vergelijking geautomatiseerd plaatsvindt met speciale software of hardware. Een menselijke vergelijking van gewone foto’s werd in die zaak niet als biometrische herkenning behandeld.
Remote onboarding: liveness en vergelijking van document met gezicht
Voor remote onboarding in de financiële sector past Italië via Banca d’Italia het EBA-kader voor remote onboarding toe. Bij processen zonder medewerker verlangt de guidance controles waarmee wordt vastgesteld dat de klant een levend mens is en effectieve, betrouwbare algoritmen om te controleren of tijdens het proces gemaakte foto’s of video overeenkomen met de beelden uit de officiële documenten van de klant.
Dit is direct relevant voor houderverificatie: het op afstand verkrijgen van het document is slechts één deel van het proces; ook moet worden vastgesteld dat de live persoon overeenkomt met het portret bij de geclaimde identiteit. Italië geeft binnen gereguleerde AML-onboarding steeds meer voorrang aan eIDAS-conforme digitale identiteiten zoals SPID en CIE. Face Match moet daarom niet worden gepresenteerd als de enige of automatisch voorkeursroute voor Italiaanse AML-identificatie.
Voordat de AVG van toepassing werd, autoriseerde de Garante het remote webcam-herkenningsproces van InfoCert voor de uitgifte van gekwalificeerde of digitale handtekeningen. De aanvrager werd geïnformeerd over de verwerking van persoonsgegevens en biometrische gegevens voor de herkenning op afstand; wanneer de aanvrager daarmee niet instemde, moest een alternatieve identificatiemethode worden aangeboden. Deze historische beslissing is geen algemene toestemming onder de huidige AVG, maar is wel relevant voor de terugkerende waarborg van een echte niet-biometrische route.
Italië onderscheidt ook 1-op-1 verificatie van 1-op-veel identificatie
De biometrische richtlijnen van de Garante onderscheiden biometrische verificatie, waarbij een biometrisch model wordt vergeleken met het model dat hoort bij een geclaimde identiteit, van biometrische identificatie, waarbij een model tegen alle beschikbare modellen wordt gezocht. De eerste vorm wordt uitdrukkelijk omschreven als een 1-op-1 vergelijking. Dit ondersteunt het technische onderscheid op deze pagina, maar vormt op zichzelf geen rechtsgrond onder artikel 9 AVG.
Voor Italië is remote houderverificatie een erkend technisch concept en actuele guidance voor de financiële sector behandelt liveness en vergelijking tussen document en gezicht expliciet. Tegelijk kent Italië geen algemene uitzondering voor 1-op-1 Face Match. De verwerkingsverantwoordelijke moet nog steeds de toepasselijke grondslag onder artikel 6, een uitzondering uit artikel 9 lid 2, noodzakelijkheid en proportionaliteit en eventuele sectorspecifieke eisen vaststellen.
Portugal: biometrische identiteitsverificatie op afstand wordt gebruikt binnen het nationale digitale-identiteitsecosysteem
Materiaal van de Portugese overheid en CNPD laat zien dat gezichtsherkenning, liveness en controle van de echtheid van identiteitsdocumenten gezamenlijk worden gebruikt en beoordeeld.
Chave Móvel Digital: gezicht, liveness en identiteitsdocument
De Portugese Chave Móvel Digital kan op afstand worden geactiveerd binnen het digitale-identiteitsecosysteem van de overheid met biometrische gezichtsverificatie. In haar beoordeling van het wettelijke kader beschreef de Portugese privacytoezichthouder (CNPD) deep-learning gezichtsherkenning, liveness-detectie en technologie voor het controleren van de echtheid van de Cartão de Cidadão als onderdelen van het proces.
De CNPD beschouwde het gebruik van biometrie niet als vanzelfsprekend gerechtvaardigd. Zij vroeg om een nauwkeuriger wettelijke beschrijving van de verwerking en geautomatiseerde logica, de betrokken persoonsgegevens, verantwoordelijkheden en bewaartermijnen, en om voldoende informatie zodat burgers een vrije en geïnformeerde keuze kunnen maken.
