Wat is de wettelijke bewaartermijn volgens de Wwft?

• De bewaartermijn onder de Wwft is als hoofdregel vijf jaar (art. 33 lid 3 Wwft)
• Die termijn begint na beëindiging van de zakelijke relatie, of na uitvoering van een incidentele transactie
• Voor een gemelde ongebruikelijke transactie geldt ook vijf jaar, met een eigen startmoment (art. 34 lid 2 Wwft)
• Na afloop van de termijn moet je de persoonsgegevens onmiddellijk vernietigen (art. 34a lid 3 Wwft)
• Vanaf 10 juli 2027 geldt de Europese anti-witwasverordening rechtstreeks en verandert de bewaarplicht op enkele punten

De Wwft kent niet één termijn, maar meerdere vijfjaarstermijnen met verschillende startmomenten. Bekijk in de onderstaande tabel welke bewaartermijnen gelden, wanneer deze ingaan en op welke wettelijke basis ze zijn gebaseerd:

Je legt de documenten en gegevens vast die je hebt gebruikt om aan je cliëntenonderzoeksverplichtingen te voldoen (art. 33 lid 1 Wwft): de identiteit van de cliënt en de wijze van verificatie, de vertegenwoordiger, de UBO en de zeggenschapsstructuur, de registratiegegevens bij rechtspersonen, het doel en de aard van de relatie en de beoordelingen uit het risicoprofiel.

Let op de afbakening: het gaat om gegevens die je hebt gebruikt, niet om alles wat tijdens de onboarding binnenkomt. Wat je niet nodig had, mag je vanwege dataminimalisatie vaak ook niet bewaren. Dat speelt vooral bij zakelijke cliënten: de identificatieplicht richt zich op de cliënt, de vertegenwoordiger en de UBO, niet op iedere contactpersoon.

En bewaren is meer dan archiveren: art. 33 lid 4 en 5 Wwft eist systemen waarmee je onverwijld en volledig, via beveiligde kanalen, kunt reageren op vragen van FIU-Nederland en je toezichthouder.

De pasfoto mag blijven staan. Het enkel vastleggen of opslaan van een pasfoto is geen verwerking van biometrische gegevens. Daarvoor is specifieke technische verwerking gericht op unieke identificatie nodig, zoals gezichtsherkenning. De Hoge Raad bevestigde dat (ECLI:NL:HR:2026:392).

Of je een volledige kopie moet bewaren, is nog niet beslist. Art. 33 lid 2 Wwft geeft voor de kernidentiteitsgegevens een keuze: óf naam, geboortedatum, adres en woonplaats vastleggen, óf een afschrift van het document met een persoonidentificerend nummer bewaren. De aard, het nummer en de datum en plaats van uitgifte van het verificatiedocument leg je in álle gevallen vast. Volg tot die tijd de leidraad van je toezichthouder en bewaar niet méér "voor de zekerheid".

Een veelgemaakte denkfout is dat de vijf jaar begint zodra een cliënt voor het eerst wordt geïdentificeerd. Is iemand vijftien jaar klant? Dan bewaar je de onboardingdocumenten uit jaar één vijftien jaar én nog vijf jaar daarna.

Daarmee staat of valt alles bij een betrouwbaar vastgelegde einddatum, zonder die datum kan geen systeem berekenen wanneer de termijn begint. Kies concrete ijkpunten, zoals de voldane einddeclaratie of het verlijden van de akte. Een cliënt die slapend in het CRM staat zonder doorlopende overeenkomst, is geen lopende relatie.

Meld je een ongebruikelijke transactie, dan ontstaat een apart dossier met een eigen regime. Je legt op grond van art. 34 lid 1 Wwft drie dingen vast: de gegevens uit art. 16 lid 2 Wwft die nodig zijn om de transactie te reconstrueren, een afschrift van de melding en het ontvangstbericht van FIU-Nederland. Daarvoor lopen twee klokken: de reconstructiegegevens en het afschrift bewaar je vijf jaar na het doen van de melding, het ontvangstbericht vijf jaar vanaf de ontvangst daarvan. Dat ontvangstbericht is het meest vergeten document en voor een toezichthouder het makkelijkst te controleren.

