Bewaartermijnen Wwft en de AVG

Wat bewaren

Identificatie, verificatie, UBO-onderzoek, risicoclassificatie, meldafwegingen en transactiegegevens.

AVG

Verwerk alleen wat nodig is, beveilig dossiers en informeer cliënten via uw privacyverklaring.

Fiscale plicht

De fiscale bewaarplicht van zeven jaar kan voor andere stukken gelden; scheid de grondslagen.

Vernietigen na vijf jaar

Na afloop van de Wwft-bewaartermijn vervalt de grondslag om de gegevens te bewaren. Volgens de AVG moet u ze dan verwijderen, tenzij een andere wettelijke plicht (bijvoorbeeld de fiscale bewaarplicht voor administratie) langer bewaren rechtvaardigt. Label daarom elk dossier met de einddatum van de relatie en plan een jaarlijkse opschoonronde.

Beveiliging van dossiers

Kopieën van identiteitsbewijzen en UBO-gegevens zijn gevoelig. Bewaar ze in een afgeschermde map of dossiersysteem met beperkte toegang, niet in e-mail. Bij een datalek geldt de meldplicht bij de Autoriteit Persoonsgegevens.

Wat moet u precies bewaren?

Artikel 33 Wwft vereist dat u de gegevens van het cliëntenonderzoek op opvraagbare wijze vastlegt en bewaart. Dat zijn onder meer: de identiteitsgegevens van cliënt, vertegenwoordiger en UBO, een kopie van het gebruikte identiteitsdocument, de stukken waarmee u hebt geverifieerd, het structuurschema en de UBO-vaststelling, de risicoclassificatie met onderbouwing, de PEP- en sanctiecontroles, het herkomstonderzoek bij verscherpt onderzoek, de aard en omvang van transacties, en alle meldafwegingen en FIU-meldingen. De termijn van vijf jaar loopt vanaf het einde van de zakelijke relatie of de uitvoering van de incidentele transactie, niet vanaf het moment van vastleggen. Een cliënt die al vijftien jaar bij u is, heeft dus een dossier dat in zijn geheel bewaard moet blijven tot vijf jaar na vertrek. Leg in uw handboek vast welke stukken onder de Wwft vallen en welke onder andere grondslagen, zoals de fiscale bewaarplicht van zeven jaar voor de administratie of beroepsregels voor accountants.

AVG-rechten van cliënten

Cliënten hebben recht op inzage in hun persoonsgegevens. Dat recht is beperkt waar het gaat om FIU-meldingen en meldafwegingen: die mag u niet delen vanwege het verbod op tipping-off. Neem in uw privacyverklaring op dat u gegevens verwerkt op grond van een wettelijke plicht uit de Wwft, hoe lang u ze bewaart en dat bepaalde informatie niet kan worden verstrekt. Verwijderingsverzoeken kunt u weigeren zolang de Wwft-bewaartermijn loopt.

Toets uzelf: de scanvragen en acties

Deze vragen uit de Wwft-scan horen bij dit onderwerp. De termijn volgt uit Kans × Schade, zoals in uw Plan van Aanpak.

Stappenplan: zo voert u de actie uit

1. 1

   Stap 1 – Bewaarbeleid vastleggen

   Leg per documenttype de termijn en grondslag vast.

2. 2

   Stap 2 – Dossiers labelen

   Noteer einddatum relatie en vernietigingsdatum.

3. 3

   Stap 3 – Toegang beperken

   Alleen betrokken medewerkers hebben toegang.

4. 4

   Stap 4 – Jaarlijks opschonen

   Vernietig wat verlopen is en leg dat vast.

Format: bewaar- en vernietigingsoverzicht

Neem deze kolommen over in Excel of Word. Dit is het document dat het BFT vrijwel altijd opvraagt.

Praktijkcasussen

De 5 meest gemaakte fouten

1. Geen einddatum gelabeld. Dan weet niemand wanneer vernietigd moet worden.
2. ID-kopieën in e-mail. Onveilig en lastig te vernietigen.
3. Grondslagen door elkaar. Wwft en fiscale plicht apart beoordelen.
4. Vernietiging niet vastgelegd. Leg vast wat wanneer is vernietigd.
5. Geen privacyverklaring. Informeer cliënten over de Wwft-verwerking.

Praktijkvoorbeeld

Een cliëntrelatie eindigt in 2026: Wwft-dossier vernietigen in 2031.

Veelgestelde vragen