Portugal biedt daarmee een nuttige combinatie: biometrische houderverificatie op afstand is een reële overheidstoepassing, terwijl de privacytoezichthouder nadruk legt op transparantie, doelbinding, bewaartermijnen en echte keuzevrijheid. ID Scan beperkt meerdere van die risicofactoren door de biometrische 1-op-1 vergelijking op de smartphone uit te voeren en geen herbruikbare centrale gezichtstemplate te creëren; dat technische ontwerp vormt op zichzelf geen rechtsgrond.
Kopieën van identiteitsdocumenten: verifiëren betekent niet automatisch een kopie bewaren
De CNPD hanteert ook een restrictieve benadering voor het kopiëren van de Portugese Citizen Card. In haar publieke guidance staat dat voor een kopie een wettelijke basis of toestemming van de houder nodig is en dat echte alternatieven onder meer fysieke inzage, elektronische uitlezing van de kaart of elektronische identificatie op afstand kunnen zijn. Dit ondersteunt het bredere beginsel van dataminimalisatie: waar mogelijk de identiteit aan een gezaghebbende bron verifiëren in plaats van standaard volledige documentkopieën te verspreiden en bewaren.
Portugal erkent biometrische identiteitsverificatie op afstand binnen specifieke publieke en gereguleerde contexten, maar kent geen algemene uitzondering voor Face Match. De verwerkingsverantwoordelijke moet nog steeds de toepasselijke grondslag uit artikel 6, een uitzondering uit artikel 9 lid 2 bij biometrische verwerking, en de noodzakelijkheid, proportionaliteit, transparantie en bewaartermijnen beoordelen.
Denmark: national eID combines chip-based document verification with facial holder verification
MitID provides a concrete public-sector example of remote identity proofing using an identity document, its chip and a live face scan.
MitID: document chip and live face comparison
The Danish Agency for Digital Government explains that MitID can be obtained in the app with a passport or supported foreign identity card. The document chip is read and the user scans their face; the face scan is then compared with the portrait from the identity document to confirm identity.
This is a useful European example of the distinction between checking an authentic identity document and checking that the person presenting it is its holder. It does not mean that every private biometric verification is automatically lawful under the GDPR.
In a 2024 decision on facial recognition in a fitness centre, the Danish Data Protection Authority accepted that explicit consent can constitute an Article 9(2)(a) exception where the consent is properly informed and voluntary. A key factor was the availability of genuine alternatives that provided the same access without significant restrictions or extra cost. The case concerned access control, not remote identity proofing, but its reasoning is relevant when assessing whether consent to biometric processing is genuinely free.
For ID Scan, Denmark provides two separate lessons: the national eID demonstrates a real-world chip-to-face holder-verification flow, while Datatilsynet shows that an explicit-consent route must be assessed carefully and that a real alternative matters. ID Scan's manual holder-check fallback is intended to provide such a non-biometric route; the customer must still assess whether consent is valid in its specific relationship and context.
Zweden: de privacytoezichthouder maakt expliciet onderscheid tussen 1-op-1 verificatie en 1-op-veel identificatie
IMY beschrijft precies het verificatiepatroon waarbij een template uit een pasfoto wordt vergeleken met een template van het live gezicht van de persoon.
1-op-1 verificatie: documentportret tegenover live gezicht
De Zweedse privacytoezichthouder IMY legt uit dat gezichtsherkenning kan worden gebruikt om een opgegeven identiteit te verifiëren of om een persoon te identificeren. Bij verificatie kunnen beide biometrische templates op hetzelfde moment worden gemaakt: bijvoorbeeld één uit een pasfoto en één uit het gezicht van de persoon voor de camera. IMY noemt dit expliciet 1-op-1 verificatie.
IMY zet dit af tegen identificatie, waarbij één template wordt vergeleken met meerdere templates in een database of in realtime. Dat onderscheid sluit nauw aan bij de houderverificatie van ID Scan: het live gezicht wordt alleen vergeleken met het portret uit het aangeboden identiteitsdocument en niet gezocht in een database met personen.
IMY benadrukt ook dat gezichtsherkenning die wordt gebruikt om iemands identiteit uniek vast te stellen of te bevestigen biometrische gegevens verwerkt. Daarvoor is zowel een grondslag uit artikel 6 als een toepasselijke uitzondering uit artikel 9 lid 2 nodig. De voorbeelden van IMY betekenen dus niet dat iedere 1-op-1 verificatie automatisch rechtmatig is; dit moet per doel en context worden beoordeeld.
