In beginsel mogen er geen reproducties van identiteitsdocumenten worden gemaakt, dus ik denk dat ze hier in overtreding zijn. Een bsn is ook alleen bedoeld voor communicatie met overheidsinstanties, andere instellingen mogen daar geen administratie van voeren. Kopie/foto/scan wordt ook gezien als deel daarvan.
(Edit: buiten ervan vrijgestelde instanties zoals zorgverzekeraars e.d.)