Bewaarplicht onder de AMLR: vijf jaar, daarna verwijdering, en het evenwicht met gegevensbescherming
De AMLR stelt een bewaartermijn van vijf jaar voor gegevens uit het cliëntenonderzoek en transactiegegevens en vereist verwijdering daarna. Hoe deze te verenigen met de AVG, litigation holds en het meldingssjabloon.
Bewaarplicht is het terrein waar de antiwitwaswetgeving en het gegevensbeschermingsrecht elkaar het meest direct raken. De AMLR verplicht meldingsplichtige entiteiten om de documenten en informatie die in het kader van het cliëntenonderzoek zijn verkregen en de vastleggingen van transacties te bewaren gedurende vijf jaar na het einde van de zakelijke relatie of de occasionele transactie, en deze te verwijderen wanneer die termijn afloopt, tenzij een langere termijn gerechtvaardigd is en door het nationale recht wordt toegestaan.
Wat moet worden bewaard
- Het cliëntenonderzoeksdossier: identiteitsdocumenten of verwijzingen daarnaar, informatie over de uiteindelijk begunstigden (UBO), het doel en de aard van de relatie, de risicobeoordeling en de actualiseringen daarvan, de screeningresultaten.
- Transactiegegevens die toereikend zijn om individuele transacties te reconstrueren.
- De interne analyse die aan meldingen bij de FIU ten grondslag ligt, en de meldingen zelf.
- Bewijs van de genomen maatregelen: goedkeuringen, beoordelingen, opleiding.
Vijf jaar, daarna verwijdering
De termijn van vijf jaar is standaard een maximum, geen minimum dat naar believen mag worden overschreden. Lidstaten mogen per geval een aanvullende termijn van maximaal vijf jaar toestaan wanneer dat noodzakelijk is voor het voorkomen, opsporen of onderzoeken van witwassen. Daarna moeten persoonsgegevens worden verwijderd. Instellingen die alles voor onbepaalde tijd bewaren, overtreden de AMLR en de AVG tegelijk.
Het evenwicht met gegevensbescherming
De AMLR biedt de rechtsgrond voor de verwerking van persoonsgegevens voor AML-doeleinden en beperkt het gebruik ervan voor andere doeleinden. De verordening beperkt ook het recht van inzage van de betrokkene wanneer verstrekking een onderzoek zou schaden, met waarborgen. Gegevensbeschermingseffectbeoordelingen blijven vereist voor verwerkingen met een hoog risico, zoals transactiemonitoring en screening.
Spanningen in de praktijk
Litigation holds en toezichtsonderzoeken die een langere bewaring vereisen; groepssystemen die niet per cliënt kunnen verwijderen; en het nieuwe meldingssjabloon, dat gestructureerde gegevens vereist die oudere dossiers niet bevatten.
Wat nu te doen
- Bepaal per soort vastlegging de bewaartermijn en het startmoment (einde van de relatie, transactiedatum).
- Bouw of verifieer de verwijderingsfunctionaliteit in kernsystemen en archieven.
- Documenteer de uitzonderingsprocedure voor langere bewaring, met de rechtsgrond.
Het dashboard volgt de bewaarplicht onder Data, technologie & detectie; de readiness tracker heeft een blok Bewaartermijnen.