Zweden is vooral nuttig voor de terminologie: de toezichthouder beschrijft de vergelijking van een pasfoto met een live gezicht expliciet als 1-op-1 verificatie en onderscheidt dit van 1-op-veel identificatie. Dit ondersteunt de omschrijving van ID Scan Face Match als geautomatiseerde houderverificatie in plaats van gezichtsidentificatie via een database, terwijl de waarborgen van artikel 9 AVG volledig van toepassing blijven.
Finland: betrouwbare identiteitsverificatie en tijdelijke biometrische vergelijking
De Finse wet biedt bruikbare voorbeelden van documentgebaseerde identiteitsverificatie en biometrische houdervergelijking waarbij de vergelijkingsgegevens slechts tijdelijk worden gebruikt.
Sterke elektronische identificatie begint met een betrouwbaar identiteitsdocument
Het Finse kader voor sterke elektronische identificatie definieert eerste identificatie als het verifiëren van de identiteit van de aanvrager bij de uitgifte van een identificatiemiddel. Wanneer dit uitsluitend op een officieel identiteitsdocument is gebaseerd, worden geldige paspoorten en identiteitskaarten uit EER-landen, Zwitserland en San Marino geaccepteerd. De Finse wet verplicht de aanbieder bovendien de geldigheid van het gebruikte document te controleren.
Een wettelijk voorbeeld van eenmalige biometrische houdervergelijking
De Finse identiteitskaartwet bevat een bijzonder relevant privacy-by-designprincipe. In de situaties waarop die wet van toepassing is, mag van de kaarthouder een vingerafdruk of gezichtsopname worden gemaakt en worden vergeleken met de overeenkomstige biometrische gegevens in het technische deel van de identiteitskaart, om de echtheid van de kaart vast te stellen en de identiteit van de houder te verifiëren. De voor de vergelijking opgenomen gegevens mogen alleen gedurende de vergelijking worden gebruikt en moeten daarna onmiddellijk worden vernietigd.
Deze Finse bepalingen gelden binnen specifieke wettelijke contexten voor identiteit en elektronische identificatie. Ze betekenen niet dat iedere private toepassing van geautomatiseerde gezichtsverificatie automatisch rechtmatig is onder de AVG. Ze vormen wel relevante voorbeelden van twee principes die ID Scan toepast: verificatie tegen een gezaghebbend identiteitsdocument en het beperken van biometrische vergelijkingsgegevens tot wat noodzakelijk is voor een eenmalige houdercontrole.
Finland voegt daarmee een bruikbaar privacy-by-designvoorbeeld toe: biometrische gegevens kunnen voor een houdercontrole worden vergeleken met biometrie uit een identiteitsdocument, terwijl de nieuw opgenomen vergelijkingsgegevens beperkt blijven tot de vergelijking zelf en daarna worden vernietigd. ID Scan past een vergelijkbaar minimalisatieprincipe toe bij de lokale 1-op-1 Face Match; de AVG-grondslag voor ID Scan moet uiteraard nog steeds per klantcontext worden beoordeeld.
Norway: remote AML onboarding explicitly recognises biometric holder control
Finanstilsynet describes digital identity solutions that verify the identity document and check that the customer is the person initiating the onboarding, including by biometric control.
Digital solutions may use biometrics from the identity document
For identity confirmation without physical attendance, Norway requires additional documentation or additional measures based on risk. Finanstilsynet states that digital solutions may automatically obtain required information from an identity document, may use biometrics from the document and should include functionality to check the document's authenticity and validity.
Fully digital onboarding must also address the holder
Where a fully digital solution is used to obtain and confirm the customer's identity, Finanstilsynet states that the technical solution must at minimum check the identity document and verify that it is the customer who initiates the onboarding, for example by biometric control or an equivalent secure solution. This is directly relevant to the distinction between verifying an authentic document and verifying that the person presenting it is its holder.
The Norwegian guidance concerns customer due diligence under anti-money-laundering rules. It does not by itself provide a GDPR Article 9 exception for every biometric Face Match. The organisation must still assess the GDPR legal basis, necessity, proportionality and applicable national rules for its own use case.
