Vijf jaar na het einde van de zakelijke relatie of na de transactie voor het cliëntenonderzoek (art. 33 Wwft), en vijf jaar na de melding voor een melding van een ongebruikelijke transactie (art. 34).
Nee. De wettelijke verplichting uit de Wwft is de grondslag. De overige AVG-regels, zoals beveiliging en toegang voor wie het nodig heeft, blijven gelden.
De documenten en gegevens van het cliëntenonderzoek bewaar je op opvraagbare wijze gedurende vijf jaar na het einde van de zakelijke relatie of na de transactie (art. 33 Wwft). Meldingen van ongebruikelijke transacties bewaar je vijf jaar na de melding, inclusief het ontvangstbericht van FIU-Nederland (art. 34). Dat botst niet met de AVG: de wettelijke plicht is de grondslag. Een audit trail die laat zien wie wat wanneer heeft vastgesteld, beoordeeld en besloten, is wat de toezichthouder wil zien.
De identiteitsgegevens van klant, vertegenwoordigers en UBO's en de documenten waarmee je die hebt geverifieerd, de aard en het doel van de relatie, de risicobeoordeling en de herbeoordelingen, de uitkomsten van screenings en controles, de transactiegegevens die je hebt gebruikt, en bij een melding de melding zelf met het ontvangstbericht. Ook de afwegingen: waarom laag risico, waarom geen melding. Een beslissing zonder motivering is voor de toezichthouder geen beslissing.
De termijn loopt vanaf het einde van de zakelijke relatie, of bij een losse transactie vanaf de transactie zelf (art. 33). Voor meldingen vanaf het moment van melden (art. 34). Een klant die tien jaar klant blijft, heeft dus een dossier dat vijftien jaar bestaat. Houd daarom per klant de einddatum bij en vernietig niet eerder, maar ook niet eindeloos later: de AVG vraagt dat je niet langer bewaart dan nodig.
Het vastleggen en bewaren van klantgegevens voor de Wwft is volgens het BFT niet in strijd met de AVG, omdat een wettelijke verplichting de grondslag is. Wel gelden de overige regels: beveiliging, toegang alleen voor wie het nodig heeft, en een antwoord op inzageverzoeken, waarbij je informatie over een melding niet deelt (art. 23). Leg in je privacyverklaring uit dat je gegevens voor de Wwft verwerkt en bewaart.
Elke handeling in het Wwft-dossier van Taxmo Schild komt in de audit trail: wie een UBO toevoegde, wie de risicoklasse koos en waarom, welke screening wanneer welke uitkomst had, welke nieuwstreffer werd afgewezen als naamgenoot, wanneer de nachtelijke controle van de openbare bronnen liep en wat die vond. Per klant exporteer je het dossier met de audit trail als pdf voor de toezichthouder of de accountant die het kantoor controleert. Een lege controle staat er net zo goed in als een treffer.