Kort antwoord: Bij selfie-ID-verificatie wordt een foto van de kandidaat vergeleken met de foto op het identiteitsbewijs. Onder de AVG gaat het bij die vergelijking meestal om biometrische gegevens, en die mogen alleen worden verwerkt op grond van een uitzondering. Sinds 1 september 2026 vereist de Nederlandse uitzondering een zwaarwegend algemeen belang bij rechtmatige toegang. Volgens onze lezing voldoen routinematige controles van kandidaten daar zelden aan. Bied een route zonder biometrie aan.
Belangrijkste punten
- Software die een selfie vergelijkt met de foto op een identiteitsbewijs, verwerkt meestal biometrische gegevens. Artikel 9 van de AVG verbiedt het gebruik van biometrische gegevens om iemand uniek te identificeren, tenzij een uitzondering geldt.
- Sinds 1 september 2026 vereist de Nederlandse uitzondering (artikel 29 UAVG) ook dat de verwerking noodzakelijk is vanwege een zwaarwegend algemeen belang bij rechtmatige toegang tot bepaalde plaatsen, gebouwen, diensten, producten of systemen.
- De memorie van toelichting bij de wijziging zegt dat efficiëntie en kostenbesparing niet volstaan, en koppelt vrije toestemming op het werk aan een echt alternatief dat zonder druk wordt aangeboden.
- De Nederlandse wet schrijft voor dat werkgevers en uitzendbureaus de identiteit vaststellen aan de hand van een document: voordat het werk begint, voordat iemand wordt geplaatst of voordat een kandidaat aan een werkgever wordt voorgesteld. Een gezichtsvergelijking schrijft de wet niet voor, en een controle op het moment dat iemand solliciteert ook niet.
- Voer vóór elke selfiecontrole een gegevensbeschermingseffectbeoordeling (DPIA) uit, vraag de leverancier om schriftelijke antwoorden en bied elke kandidaat een gelijkwaardige route zonder biometrie.
Op deze pagina: Welke drie vragen spelen er bij selfie-ID-verificatie? · Gaat het bij het vergelijken van een selfie met de foto op een identiteitsbewijs om biometrische gegevens? · Wat is er op 1 september 2026 veranderd in de Nederlandse uitzondering voor biometrie? · Waarom is toestemming van een kandidaat zelden genoeg? · Op welk moment in het wervingsproces mag je de identiteit controleren? · Wat moeten een DPIA en de documentatie van de leverancier bevatten? · Welke alternatieve route moeten kandidaten krijgen aangeboden? · Wat betekent dit voor uitzendbureaus en werkgevers met personeel op de werkvloer? · Wat laat dit artikel open? · Hoe Radius helpt · Conclusie · Veelgestelde vragen
Identiteitscontroles op afstand beloven dat mensen sneller aan het werk kunnen: de kandidaat fotografeert het identiteitsbewijs, maakt een selfie, en software bevestigt dat de twee gezichten overeenkomen. De juridische situatie is minder eenvoudig en veranderde op 1 september 2026. Dit artikel helpt functionarissen voor gegevensbescherming (FG’s), compliance officers en HR-directeuren om de vraag over biometrie zo te formuleren dat ze die aan een juridisch adviseur kunnen voorleggen.
Welke drie vragen spelen er bij selfie-ID-verificatie?
Achter elke selfie-ID-vergelijking zitten drie afzonderlijke juridische vragen. Het ontwerp van een tool beantwoordt ze nooit, en een ja op de ene vraag beslist niet over de andere twee.
| Vraag | Wat bepaalt het antwoord |
|---|---|
| 1. Is de gezichtsvergelijking biometrische verwerking onder de AVG? | AVG, artikel 4, punt 14; artikel 9, lid 1; overweging 51 |
| 2. Zo ja, welke uitzondering staat dat toe, als die er al is? | AVG, artikel 9, lid 2; artikel 29 UAVG zoals gewijzigd op 1 september 2026; uitdrukkelijke toestemming |
| 3. Is in deze fase van de werving überhaupt een identiteitscontrole nodig? | Nederlandse identiteitsplichten voor werkgevers, uitzendbureaus en inleners; minimale gegevensverwerking onder de AVG |
Argumenten als “het is alleen verificatie”, “kandidaten geven toestemming” of “werkgevers moeten de identiteit toch al controleren” beantwoorden elk één vraag en laten de andere twee open.