Norway is particularly relevant to ID Scan's remote AML use case: the supervisory guidance separately addresses document authenticity and validity and the need to establish that the customer is actually initiating the onboarding, expressly mentioning biometric control. The reporting entity remains responsible for its own assessment and confirmation of the customer's identity.
Estland: identiteitsgegevens en houderverificatie worden expliciet van elkaar onderscheiden
De Estse regels voor identificatie op afstand vereisen veilige en ondubbelzinnige identificatie, terwijl de nationale Eesti-app duidelijk onderscheid maakt tussen het tonen van identiteitsgegevens en het controleren of die gegevens bij de aanbieder horen.
Identificatie op afstand moet betrouwbaar zijn
De Estse antiwitwasregels vereisen dat procedures voor identificatie op afstand waarborgen dat verzamelde gegevens en documenten juist en actueel zijn en dat beelden, video, audio en andere gegevens met voldoende kwaliteit worden verzameld om de persoon ondubbelzinnig identificeerbaar te maken. Als de verbinding wegvalt of een ander technisch probleem optreedt, moet de identificatie mislukken in plaats van een onbetrouwbaar resultaat op te leveren.
De Eesti-app laat de vraag achter houderverificatie duidelijk zien
Met de nationale Eesti-app kan een dienstverlener de identiteit controleren via een tijdelijke QR-code. De geverifieerde documentgegevens worden 30 seconden getoond en de dienstverlener bevestigt de identiteit door de opgehaalde documentfoto en persoonsgegevens te vergelijken met de persoon die voor hem staat. RIA vermeldt uitdrukkelijk dat alleen het tonen van documentgegevens of een documentfoto op zichzelf geen identiteitsverificatie is.
Dit is een nuttig onderscheid voor ID Scan. De Eesti-app gebruikt een handmatige houdercontrole: het geverifieerde documentportret wordt vergeleken met de persoon die het aanbiedt. ID Scan kan die laatste 1-op-1-vergelijking automatiseren met het portret uit de NFC-chip en een live gezicht. Wanneer die vergelijking geautomatiseerd gebeurt met biometrische kenmerken, blijven de AVG-regels voor biometrische gegevens van toepassing.
De Estse bronnen laten betrouwbare identificatie op afstand zien en het verschil tussen het tonen van identiteitsgegevens en het controleren van de houder. Ze creëren op zichzelf geen uitzondering op artikel 9 AVG voor iedere geautomatiseerde biometrische vergelijking. De grondslag, noodzaak, proportionaliteit en toepasselijke nationale regels moeten nog steeds per toepassing worden beoordeeld.
Estland is vooral nuttig om uit te leggen waarom een authentiek identiteitsdocument of geverifieerde identiteitsgegevens niet het einde van het proces zijn: de controleur kan nog steeds moeten vaststellen dat de gegevens bij de persoon horen die ze aanbiedt. Dat is de houderverificatie die ID Scan op afstand uitvoert.
Ierland: officiële identiteitsverificatie op afstand combineert NFC, liveness en biometrische gezichtsvergelijking
De Ierse MyGovID-app biedt een concreet overheidsvoorbeeld van houderverificatie op afstand: paspoortvalidatie, het uitlezen van de chip, een live selfie en biometrische vergelijking worden gecombineerd om de identiteit vast te stellen.
MyGovID vergelijkt de live aanvrager met het paspoort
Voor online SAFE-registratie vereist het Ierse Department of Social Protection een geldig Iers paspoort en een smartphone met NFC. De app leest identiteitsgegevens en de foto uit de paspoortchip, gebruikt de selfie van de aanvrager voor een liveness-controle en vergelijkt deze met de foto’s in het paspoort. Als de selfie niet overeenkomt met de paspoortfoto of de foto op de chip, kan de aanvrager de online route niet voltooien.
De Ierse overheid noemt dit uitdrukkelijk biometrische verwerking
Het Department stelt uitdrukkelijk dat online SAFE-registratie biometrische gegevens in de app creëert en verwerkt. Biometrische gegevens uit drie foto’s worden vergeleken om vast te stellen dat de aanvrager een levend persoon is en om frauduleuze identiteiten te helpen voorkomen. Dit is een bruikbaar officieel voorbeeld van waarom een 1-op-1 houdervergelijking biometrische verwerking blijft, ook wanneer het doel verificatie is en niet het doorzoeken van een database met personen.
