Ja, dat mag. De bevoegde autoriteit mag een kopie maken van het reisdocument. In de wet staan regels over de vaststelling van de identiteit van aanvrager door de bevoegde autoriteit (onder andere Nederlandse gemeenten). In deze regels wordt voorgeschreven dat voor de vaststelling van de identiteit onder ander gebruik wordt gemaakt van het door de aanvrager overgelegde Nederlandse reisdocument (artikel 28 van de Paspoortwet, in artikel 2.1 van het Paspoortbesluit en artikel 22 PUN). Om tijdens de eindcontrole een extra identiteitscontrole te kunnen uitvoeren mag de gemeente, op basis van voorgenoemde regels, een kopie maken van het overgelegde reisdocument.

Het maken van een kopie van een reisdocument en vergelijken daarvan, zijn verwerkingen van persoonsgegevens in de zin van de AVG. Het maken van een kopie van een identiteitsbewijs is volgens de Autoriteit Persoonsgegevens ‘de zwaarste manier’ om iemands identiteit vast te stellen en mag daarom alleen als de wet dat toestaat. Artikel 2.1 van het Paspoortbesluit schrijft voor dat voor het verkrijgen van de nodige zekerheid over de identiteit van de aanvrager gebruik wordt gemaakt van het door de aanvrager overgelegde Nederlandse reisdocument. Er is daarmee een wettelijke verwerkingsgrondslag voor de gemeenten om een kopie te maken van het reisdocument (artikel 6 lid 1 sub c AVG). Zodra de gemeenten de eindcontrole heeft uitgevoerd en het verstrekkingsbesluit is genomen vervalt de grondslag om de fotokopie te bewaren. De fotokopie moet na de eindcontrole direct vernietigd worden en mag niet worden opgeslagen.

Let op: bevoegde instanties kunnen geen rechten ontlenen aan deze uitspraak van RvIG. De identiteitsvaststelling van de aanvrager is immers een wettelijke taak van de bevoegde instantie en de bevoegde instantie is daarmee zelf verantwoordelijkheid voor de gegevensverwerkingen die plaatsvinden bij het uitvoeren van die taak. Bevoegde instanties kunnen voor een definitieve AVG toets omtrent verwerkingsgrondslagen en noodzakelijkheid terecht bij hun privacy officer, dan wel bij de Autoriteit Persoonsgegevens.