De Wwft draagt je op gegevens te verzamelen en vijf jaar te bewaren. De AVG draagt je op zo min mogelijk te verzamelen en op tijd te verwijderen. Dat lijkt een conflict, maar het is er geen: de Wwft is precies de wettelijke plicht waarop de AVG je verwerking laat rusten, en de Wwft regelt de scherpste randen zelf. Hieronder de zes punten waar de twee elkaar raken, en wat dat betekent voor je dossier. Elk artikelnummer linkt naar de officiële wettekst.
Elke verwerking heeft een grondslag nodig. Hier is dat de wettelijke verplichting, niet toestemming.
Zet dus geen toestemmingsvinkje op je cliëntenonderzoek. Toestemming kan worden ingetrokken en een wettelijke plicht niet, dus dat vinkje belooft een keuze die er niet is. Je informeert je cliënt, je vraagt hem niets.
Persoonsgegevens die je op grond van de Wwft verzamelt, mag je alleen verwerken om witwassen en terrorismefinanciering te voorkomen, en niet verder voor commerciële doeleinden.
Gegevens verzameld voor het ene doel mag je niet zomaar voor een ander doel gebruiken.
Wat je voor het cliëntenonderzoek ophaalt, mag niet doorstromen naar je CRM, je nieuwsbrief of je commerciële profilering. Dit staat met zoveel woorden in de Wwft zelf, dus het is hier niet alleen een AVG-beginsel maar ook een Wwft-overtreding.
Vóórdat je de relatie aangaat of een incidentele transactie verricht, informeer je de cliënt over de verwerking van persoonsgegevens die de Wwft van je vraagt.
De betrokkene moet weten wie wat verwerkt, waarom en hoe lang.
Dit is de plicht die het vaakst wordt gemist, omdat kantoren denken dat de privacyverklaring op de website volstaat. De Wwft vraagt actief informeren op een specifiek moment: vóór de start. Eén alinea in je opdrachtbevestiging is genoeg, mits die zegt wat je opvraagt, waarom en hoe lang je het bewaart.
Meld je een ongebruikelijke transactie, dan ben je tot geheimhouding verplicht jegens iedereen: over de melding zelf, over aanvullende inlichtingen, en over het bestaan of voornemen van een onderzoek.
Iedereen heeft recht op inzage in de persoonsgegevens die over hem worden verwerkt.
De Wwft lost dit zelf op: art. 23 lid 3 staat toe het inzagerecht buiten toepassing te laten, voor zover dat noodzakelijk en evenredig is voor die geheimhouding. Let op de reikwijdte, want die is smaller dan mensen denken. Geheim is de mélding. Dát je cliëntenonderzoek doet mag je zeggen en moet je zelfs zeggen. Alleen de melding en het onderzoek blijven binnen.
Bewaar de gegevens uit het cliëntenonderzoek vijf jaar na het einde van de zakelijke relatie of na de transactie, en een melding vijf jaar na de melding.
Hier zit de denkfout die we het vaakst tegenkomen: vijf jaar wordt gelezen als een minimum, dus bewaart men langer voor de zekerheid. Art. 34a lid 3 draagt op de gegevens onmiddellijk te vernietigen zodra die termijn verstrijkt. Vijf jaar is dus zowel de bodem als het plafond, en te lang bewaren overtreedt beide wetten tegelijk.
Sanctiehits en nieuwsberichten zijn niet hetzelfde
Gegevens over strafrechtelijke veroordelingen en strafbare feiten mogen alleen worden verwerkt als de wet dat toestaat.
Een sanctievermelding is een bestuurlijke maatregel, geen veroordeling. Een nieuwsbericht over een strafbaar feit is wél een gegeven van strafrechtelijke aard. Leg daarom het feit van de hit vast en de lijst waar hij op staat, niet een knipselarchief over een persoon: dat laatste heb je niet nodig om je plicht aan te tonen. De UAVG-uitzonderingen voor deze categorie wijzigen per 1 september 2026, dus lees de actuele tekst na.
Wie is verantwoordelijke, en wie verwerker
Jij bent verwerkingsverantwoordelijke voor het cliëntenonderzoek: het is jouw wettelijke plicht, jij bepaalt wie je screent en wat je met de uitkomst doet. Software die dat voor je uitvoert is verwerker en werkt op jouw instructie. Dat onderscheid is niet cosmetisch: het bepaalt wie een inzageverzoek beantwoordt (jij), wie een verwerkersovereenkomst tekent (allebei) en bij wie een betrokkene aanklopt (bij jou, niet bij je leverancier).
Onze verwerkersovereenkomst ligt klaar om te tekenen, met de subverwerkers en hun vestigingsland erin.
Hoe Cloudpliant dit invult
De bewaartermijn is per kantoor instelbaar en verwijdert automatisch zodra hij verstrijkt, zodat het plafond van art. 34a lid 3 geen handwerk is.
Van negatieve berichtgeving bewaren we de telling en de vindplaats, nooit de tekst van het artikel: het feit van de hit toont je plicht aan, een knipselarchief niet.
Elke risicoclassificatie komt uit een vaste regelmatrix, niet uit een taalmodel, zodat je aan een toezichthouder kunt laten zien hoe een uitkomst tot stand kwam.
Alle productiedata staat in de EU en elk rapport bewaart welke lijst op welk moment is geraadpleegd.
Deze pagina legt de wettekst uit en is geen juridisch advies. Elk artikelnummer linkt naar de officiële, geconsolideerde tekst, zodat je het zelf kunt nalezen. Laatst nagelopen tegen de wettekst op 20 augustus 2026.
Begin vandaag met Cloudpliant
Tijd om grip te krijgen op je compliance. Cloudpliant biedt één gestroomlijnde manier om aan je Wwft-, AML- en KYC-verplichtingen te voldoen, zonder gedoe.