De biometrische route op afstand is optioneel
Online SAFE-registratie is vrijwillig. Wie de app niet wil gebruiken, kan SAFE-registratie in plaats daarvan persoonlijk voltooien bij een Public Services Card-centre. Dit bepaalt niet of toestemming in een andere context een geldige uitzondering onder artikel 9 AVG is, maar illustreert wel het belang van een daadwerkelijk alternatief voor een biometrische route op afstand.
MyGovID werkt binnen een eigen Iers wettelijk kader. Het gebruik van paspoortchipgegevens, liveness en biometrische vergelijking laat zien dat deze technieken onderdeel kunnen zijn van officiële identiteitsverificatie op afstand, maar maakt niet iedere private Face Match rechtmatig. Iedere organisatie moet nog steeds haar eigen grondslag, uitzondering onder artikel 9, noodzakelijkheid, proportionaliteit en waarborgen beoordelen.
Ierland is bijzonder relevant voor ID Scan omdat het officiële online SAFE-proces dezelfde beveiligingsvragen afzonderlijk behandelt: is het paspoort geldig, welke identiteit en welk portret staan op de chip, is er een live persoon aanwezig en komt die persoon overeen met de houder van het paspoort? ID Scan volgt een vergelijkbare verificatielogica, waarbij de biometrische Face Match lokaal op de smartphone wordt uitgevoerd en geen herbruikbare biometrische gezichtstemplate naar ID Scan of de klant wordt gestuurd.
Polen: verificatie op afstand kan documentcontrole, liveness en biometrische 1-op-1-vergelijking combineren
Poolse toezichthouders onderscheiden biometrische 1-op-1-verificatie van 1-op-veel-identificatie en erkennen de vergelijking tussen documentfoto en live gezicht als controle bij financiële onboarding op afstand.
UODO onderscheidt 1-op-1-verificatie van 1-op-veel-identificatie
De Poolse privacytoezichthouder UODO legt uit dat biometrische authenticatie of verificatie controleert of iemand is wie hij zegt te zijn door een biometrische opname met één referentie te vergelijken, bijvoorbeeld een referentie op een elektronische kaart of in een biometrisch paspoort. UODO noemt dit een 1-op-1-vergelijking. Bij identificatie wordt een gezicht daarentegen met een database van templates vergeleken: een 1-op-veel-proces.
KNF erkent vergelijking van live gezicht met documentfoto bij onboarding op afstand
De Poolse financiële toezichthouder UKNF noemt biometrische technieken zoals het vergelijken van het live gezicht van de klant met de foto op het identiteitsdocument, met een voldoende hoge matchdrempel. De guidance over videoverificatie noemt daarnaast controles op documentauthenticiteit, OCR en MRZ en het vastleggen van het gezicht via de bankapp om te helpen vaststellen dat de klant daadwerkelijk aanwezig is tijdens de verificatie.
Wanneer de vereiste biometrische betrouwbaarheid niet wordt gehaald, beschrijft UKNF aanvullende controle, bijvoorbeeld door een backofficemedewerker, live videoverificatie of een persoonlijk bezoek. Een mislukte of onzekere automatische match hoeft dus niet als definitieve conclusie over iemands identiteit te worden behandeld.
Deze bronnen laten zien dat biometrische 1-op-1-houderverificatie een erkend technisch concept is en onderdeel kan zijn van gereguleerde identiteitsverificatie op afstand. Ze maken niet iedere private Face Match rechtmatig. De organisatie moet voor de eigen toepassing nog steeds een grondslag onder artikel 6, een toepasselijke uitzondering onder artikel 9 en de noodzaak, proportionaliteit, transparantie en passende waarborgen beoordelen.
Voor ID Scan is Polen vooral relevant omdat de officiële guidance dezelfde vragen van elkaar scheidt: is het identiteitsdocument betrouwbaar, is de klant daadwerkelijk aanwezig en komt de live persoon overeen met het portret op het document? ID Scan voert die laatste stap uit als een eenmalige 1-op-1-houderverificatie en zoekt niet in een gezichtendatabase.