Gaat het bij het vergelijken van een selfie met de foto op een identiteitsbewijs om biometrische gegevens?
Meestal wel, als software de twee gezichten vergelijkt. De AVG definieert biometrische gegevens als persoonsgegevens die het resultaat zijn van een specifieke technische verwerking van de fysieke kenmerken van een persoon en op grond waarvan eenduidige identificatie van die persoon mogelijk is of wordt bevestigd, en noemt gezichtsafbeeldingen als voorbeeld (AVG, artikel 4, punt 14).
Overweging 51 voegt daar een grens aan toe: foto’s vallen alleen onder de definitie van biometrische gegevens wanneer ze worden verwerkt met bepaalde technische middelen die de unieke identificatie of authenticatie van een persoon mogelijk maken. Een tool die van beide foto’s metingen van het gezicht maakt en die metingen met elkaar vergelijkt, doet precies dat.
Artikel 9, lid 1, verbiedt de verwerking van biometrische gegevens met het oog op de unieke identificatie van een persoon. Sommige leveranciers voeren aan dat een één-op-één-controle alleen de identiteit bevestigt die iemand opgeeft en daarom buiten het verbod valt. Daar zijn twee redenen om niet op te vertrouwen:
- De definitie in artikel 4, punt 14, omvat zelf al gegevens op grond waarvan identificatie mogelijk is of wordt bevestigd.
- Artikel 29 UAVG heft het verbod op voor verwerking die noodzakelijk is voor authenticatie, wat alleen zinvol is als authenticatie überhaupt onder het verbod valt (UAVG, artikel 29).
Naar onze mening hoort een werkgever of uitzendbureau een selfie-ID-vergelijking te behandelen als verwerking onder artikel 9, tenzij de eigen juridisch adviseur schriftelijk tot een andere conclusie komt.
Twee punten zorgen vaak voor verwarring. Ten eerste valt de controle niet buiten de AVG doordat je de selfie snel verwijdert, want verwerking omvat naast het wissen ook het verzamelen en gebruiken (AVG, artikel 4, punt 2). Ten tweede valt een systeem waarvan het enige doel is te bevestigen dat iemand is wie hij of zij beweert te zijn, volgens de Europese AI-verordening (AI Act) niet onder de hoogrisicocategorie voor biometrische identificatie op afstand (AI-verordening, artikel 3, punt 36, en bijlage III, punt 1, onder a). Die uitsluiting gaat alleen over de indeling onder de AI-verordening. Ze heft het verbod van de AVG niet op. Ons artikel over de AI Act bij werving en selectie behandelt de bredere regels van de AI-verordening voor wervingstools.
Wat is er op 1 september 2026 veranderd in de Nederlandse uitzondering voor biometrie?
De Nederlandse uitzondering vereist nu ook een zwaarwegend algemeen belang bij rechtmatige toegang. De AVG staat lidstaten toe om redenen van zwaarwegend algemeen belang uitzonderingen te maken, met passende waarborgen, en bijkomende voorwaarden te stellen voor biometrische gegevens (AVG, artikel 9, lid 2, onder g, en lid 4). Nederland heeft dat gedaan in artikel 29 van de Uitvoeringswet AVG (UAVG).
| Artikel 29 UAVG tot en met 31 augustus 2026 | Artikel 29 UAVG vanaf 1 september 2026 | |
|---|---|---|
| Wettekst | “noodzakelijk is voor authenticatie of beveiligingsdoeleinden” | “noodzakelijk is voor authenticatie of omwille van beveiligingsdoeleinden en slechts voor zover dit noodzakelijk is vanwege een zwaarwegend algemeen belang van rechtmatige toegang tot bepaalde plaatsen, gebouwen, diensten, producten, informatiesystemen of werkprocessystemen” |
| In gewone woorden | Nodig voor authenticatie of beveiliging | Nodig voor authenticatie of beveiliging, en alleen voor zover dat nodig is vanwege een zwaarwegend algemeen belang bij rechtmatige toegang tot bepaalde plaatsen, gebouwen, diensten, producten, informatiesystemen of werkprocessystemen |
De wijziging is doorgevoerd in de Verzamelwet gegevensbescherming (Staatsblad 2026, 154, artikel I, onderdeel K) en is op 1 september 2026 in werking getreden op grond van het bijbehorende inwerkingtredingsbesluit (Staatsblad 2026, 196). De geconsolideerde tekst op wetten.overheid.nl laat zien dat de nieuwe formulering vanaf die datum geldt.
