Veilige kopie van je paspoort of ID-kaart

Wat de Nederlandse overheid adviseert

Twee officiële bronnen geven hetzelfde advies over het delen van een kopie van een Nederlands identiteitsbewijs: Rijksoverheid en de Autoriteit Persoonsgegevens (de Nederlandse privacytoezichthouder). Kort samengevat:

• Maak je BSN (burgerservicenummer) onleesbaar op de kopie — ook in de machineleesbare cijfers onderaan het document.
• Je mag ook je pasfoto en handtekening afschermen.
• Zet op de kopie dat het een kopie is, en voor wie / voor welk product of doel de kopie bedoeld is.
• Zet op de kopie de datum waarop je de kopie afgeeft.

De Autoriteit Persoonsgegevens zegt er duidelijk bij dat sommige organisaties — bijvoorbeeld telecomaanbieders en autoverhuurbedrijven — je BSN en pasfoto niet eens mogen verwerken, en die zelf moeten afschermen als ze een kopie maken.

Let op de QR-code: op Nederlandse paspoorten en ID-kaarten die vanaf 2 augustus 2021 zijn uitgegeven, is het BSN uit de machineleesbare regels gehaald en verplaatst naar een QR-code — op de achterkant van de ID-kaart en op de fotopagina van het paspoort. Scherm die QR-code dus ook af. Op oudere documenten kan het BSN ook als getal op de voor- of achterkant staan: scherm elke plek af waar het staat.

Liever een app? De Rijksoverheid heeft hiervoor een eigen gratis app, KopieID (iPhone en Android): je schermt de gegevens af die de ontvanger niet nodig heeft en zet er een watermerk met het doel op.

Vergelijkbaar advies van andere Europese toezichthouders

Verschillende andere privacytoezichthouders in de EU geven vergelijkbaar advies: scherm de velden af die de ontvanger niet strikt nodig heeft, en zet het doel en de datum op de kopie. Deze tool werkt voor al die gevallen — vul bij het doel gewoon de formulering in die de toezichthouder aanraadt.

• Frankrijk — CNIL. Zet een zichtbaar watermerk met de ontvanger, het doel en de datum — het voorbeeld van de CNIL zelf is "Document transmis uniquement pour l'ouverture d'un compte chez [organisme] – [date]". De CNIL raadt ook aan de resolutie van de kopie te beperken, zodat die lastiger te hergebruiken is.
• Duitsland — Verbraucherzentrale Niedersachsen. Scherm op een Personalausweis het documentnummer, het toegangs-/serienummer, de oogkleur, lengte, nationaliteit, handtekening en geboorteplaats/-datum af, en zet er een watermerk op met de ontvanger en het doel. Sinds de wijziging van de PAuswG in 2017 hoeven normaal alleen naam, adres, geboortedatum en geldigheid zichtbaar te blijven voor een identiteitscontrole.
• Spanje — AEPD. Wis of vervaag op de voorkant van een DNI het supportnummer, geslacht, nationaliteit, geboortedatum en handtekening; op de achterkant het adres, de geboorteplaats en de namen van de ouders. Alleen naam, achternamen, documentnummer en foto hoeven te blijven — plus een zichtbare notitie met doel en datum.
• België — Gegevensbeschermingsautoriteit (GBA). Geef alleen een doorstreepte kopie af en scherm elk veld af dat niet strikt nodig is — vooral het rijksregisternummer, het kaartnummer van de eID, de geldigheidsdata, het geslacht, de nationaliteit en de geboorteplaats/-datum — en schrijf op de kopie de naam van de ontvanger en het specifieke toegestane gebruik.
• Polen — UODO. Als een kopie van een dowód osobisty echt onvermijdelijk is, scherm dan elk veld af dat het doel van het contract niet strikt vereist. UODO geeft er de voorkeur aan dat het document persoonlijk wordt getoond in plaats van gekopieerd.

De rode draad in al deze adviezen — en in de Nederlandse richtlijnen hierboven — is steeds dezelfde: deel zo min mogelijk, zet doel en datum in het watermerk, en houd bij wie de kopie heeft gekregen.

En in het Verenigd Koninkrijk?

Britse consumentenadviezen over de veiligheid van identiteitsdocumenten zijn verspreid over drie instanties, en — anders dan de Nederlandse bronnen — publiceert geen van hen een stappenplan voor het afschermen van een paspoortkopie. Hun advies draait vooral om voorkomen, melden en preventieve registratie:

• Information Commissioner's Office (ICO) — Identity theft: de consumentenpagina van de Britse toezichthouder. Legt de waarschuwingssignalen uit, wat je moet doen als je denkt dat je gegevens zijn uitgelekt, en raadt aan verloren of gestolen ID-bewijzen te melden bij de uitgevende instantie.
• Action Fraud — Identity fraud and identity theft: het nationale meldpunt voor fraude in het VK. Raadt aan persoonlijke documenten achter slot en grendel te bewaren, alles met je naam erop te vernietigen voordat je het weggooit, en verloren of gestolen paspoorten te melden bij HM Passport Office.
• Cifas — Identity protection: de Britse fraudepreventiedienst. Tegen een kleine vergoeding kun je Protective Registration aanvragen, zodat aanvragen voor krediet of rekeningen op jouw naam extra worden gecontroleerd.

Het onderliggende principe is in elk land hetzelfde: deel zo min mogelijk, met zo min mogelijk mensen, zo kort mogelijk, en houd bij naar wie je het hebt gestuurd. Afschermen wat een ontvanger niet strikt nodig heeft en het doel op de kopie zetten werkt in elk land — ook al is het alleen de Nederlandse overheid die het zo gedetailleerd uitlegt.

Voordat je je kopie verstuurt

• Open de gedownloade afbeelding en zoom in: is alles wat je wilde afschermen echt bedekt, ook de QR-code? Is het watermerk leesbaar?
• Verstuur bij voorkeur via een end-to-end versleuteld kanaal. Vermijd gewone e-mail als dat kan.
• Noteer de ontvanger en de datum. Duikt de kopie ooit ergens anders op, dan weet je wie hem had.
• In Nederland mag een winkel, hotel, sportschool of verhuurder meestal geen kopie van je ID zonder afscherming eisen. Vraagt iemand daar toch om, dan is dat vaak een waarschuwingssignaal.
• Sommige organisaties moeten wettelijk bepaalde gegevens zien — je werkgever heeft bijvoorbeeld je BSN nodig voor de loonadministratie, en banken moeten je identiteit controleren vanwege de witwasregels. Twijfel je? Vraag de ontvanger welke gegevens echt nodig zijn.
• Verwijder de kopie na het versturen uit je map Downloads, en laat hem niet rondslingeren in chats of conceptmails.