Tsjechië: houderverificatie staat los van documentverificatie
Tsjechische AML-regels en toezichtsmateriaal erkennen onboarding op afstand, terwijl biometrische guidance duidelijk onderscheid maakt tussen 1-op-1-verificatie en 1-op-veel-identificatie.
Identiteitscontrole omvat ook het vergelijken van de persoon met de documentfoto
Binnen het Tsjechische AML-kader is identiteitscontrole niet beperkt tot het uitlezen van identiteitsgegevens uit een document. Bij fysieke controle verifieert de meldingsplichtige instelling ook of het uiterlijk van de persoon overeenkomt met de foto op het identiteitsdocument. Dit laat de afzonderlijke vraag van houderverificatie zien: een authentiek document bewijst op zichzelf niet dat degene die het aanbiedt de rechtmatige houder is.
Onboarding van klanten op afstand maakt deel uit van het Tsjechische toezichtskader
De Tsjechische centrale bank publiceert de EBA-richtsnoeren voor onboarding van klanten op afstand (EBA/GL/2022/15) als onderdeel van haar AML-methodologische en interpretatieve materialen. Deze Europese richtsnoeren erkennen geautomatiseerde verificatie op afstand en vereisen, wanneer biometrie wordt gebruikt, een betrouwbare vergelijking tussen biometrische gegevens uit het identiteitsdocument en de klant, met liveness-controles bij onbegeleide onboarding.
1-op-1-verificatie is iets anders dan zoeken in een gezichtendatabase
Guidance over gezichtsherkenning die door de Tsjechische privacytoezichthouder is gepubliceerd, beschrijft verificatie of authenticatie als het vergelijken van een biometrisch sample van een persoon met één referentiesample, bijvoorbeeld een template die bij een biometrisch paspoort hoort. Dat is een 1-op-1-vergelijking. Identificatie tegen een referentiedatabase is een ander, 1-op-veel-proces.
Deze bronnen ondersteunen het onderscheid tussen documentauthenticiteit, houderverificatie en identificatie tegen een database. Ze maken niet iedere private biometrische Face Match rechtmatig. Een organisatie moet nog steeds een grondslag onder artikel 6, een toepasselijke uitzondering onder artikel 9 en de noodzaak, proportionaliteit, transparantie en waarborgen voor de eigen toepassing beoordelen.
Voor ID Scan bevestigt Tsjechië hetzelfde gelaagde model dat we elders in Europa zien: verifieer het identiteitsdocument, stel vast dat een echte persoon aanwezig is en bepaal of die persoon overeenkomt met de documenthouder. ID Scan voert die laatste stap uit als een eenmalige 1-op-1-houderverificatie en zoekt niet in een gezichtendatabase.
Luxemburg: 1-op-1-authenticatie is iets anders dan identificatie in een database
De Luxemburgse CNPD onderscheidt biometrische authenticatie van een opgegeven identiteit van identificatie tegen meerdere referenties, terwijl de CSSF het Europese kader voor onboarding op afstand toepast.
CNPD onderscheidt authenticatie van identificatie
De Luxemburgse privacytoezichthouder CNPD legt uit dat biometrische identificatie bepaalt wie iemand is door actuele biometrische kenmerken met meerdere referenties te vergelijken. Authenticatie controleert daarentegen of iemand werkelijk degene is die hij of zij beweert te zijn, door de live kenmerken te vergelijken met vooraf vastgelegde referentiegegevens van die persoon, die bijvoorbeeld ook op een individuele chipkaart kunnen staan.
Dit onderscheid is direct relevant voor houderverificatie. ID Scan zoekt geen onbekende persoon in een gezichtendatabase. Het vergelijkt de live persoon eenmalig met het ene referentieportret uit het identiteitsdocument.
Onboarding op afstand wordt erkend binnen het Luxemburgse financiële kader
De CSSF publiceert de EBA-richtsnoeren voor onboarding van klanten op afstand (EBA/GL/2022/15) binnen haar toezichtskader. Deze richtsnoeren behandelen het op afstand verzamelen en verifiëren van klantinformatie en erkennen foto’s, video’s en identiteitsdocumenten als gegevens die tijdens remote onboarding kunnen worden verwerkt. Waar biometrie wordt gebruikt, verlangen de Europese richtsnoeren een betrouwbare vergelijking en passende liveness-controles bij onbegeleide processen.