De memorie van toelichting bij het wetsvoorstel licht de bedoeling toe (Kamerstukken II, 36264, nr. 3):
- De organisatie moet in elk concreet geval toetsen of biometrie noodzakelijk is voor authenticatie of beveiliging én of dat noodzakelijk is vanwege een zwaarwegend algemeen belang. De Autoriteit Persoonsgegevens en de rechter kunnen die afweging beoordelen.
- Als voorbeelden worden onder meer kerncentrales genoemd, vitale infrastructuur zoals telecomcentra en beheercentra voor energie-infrastructuur, locaties met een risico op zware ongevallen met gevaarlijke stoffen, en luchthavens en zeehavens. Ook het beveiligen van de toegang tot apparaten zoals laptops en telefoons, om systemen en netwerken te beschermen, kan eronder vallen.
- Het belang moet uitstijgen boven gewone bedrijfs- of organisatiebelangen, zoals efficiëntie of kostenbesparing.
Wat betekent dat voor de controle van kandidaten? Volgens onze lezing zijn een snellere onboarding en minder identiteitsfraude reële doelen, maar het zijn bedrijfsbelangen, en een routinematige controle van kandidaten regelt niet de rechtmatige toegang tot een beschermde plaats of een beschermd systeem. Het is moeilijk in te zien hoe die controle aan de nieuwe toets voldoet. Denkt een organisatie dat dit in haar geval wel zo is, dan hoort een juridisch adviseur dat te bevestigen.
Zelfs onder de oude, ruimere tekst oordeelde de kantonrechter in Amsterdam in 2019 dat een retailer een werknemer niet mocht verplichten om met een vingerafdruk in te loggen op de kassa’s. Fraudepreventie maakte de verwerking niet noodzakelijk, en de werkgever had niet laten zien waarom hij voor vingerafdrukken koos in plaats van voor pasjes of codes (Rechtbank Amsterdam, ECLI:NL:RBAMS:2019:6005). Naar onze mening weegt die redenering onder de tekst van 2026 minstens zo zwaar.
Waarom is toestemming van een kandidaat zelden genoeg?
Omdat een sollicitant zelden een vrije keuze heeft. De AVG staat toe dat bijzondere categorieën van persoonsgegevens worden verwerkt met uitdrukkelijke toestemming (artikel 9, lid 2, onder a), maar die toestemming moet vrijelijk zijn gegeven. Volgens overweging 43 mag toestemming geen geldige grondslag zijn bij een duidelijke wanverhouding tussen de partijen. Artikel 7, lid 4, kijkt of iets wat iemand wil, afhankelijk wordt gemaakt van toestemming. En artikel 7, lid 3, bepaalt dat het intrekken van toestemming even eenvoudig moet zijn als het geven ervan.
De memorie van toelichting bij de wijziging van 2026 gaat rechtstreeks in op arbeidsverhoudingen. Omdat werknemers afhankelijk zijn van hun werkgever, kan toestemming voor biometrie volgens de memorie in vrijheid worden gegeven als werknemers alternatieven worden geboden, zoals een wachtwoord of een token, en geen druk ervaren om voor de biometrische optie te kiezen (Kamerstukken II, 36264, nr. 3). Een kandidaat die de baan nodig heeft, staat eerder zwakker dan een werknemer.
Toestemming telt alleen mee als:
- vóór de selfiestap in gewone woorden een route zonder biometrie wordt aangeboden;
- kiezen voor die route de kandidaat geen tijd, geen plek in de rij en geen kans op de baan kost;
- de toestemming even eenvoudig kan worden ingetrokken als ze is gegeven, en de keuze wordt vastgelegd.