Behandel dit dossier ook organisatorisch apart: je bent verplicht tot geheimhouding over de melding (art. 23 lid 1 Wwft) en mag het inzagerecht van art. 15 AVG buiten toepassing laten voor zover dat noodzakelijk en evenredig is ter naleving daarvan (art. 23 lid 3 Wwft).

Ja. Veel organisaties zien de vijfjaarstermijn als een maximum dat je mág gebruiken. In de Wwft is het een dubbele plicht: bewaren tot het einde van de termijn én vernietigen zodra die is verstreken. Art. 34a lid 3 Wwft schrijft voor dat je de op grond van de Wwft verkregen persoonsgegevens "onmiddellijk" vernietigt na het verstrijken van de termijnen van art. 33 lid 3 en art. 34, tenzij bij wettelijk voorschrift anders is bepaald. Te lang bewaren is dus geen AVG-thema alleen, maar een overtreding van de Wwft zelf. Beboetbaar tot € 5.000.000 per overtreding en het dubbele bij recidive binnen vijf jaar (art. 30 en 31 Wwft).

Wil je stukken langer houden vanwege een lopend geschil, een tuchtzaak of een fiscale bewaarplicht? Dan is dat een afzonderlijk doel met een eigen grondslag en een eigen termijn, geen verlenging van het Wwft-doel. Een kantoor dat ID-kopieën twintig jaar bewaart omdat het beroepsdossier ook twintig jaar wordt bewaard, is dus niet compliant zolang het die bewaring op de Wwft baseert.

De AVG bepaalt dat persoonsgegevens niet langer worden bewaard dan noodzakelijk (art. 5 lid 1 sub e AVG). Twee gevolgen die vaak worden gemist:

• De grondslag is de wettelijke verplichting, niet toestemming (art. 6 lid 1 sub c AVG). Een toestemming in je algemene voorwaarden is voor Wwft-verwerking zowel onnodig als ongeldig. Gevolg: een cliënt kan het bewaren niet intrekken en een verzoek om vergetelheid loopt stuk op art. 17 lid 3 sub b AVG.
• Je mag Wwft-gegevens niet hergebruiken. Art. 34a lid 1 Wwft staat verwerking uitsluitend toe om witwassen en terrorismefinanciering te voorkomen: niet voor marketing, sales of kredietbeoordeling, ook niet binnen de bewaartermijn. Informeer de cliënt daarover vóór het aangaan van de relatie (art. 34a lid 2 Wwft).

Vanaf 10 juli 2027 is de anti-witwasverordening (AMLR) rechtstreeks van toepassing. De hoofdtermijn blijft vijf jaar, maar art. 77 brengt drie wijzigingen:

• Een derde startmoment. De termijn gaat ook lopen vanaf de weigering om een relatie aan te gaan of een occasionele transactie te verrichten. Geweigerde cliënten en afgebroken onboardings moet je dus ook bewaren.
• Vastleggen ook zónder melding. Je legt je beoordeling van een mogelijk verdachte transactie vast, ook als die niet tot een melding leidt.
• Onwijzigbaar bewaren. De bewaarde documenten en registers mogen niet worden bewerkt. In plaats van kopieën mag je verwijzingen bewaren, mits die onmiddellijk verstrekbaar en onveranderbaar zijn.

Een bewaartermijn werkt pas als drie dingen kloppen: het juiste startmoment per dossiersoort, een betrouwbaar vastgelegd einde van de relatie en geautomatiseerde vernietiging zodra de termijn verstrijkt. DataWorx toetst of de bewaartermijnen binnen jouw Wwft cliëntenonderzoek correct zijn ingericht. Neem gerust contact op met ons team.