Het onderscheid van de CNPD tussen authenticatie en identificatie en het remote-onboardingkader van de CSSF laten zien dat 1-op-1 biometrische verificatie een erkend technisch concept is. Daarmee is niet iedere private biometrische Face Match automatisch rechtmatig. De organisatie moet voor de eigen toepassing nog steeds een grondslag onder artikel 6, een toepasselijke uitzondering onder artikel 9 en de noodzaak, proportionaliteit, transparantie en waarborgen beoordelen.
Voor ID Scan bevestigt Luxemburg een belangrijk onderscheid: een opgegeven houder verifiëren aan de hand van één betrouwbaar documentportret is fundamenteel iets anders dan een onbekende persoon identificeren door in een gezichtendatabase te zoeken. ID Scan voert het eerste uit als een eenmalige 1-op-1-vergelijking, lokaal op de smartphone, zonder een centrale herbruikbare biometrische gezichtendatabase te creëren.
Griekenland: houderverificatie op afstand met NFC, liveness en biometrische vergelijking
Griekse kaders voor de publieke en financiële sector gebruiken expliciet identiteitsverificatie op afstand met beveiligde identiteitsdocumenten, live-opname, liveness-controles en biometrische vergelijking met het documentportret.
De Griekse eID-procedure lijkt technisch sterk op de verificatieketen van ID Scan
De Griekse publieke certificeringsautoriteit (APED) beschrijft registratie op afstand voor de Griekse elektronische identiteit met Griekse identiteitskaarten, paspoorten en verblijfskaarten met NFC. Tijdens de geautomatiseerde sessie worden beide zijden van het document vastgelegd, wordt de NFC-chip uitgelezen, worden persoonsgegevens en het portret van de houder opgehaald en worden een reeks selfies en een korte video opgenomen.
De livebeelden worden vergeleken met het portret uit de NFC-chip en er worden liveness-controles uitgevoerd. Goedkeuring vereist onder meer een hoge mate van zekerheid dat degene die de telefoon vasthoudt een werkelijk aanwezige persoon is die overeenkomt met de persoon op het portret uit de NFC-chip, en dat het identiteitsdocument geldig is.
Bank of Greece reguleert biometrische onboarding op afstand expliciet
De Bank of Greece staat digitale klantonboarding toe via een videoverbinding met een getrainde medewerker of via een geautomatiseerde dynamic-selfieprocedure. De regels vereisen live-opnamen van het gezicht vanuit verschillende hoeken, liveness-technieken, opname en controle van het identiteitsdocument en biometrische algoritmen om de persoon te vergelijken met de foto op het identiteitsdocument.
De Griekse voorbeelden laten zien dat documentverificatie via NFC, liveness en biometrische houdervergelijking gevestigde technieken zijn voor identiteitsverificatie op afstand. Daarmee is niet ieder privaat gebruik van Face Match automatisch rechtmatig. Een organisatie moet voor haar eigen doel nog steeds een grondslag onder artikel 6, een toepasselijke uitzondering onder artikel 9 en de noodzaak, proportionaliteit, transparantie en waarborgen beoordelen.
Voor ID Scan biedt Griekenland een bijzonder directe technische vergelijking: betrouwbaar identiteitsdocument → NFC-chip en portret van de houder → live gezicht → liveness → eenmalige 1-op-1 biometrische vergelijking. ID Scan voert de Face Match lokaal op de smartphone uit en creëert geen centrale herbruikbare biometrische gezichtendatabase.
Nederland: Wwft-cliëntenonderzoek
Organisaties die onder de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) vallen, hebben specifieke verplichtingen om cliënten te identificeren en hun identiteit te verifiëren. Identiteitsverificatie op afstand kan onderdeel zijn van dit cliëntenonderzoek, met inachtneming van de eisen die voor de organisatie en haar risicobeoordeling gelden.
ID Scan kan dit proces ondersteunen door verificatie van het identiteitsdocument te combineren met houderverificatie op afstand. Wanneer automatische biometrische Face Match wordt gebruikt, blijven naast de Wwft-verplichtingen ook de AVG-regels voor biometrische gegevens relevant.