De veelgemaakte fout is een aanvinkvakje voor toestemming, gevolgd door een selfiestap die elke kandidaat moet doorlopen: een voorwaarde om te solliciteren, gepresenteerd als een keuze.
De arbeidsrechtelijke uitzondering van de AVG, artikel 9, lid 2, onder b, vereist dat de wet of een collectieve overeenkomst de verwerking toestaat, met passende waarborgen. De Nederlandse identiteitsplichten hieronder vragen om een document en noemen geen biometrische vergelijking. Of een andere uitzondering in een bepaald geval kan gelden, is een vraag voor een juridisch adviseur.
Op welk moment in het wervingsproces mag je de identiteit controleren?
De wettelijke plichten gelden bij het werk, de plaatsing of de bemiddeling, niet bij het solliciteren. Elke plicht vraagt om een document:
- Werkgevers moeten de identiteit van een werknemer vaststellen aan de hand van een document dat in de Wet op de identificatieplicht wordt genoemd, en de aard, het nummer en een kopie van dat document bewaren in de loonadministratie (Wet op de loonbelasting 1964, artikel 28, lid 1, onder f; Wet op de identificatieplicht, artikel 1). Volgens de overheid moet dat gebeuren voordat de persoon aan het werk gaat, en met het origineel, want een kopie volstaat niet (Ondernemersplein).
- Uitzendbureaus en intermediairs moeten de identiteit van een werkzoekende vaststellen aan de hand van zo’n document voordat ze die persoon bij een opdrachtgever plaatsen of aan een werkgever voorstellen. Tenzij ze de kopie als werkgever bewaren op grond van de loonbelastingregel hierboven, moeten ze hun kopie vernietigen zodra ze die niet meer nodig hebben voor die controle, en uiterlijk vier weken nadat die in hun administratie is opgenomen (Waadi, artikel 7c).
- Inleners van uitzendkrachten van buiten de EU, de EER en Zwitserland moeten bij de start van het werk een kopie van het identiteitsbewijs van de uitzendkracht ontvangen, aan de hand daarvan de identiteit vaststellen en die kopie bewaren tot ten minste vijf jaar na het einde van het kalenderjaar waarin het werk eindigde (Wet arbeid vreemdelingen, artikel 15).
Geen van deze regels vraagt om gezichtsvergelijking, en geen enkele schrijft een controle voor op het moment dat iemand solliciteert. De AVG beperkt persoonsgegevens ook tot wat noodzakelijk is voor het doel (artikel 5, lid 1, onder c). Een biometrische controle tijdens de sollicitatie, voordat er een identiteitsplicht geldt, is daarom de moeilijkst te rechtvaardigen variant. Wat je bij elke stap mag controleren, lees je in ons artikel over het verifiëren van kandidaten voor de werkvloer vóór het aanbod.
Wat moeten een DPIA en de documentatie van de leverancier bevatten?
Plan een DPIA in en vraag de leverancier om schriftelijke antwoorden. De AVG verplicht tot een gegevensbeschermingseffectbeoordeling bij grootschalige verwerking van bijzondere categorieën van persoonsgegevens (artikel 35, lid 3, onder b). Op de lijst van de Nederlandse toezichthouder met verwerkingen waarvoor altijd een DPIA nodig is, staat onder meer grootschalige verwerking of stelselmatige monitoring van biometrische gegevens met als doel personen te identificeren (Staatscourant 2019, 64418, punt 17). Volumewerving voor functies op de werkvloer kan die schaal snel bereiken.
