Identiteitsverificatie voor Wwft-cliëntenonderzoek.
ID Scan ondersteunt organisaties bij het identificeren en verifiëren van natuurlijke personen. Het verificatieresultaat kan worden ingericht rond de informatie die voor de Wwft relevant is, zonder identiteitsdocumenten en biometrische gegevens onnodig te bewaren.
Wat verlangt de Wwft?
Cliëntenonderzoek is breder dan alleen het controleren van een identiteitsdocument. Afhankelijk van de cliënt en het risico moet een Wwft-plichtige instelling de cliënt identificeren en verifiëren, waar nodig de UBO vaststellen en verifiëren, het doel en de beoogde aard van de relatie begrijpen, risico’s beoordelen en de relatie monitoren. ID Scan ondersteunt het onderdeel identiteitsverificatie; de instelling blijft verantwoordelijk voor het volledige cliëntenonderzoek.
Identificeren
Stel vast wie de cliënt is en verzamel de gegevens die nodig zijn voor het cliëntdossier.
Verifiëren
Verifieer de identiteit aan de hand van een geschikt identiteitsdocument en leg vast hoe die verificatie is uitgevoerd.
Risicogebaseerd
Pas regulier, vereenvoudigd of verscherpt cliëntenonderzoek toe op basis van het toepasselijke risico. Identiteitsverificatie is daar één onderdeel van.
Wat moet u voor een natuurlijke persoon vastleggen?
Artikel 33 Wwft verlangt dat de documenten en gegevens die voor het cliëntenonderzoek zijn gebruikt op opvraagbare wijze worden vastgelegd. Voor het identiteitsdocument waarmee de identiteit van een natuurlijke persoon is geverifieerd noemt de wet specifiek de aard, het nummer en de datum en plaats van uitgifte.
Bron: Wwft, artikel 33 - bewaren van bewijsstukken en gegevens uit het cliëntenonderzoek
Ons advies voor een Wwft-verificatietemplate
Voor een Wwft-gerichte template adviseren wij op te vragen wat nodig is om de identiteitsverificatie uit te voeren en aantoonbaar te maken, zonder automatisch ieder beschikbaar gegeven of beeld te bewaren.
Aanbevolen in het verificatieresultaat
- Naam en geboortedatum die nodig zijn voor het cliëntdossier
- Documentsoort, documentnummer, datum van uitgifte en plaats van uitgifte
- Geldigheid van het document en de uitkomst van NFC-chip- en echtheidscontroles
- Indien gebruikt: de uitkomst van de 1-op-1 gezichtsvergelijking
- Verificatiedatum, status en een controleerbaar digitaal verzegeld rapport
Niet standaard opvragen
- Een opgeslagen selfie wanneer alleen het verificatieresultaat nodig is
- De pasfoto uit de NFC-chip wanneer deze niet hoeft te worden bewaard
- Voor- en achterkant van het document alleen omdat deze beschikbaar zijn
- BSN, tenzij uw organisatie een afzonderlijke wettelijke grondslag of noodzaak heeft om dit te verwerken
Ons uitgangspunt: meer verifiëren, minder bewaren.
NFC-verificatie: controleer het document, niet alleen de tekst
Bij ondersteunde elektronische identiteitsdocumenten leest ID Scan de NFC-chip uit en voert cryptografische documentcontroles uit. Daarmee kunnen documentgegevens worden vergeleken met beveiligde chipgegevens en ontstaat sterker bewijs dan bij het handmatig overnemen van zichtbare velden of alleen een foto van het document.
De uitkomst kan worden opgenomen in het digitaal verzegelde verificatierapport, zodat de organisatie kan aantonen hoe de identiteit is geverifieerd.
Een Wwft-dossier vereist niet automatisch een bewaarde kopie van het identiteitsbewijs
Bij Wwft-cliëntenonderzoek is het belangrijk onderscheid te maken tussen het verifiëren van de identiteit en het bewijs dat daarna wordt bewaard. Artikel 33 Wwft bepaalt welke identiteits- en documentgegevens moeten worden vastgelegd. Een volledige kopie van het identiteitsbewijs is niet automatisch vereist wanneer de vereiste gegevens en de wijze waarop de identiteit is geverifieerd op passende wijze worden vastgelegd.
Bij verificatie op afstand wordt vaak een foto of scan van een identiteitsdocument gebruikt om het document te beoordelen en wordt daarnaast een stap gebruikt om het document aan de persoon te koppelen. ID Scan voert deze controles anders uit: het elektronische document wordt via de NFC-chip geverifieerd en, wanneer ingeschakeld, wordt een live selfie 1-op-1 vergeleken met de officiële pasfoto uit die geverifieerde chip. Daarmee kan de identiteitsverificatie volledig op afstand worden uitgevoerd zonder uitsluitend te vertrouwen op een bewaarde documentkopie, beeldbelgesprek of fysieke ontmoeting.