Europese EBA-richtlijnen voor identificatie op afstand
De richtlijnen van de European Banking Authority (EBA) voor klantacceptatie op afstand gaan expliciet in op geautomatiseerde verificatie op afstand. Wanneer biometrische gegevens worden gebruikt, moeten volgens deze richtlijnen sterke en betrouwbare algoritmen worden gebruikt om te controleren of de biometrische gegevens uit het identiteitsdocument overeenkomen met de klant. Bij een volledig geautomatiseerd proces zonder medewerker verlangen de richtlijnen bovendien liveness-detectie om vast te stellen dat de vastgelegde persoon tijdens de verificatie daadwerkelijk aanwezig is. De richtlijnen zijn technologieneutraal en beschrijven videobellen als een afzonderlijke verificatiemethode.
Dit sluit nauw aan bij het beveiligingsmodel van ID Scan: de referentiefoto wordt uit de NFC-chip (DG2) gelezen, de persoon wordt live vastgelegd, er worden liveness- en apparaat-integriteitscontroles uitgevoerd en met een 1-op-1 Face Match wordt bepaald of de persoon overeenkomt met de houder van het document. Deze maatregelen zijn bedoeld om het risico op identiteitsmisbruik en spoofing te verkleinen; geen enkele methode voor verificatie op afstand is volledig onfeilbaar.
EBA-richtlijnen voor klantacceptatie op afstandLees onze aparte uitleg over de Wwft
Bekijk de bronnen die wij hebben gevonden, hoe identificatie op afstand binnen het cliëntenonderzoek past en hoe ID Scan het proces kan ondersteunen.
DPIA en biometrisch risico: kijk naar wat er werkelijk met de gegevens gebeurt
Een DPIA gaat over de risico’s van de verwerking en niet alleen over de vraag of gegevens worden opgeslagen. Ook bij een tijdelijke, geautomatiseerde 1-op-1 Face Match worden biometrische kenmerken verwerkt. De AP geeft aan dat organisaties die gezichtsherkenning inzetten vooraf een DPIA moeten uitvoeren.
Bij een biometrische verificatieoplossing zijn onder andere de volgende vragen relevant:
- Worden biometrische templates of gezichtsprofielen naar een server verzonden?
- Worden deze opgeslagen, en zo ja: hoe lang en wie heeft er toegang toe?
- Kan een template later opnieuw worden gebruikt voor een andere vergelijking of een ander doel?
- Is de vergelijking uitsluitend 1-op-1, of kunnen gezichten ook in een database worden opgezocht?
- Welke biometrische informatie wordt beschikbaar gesteld aan de organisatie die de verificatie aanvraagt?
ID Scan voert gezichtsdetectie, liveness-gerelateerde verwerking en de biometrische 1-op-1 vergelijking lokaal op de smartphone uit. De biometrische gezichtstemplate wordt niet naar de servers van ID Scan of naar de klant verzonden en wordt niet in een centrale biometrische database bewaard. De klant ontvangt het resultaat van de verificatie, niet een herbruikbare biometrische template of een gezichtsprofiel.
Dit neemt niet weg dat de verwerking zelf moet worden beoordeeld, maar het risicoprofiel verschilt wezenlijk van dat van een dienst die herbruikbare biometrische templates centraal opslaat. De klant blijft verantwoordelijk voor de beoordeling van het eigen doel, de rechtsgrond en de toepasselijke DPIA-verplichtingen.
Landspecifieke regels binnen Europa
De AVG vormt het gemeenschappelijke Europese kader, maar nationale regels en richtlijnen van toezichthouders kunnen verschillen, met name bij personeel. Daarom behandelen wij de analyse voor één land niet automatisch als conclusie voor ieder EU/EER-land.
Primaire bronnen en verdere informatie
Deze pagina legt uit welke openbare bronnen wij hebben gevonden en hoe ID Scan op basis daarvan is ontworpen. De informatie is bedoeld als toelichting en vormt geen juridisch advies. De organisatie die ID Scan gebruikt blijft verantwoordelijk voor het bepalen van de toepasselijke rechtsgrond, nationale regels en passende verificatieprocedure voor de eigen toepassing.
Lees hoe de technische Face Match werkt
Bekijk hoe ID Scan NFC-documentverificatie, liveness en 1-op-1 houderverificatie op het apparaat combineert.