Leg deze vragen aan elke leverancier voor:
| Vraag aan de leverancier | Waarom het ertoe doet |
|---|---|
| Wat wordt er precies verzameld: selfiebeeld, video, gezichtstemplate, resultaat van de vergelijking? | Dit bepaalt welke gegevens biometrisch zijn. |
| In welke stap vindt de controle plaats, en kan die worden verplaatst? | De controle hoort te zitten waar een wettelijke plicht geldt, niet eerder. |
| Op welke uitzondering uit artikel 9, lid 2, gaat de leverancier uit, en waarom? | Is het antwoord toestemming, vraag dan hoe het alternatief in de praktijk werkt. |
| Wie is verwerkingsverantwoordelijke, wie is verwerker, en is er een verwerkersovereenkomst? | Dit bepaalt wie de verplichtingen uit de AVG draagt (artikel 4, punten 7 en 8). |
| Waar wordt elk type gegevens opgeslagen, en hoe lang? | Stel de bewaartermijn apart vast voor beeld, template en resultaat. |
| Hoe werkt de route zonder biometrie, en hoe lang duurt die? | Ze moet in snelheid en uitkomst gelijkwaardig zijn om een echte keuze te zijn. |
| Wat gebeurt er als de vergelijking mislukt, en wie beoordeelt dat? | Een mislukte vergelijking hoort naar een mens te gaan en mag een sollicitatie nooit zelfstandig beëindigen. |
| Wat krijgen kandidaten te horen vóór de controle? | De AVG vereist duidelijke informatie over doel, grondslag, ontvangers, bewaartermijn en rechten (artikelen 13 en 14). |
| Welke subverwerkers zijn betrokken? | Je hebt de volledige keten nodig voor de DPIA en de verwerkersovereenkomst. |
Lees op onze pagina Vertrouwen en compliance hoe Radius zijn eigen waarborgen en menselijke beoordeling beschrijft.
Welke alternatieve route moeten kandidaten krijgen aangeboden?
Een mens controleert het originele document, op het moment dat de wet dat vereist. Die route verwerkt geen biometrische gegevens en sluit aan bij wat de identiteitsplichten vragen. Dat kan op drie manieren:
- Persoonlijk op de eerste dag. Een recruiter controleert de pasfoto, de uiterlijke kenmerken, de handtekening, de vervaldatum en de echtheidskenmerken van het originele document, zoals de overheid dat beschrijft (Ondernemersplein), en maakt de kopie die de regels voor de loonadministratie voorschrijven.
- Bij een intake van het uitzendbureau vóór de plaatsing. Het uitzendbureau stelt de identiteit vast zoals artikel 7c van de Waadi voorschrijft en vernietigt zijn kopie binnen de termijn die daar staat, tenzij het de kopie als werkgever bewaart.
- Een documentcontrole door een mens via een live videoverbinding, als een persoonlijke ontmoeting niet mogelijk is. Zonder vergelijking door software en zonder opname valt dit volgens onze lezing over het algemeen buiten de definitie van biometrische gegevens in overweging 51. Het blijft verwerking van persoonsgegevens, dus stem de details af met je FG.
Bied elke kandidaat deze route aan vóór een biometrische stap, niet alleen aan wie bezwaar maakt, onder de voorwaarden uit het gedeelte over toestemming hierboven.
Voorbeeld ter illustratie: een uitzendbureau dat orderpickers werft voor het magazijn van een opdrachtgever, voert de gesprekken en de controles van de functie-eisen online uit. Een recruiter controleert het originele identiteitsbewijs bij een korte intake vóór de eerste plaatsing en maakt de kopie die de wet voorschrijft. Kandidaten die niet kunnen komen, doen een documentcontrole via video met een recruiter. Geen enkele stap hangt af van gezichtsvergelijking, en niemand wordt tijdens de sollicitatie om een kopie van een document gevraagd.
Wat betekent dit voor uitzendbureaus en werkgevers met personeel op de werkvloer?
Op grote schaal tellen drie punten het zwaarst:
- Rollen van uitzendbureau en opdrachtgever. Het uitzendbureau stelt de identiteit vast vóór de plaatsing; een inlener ontvangt alleen een kopie van het identiteitsbewijs van uitzendkrachten van buiten de EU, de EER en Zwitserland. Naar onze mening horen selfies, gezichtstemplates of resultaten van de vergelijking niet standaard aan opdrachtgevers te worden doorgegeven.
- Tijdsdruk. Verzamel vroeg bewijs over vaardigheden en functie-eisen, en controleer de identiteit op het moment dat de wet dat vraagt, niet bij de sollicitatie.