Ons advies: gebruik het identiteitsdocument om de cliënt te verifiëren, maar bewaar niet automatisch de volledige documentafbeelding alleen omdat deze tijdens de verificatie beschikbaar was. Bewaar de Wwft-gegevens en het verificatiebewijs dat uw organisatie daadwerkelijk nodig heeft.
1-op-1 gezichtsverificatie en biometrie
Wanneer identiteitsverificatie onderdeel is van het Wwft-cliëntenonderzoek, kan ID Scan een 1-op-1 gezichtsauthenticatie uitvoeren door een live selfie te vergelijken met de officiële pasfoto uit de geverifieerde NFC-chip. Daarmee wordt één concrete vraag beantwoord: is de persoon die de verificatie uitvoert dezelfde persoon als de houder van het geverifieerde identiteitsdocument? De vergelijking vindt lokaal plaats op het toestel van de gebruiker en er wordt niet in een biometrische database naar de persoon gezocht.
De Autoriteit Persoonsgegevens beschrijft een 1-op-1 gezichtsvergelijking als authenticatie en legt uit dat biometrische verwerking om iemands identiteit te bevestigen onder de regels voor biometrische authenticatie valt. In ID Scan worden de selfie en de chipfoto alleen voor deze 1-op-1 controle op het toestel gebruikt; zij hoeven geen onderdeel van het cliëntdossier te worden. In plaats daarvan kan het verificatieresultaat worden vastgelegd. Biometrische verwerking voor andere doeleinden moet afzonderlijk worden beoordeeld.
Bron: Autoriteit Persoonsgegevens - Identificatie bij financiële ondernemingen
Bron: Autoriteit Persoonsgegevens - Biometrie en 1-op-1-authenticatie
Bewaren: maak onderscheid tussen verifiëren en opslaan
Artikel 33 Wwft kent voor de vereiste gegevens uit het cliëntenonderzoek een bewaartermijn van vijf jaar na het beëindigen van de zakelijke relatie of na de betreffende transactie. Dat betekent niet dat ieder tussenbeeld of iedere biometrische bron automatisch vijf jaar moet worden bewaard. Richt de ID Scan-template in rond de informatie die uw organisatie daadwerkelijk moet bewaren en neem het benodigde bewijs op in uw eigen cliëntdossier.
Artikel 34a Wwft beperkt daarnaast het verdere gebruik van persoonsgegevens die op grond van de Wwft zijn verzameld en verlangt vernietiging na de wettelijke bewaartermijn, tenzij een ander wettelijk voorschrift anders bepaalt.
Nederlandse documenten en “plaats van uitgifte”
Nederlandse paspoorten en identiteitskaarten tonen een afgevende instantie en geen afzonderlijke fysieke locatie van het gemeentekantoor. ID Scan bewaart de oorspronkelijke waarde van de afgevende instantie en kan herkende Nederlandse gemeentelijke instanties normaliseren naar de gemeentenaam voor het veld plaats van uitgifte. Ook de documentatie van RvIG maakt bij Nederlandse documentregistraties onderscheid tussen gemeentecodes en autoriteiten van afgifte.
Deze normalisatie is een implementatiekeuze van ID Scan op basis van documentinformatie en RvIG-referentiegegevens. Dit moet niet worden gelezen als een juridische interpretatie van RvIG of een Wwft-toezichthouder.
ID Scan ondersteunt het proces - uw organisatie blijft verantwoordelijk
ID Scan is een technisch hulpmiddel voor identiteitsverificatie en bewijsvoering. ID Scan bepaalt niet of een cliënt moet worden geaccepteerd, welke risicoclassificatie geldt, of verscherpt cliëntenonderzoek nodig is, wie de UBO is of dat een transactie moet worden gemeld. Die beslissingen blijven bij de Wwft-plichtige instelling.
Bronnen en verder lezen
Wwft - officiële wetgevingBFT - Specifieke leidraad voor accountants, belastingadviseurs en administratiekantorenBelastingdienst - Cliëntenonderzoek voor de WwftAutoriteit Persoonsgegevens - Identificatie bij financiële ondernemingenRijksoverheid - Identiteitsgegevens vastleggen zonder automatisch een kopie te bewarenHoge Raad - ECLI:NL:HR:2026:392 (13 maart 2026)RvIG - Handleiding UitvoeringsproceduresHertoghs advocaten - botsende verplichtingen Wwft en AVGDeze pagina is informatief en vormt geen juridisch advies. Welke verplichtingen gelden hangt af van uw organisatie, beroepsgroep, cliënt, dienstverlening en risicoanalyse.
Richt een privacybewuste Wwft-verificatieflow in
Gebruik templates om alleen de informatie op te vragen die uw proces nodig heeft en integreer het geverifieerde resultaat in uw eigen cliëntdossier.