- Vertrouwen van kandidaten. Veel kandidaten solliciteren op hun telefoon, sommigen in een tweede taal. Leg het alternatief uit vóór de controle: dat beschermt beide partijen.
Wat laat dit artikel open?
Dit artikel geeft het kader, geen antwoord voor een specifiek geval. Of een opzet onder artikel 9 valt, en of een uitzondering geldt, hangt af van feiten die alleen de werkgever, zijn FG en een juridisch adviseur kunnen beoordelen. Sectorregels kunnen eigen grondslagen bieden; die hebben we niet onderzocht. Richtsnoeren en rechtspraak over de nieuwe tekst van artikel 29 zijn nog in ontwikkeling. Raadpleeg dus de actuele richtsnoeren van de Autoriteit Persoonsgegevens over biometrie voordat je beslist.
Hoe Radius helpt
Radius Hire is het AI-wervingsplatform voor functies op de werkvloer. Waar de werkgever Radius Passport gebruikt, controleert Passport met een vertrouwde verificatiepartner de identiteit en het recht om hier te werken van een kandidaat, en legt het certificaten vast met hun vervaldatum. Dat neemt de wettelijke plicht van de werkgever om zelf de identiteit te controleren niet weg.
Radius wijst nooit zelfstandig een kandidaat af. Een recruiter bekijkt het bewijs, kan alles wat Radius laat zien terzijde leggen en neemt elke wervingsbeslissing. Kandidaatgegevens worden binnen de EU gehost en verwerkt onder een verwerkersovereenkomst, en de werkgever bepaalt hoe lang ze worden bewaard. Beoordeel je Radius? Stel ons dan de vragen uit dit artikel, zoals je die aan elke leverancier zou stellen, en leg de antwoorden vast in je DPIA. Bekijk hoe het platform werkt, hoe Radius uitzendbureaus ondersteunt en onze pagina Vertrouwen en compliance.
Conclusie
Een selfie-ID-controle bestaat uit drie beslissingen. In de meeste opzetten is de gezichtsvergelijking biometrische verwerking onder artikel 9 van de AVG. Sinds 1 september 2026 vereist de Nederlandse uitzondering ook een zwaarwegend algemeen belang bij rechtmatige toegang, en efficiëntie of kostenbesparing telt daarbij niet mee. Toestemming redt de controle zelden, omdat een kandidaat zelden een vrije keuze heeft. De Nederlandse identiteitsplichten vragen om een document voordat het werk begint, voordat iemand wordt geplaatst of voordat een kandidaat aan een werkgever wordt voorgesteld, niet om een gezichtsvergelijking bij de sollicitatie. De veiligste opzet laat een mens de identiteit controleren op het moment dat de wet dat vraagt, en behandelt elke biometrische optie als iets wat je samen met een juridisch adviseur in een DPIA moet rechtvaardigen.
Veelgestelde vragen
Verbiedt de AI-verordening selfie-ID-controles bij kandidaten?
Nee. De lijst met verboden praktijken in de AI-verordening omvat geen één-op-één-verificatie van een identiteit, en de hoogrisicocategorie voor biometrische identificatie op afstand geldt niet voor systemen die alleen bevestigen dat iemand is wie hij of zij beweert te zijn. De regels van de AVG voor biometrische gegevens blijven onverkort gelden.
Is het biometrische verwerking als een recruiter het gezicht van een kandidaat vergelijkt met diens paspoort?
Over het algemeen niet. Volgens overweging 51 van de AVG vallen foto’s alleen onder biometrische gegevens wanneer ze worden verwerkt met bepaalde technische middelen die unieke identificatie of authenticatie mogelijk maken. Een mens die naar een document kijkt, doet dat niet, al blijft de controle wel een verwerking van persoonsgegevens.
Wie is verantwoordelijk als een verificatieleverancier de selfiecontrole uitvoert?
Meestal de werkgever of het uitzendbureau. De organisatie die bepaalt waarom en hoe de gegevens worden verwerkt, is de verwerkingsverantwoordelijke volgens artikel 4, punt 7, van de AVG. Een leverancier die namens die organisatie handelt, is doorgaans verwerker. Daarom zijn de verwerkersovereenkomst en de DPIA van belang.
Kan artikel 29 UAVG ooit gelden in een arbeidsverhouding?
Ja, voor echt gevoelige toegang. De memorie van toelichting noemt voorbeelden zoals kerncentrales, vitale infrastructuur en zeehavens. Het artikel geldt alleen als biometrie in het concrete geval noodzakelijk is voor dat algemeen belang, en dat is een andere vraag dan het controleren van de identiteit van een kandidaat die solliciteert.
Bronnen
- Europese Unie. Verordening (EU) 2016/679 (Algemene verordening gegevensbescherming, AVG), PB L 119, 4 mei 2016: artikel 4, punten 2, 7, 8 en 14; artikel 5, lid 1, onder c; artikelen 7, 9, 13, 14 en 35; overwegingen 43 en 51. https://eur-lex.europa.eu/eli/reg/2016/679/oj (gecontroleerd op 21 oktober 2026)
- Europese Unie. Verordening (EU) 2024/1689 (AI-verordening), artikel 3, punten 35 en 36, en artikel 5; bijlage III, punt 1, onder a. https://eur-lex.europa.eu/eli/reg/2024/1689/oj (gecontroleerd op 21 oktober 2026)
- Uitvoeringswet Algemene verordening gegevensbescherming, artikel 29, versie geldend vanaf 1 september 2026, wetten.overheid.nl. https://wetten.overheid.nl/BWBR0040940/2026-09-01 (gecontroleerd op 21 oktober 2026)
- Staatsblad 2026, 154: Wet van 10 juni 2026, Verzamelwet gegevensbescherming. https://zoek.officielebekendmakingen.nl/stb-2026-154.html (gecontroleerd op 21 oktober 2026)
- Staatsblad 2026, 196: Besluit van 9 juli 2026 tot vaststelling van het tijdstip van inwerkingtreding van de Verzamelwet gegevensbescherming. https://zoek.officielebekendmakingen.nl/stb-2026-196.html (gecontroleerd op 21 oktober 2026)
- Kamerstukken II, 36264, nr. 3: memorie van toelichting bij de Verzamelwet gegevensbescherming. https://zoek.officielebekendmakingen.nl/kst-36264-3.html (gecontroleerd op 21 oktober 2026)
- Rechtbank Amsterdam, 12 augustus 2019, ECLI:NL:RBAMS:2019:6005. https://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:RBAMS:2019:6005 (gecontroleerd op 21 oktober 2026)
- Wet op de loonbelasting 1964, artikel 28, lid 1, onder f, versie geldend vanaf 8 oktober 2026, wetten.overheid.nl. https://wetten.overheid.nl/BWBR0002471 (gecontroleerd op 21 oktober 2026)
- Wet op de identificatieplicht, artikel 1, versie geldend vanaf 1 oktober 2026, wetten.overheid.nl. https://wetten.overheid.nl/BWBR0006297 (gecontroleerd op 21 oktober 2026)
- Ondernemersplein. Identiteitsbewijs controleren en bewaren (geen datum vermeld). https://business.gov.nl/regulations/verifying-identity-documents/ (gecontroleerd op 21 oktober 2026)
- Wet allocatie arbeidskrachten door intermediairs (Waadi), artikel 7c, versie geldend vanaf 1 juli 2026, wetten.overheid.nl. https://wetten.overheid.nl/BWBR0009616 (gecontroleerd op 21 oktober 2026)
- Wet arbeid vreemdelingen, artikel 15, versie geldend vanaf 12 juni 2026, wetten.overheid.nl. https://wetten.overheid.nl/BWBR0007149 (gecontroleerd op 21 oktober 2026)
- Autoriteit Persoonsgegevens. Besluit inzake lijst van verwerkingen van persoonsgegevens waarvoor een gegevensbeschermingseffectbeoordeling (DPIA) verplicht is, Staatscourant 2019, 64418, punt 17. https://zoek.officielebekendmakingen.nl/stcrt-2019-64418.html (gecontroleerd op 21 oktober 2026)
Algemene informatie, geen juridisch advies. Stand van zaken op 21 oktober 2026.