AVG · 26 augustus 2026 · 5 min lezen
AVG en de Wwft-bewaarplicht van cliëntendossiers
De Wwft verplicht u om dossiers minimaal vijf jaar te bewaren, de AVG stelt tegelijk eisen aan hoe u dat doet. Hoe combineert u een wettelijke bewaarplicht met dataminimalisatie?
Direct antwoord: de Wwft verplicht u om cliëntendossiers, onderzoeksgegevens en transactiegegevens minimaal vijf jaar te bewaren na het einde van de zakelijke relatie of het uitvoeren van de transactie. Dit is een wettelijke grondslag die de AVG-verplichting tot dataminimalisatie niet opzij zet, maar er wel mee moet worden gecombineerd: u bewaart wat nodig is voor de Wwft, niet onbeperkt alles wat u ooit heeft ontvangen.
Geen tegenstelling, wel een spanningsveld
De AVG vraagt persoonsgegevens niet langer te bewaren dan noodzakelijk voor het doel waarvoor ze zijn verzameld. De Wwft geeft voor cliëntenonderzoeksgegevens expliciet dat doel én die termijn: vijf jaar. Zolang u zich aan die termijn houdt en gegevens die buiten het Wwft-doel vallen niet onnodig langer bewaart, zijn beide verplichtingen te verenigen.
Wat betekent dit concreet?
- Bewaar wat de Wwft vereist: identiteitsdocumenten, onderzoeksresultaten, screeningsuitkomsten, correspondentie over het cliëntenonderzoek, transactiegegevens.
- Verwijder na de termijn: na vijf jaar (of eerder, als er geen andere grondslag meer is) hoort actieve verwijdering, niet stilzwijgend laten liggen "voor het geval dat".
- Beveilig naar het risico: persoonsgegevens in een Wwft-dossier zijn vaak gevoelig (identiteitsdocumenten, financiële informatie); dit vraagt om passende technische en organisatorische maatregelen, zoals versleuteling en toegang op basis van need-to-know.
- Beperk toegang: niet elke medewerker hoeft toegang te hebben tot elk dossier; leg vast wie waarom toegang heeft.
Een veelgemaakte fout
Documenten die tijdens het cliëntenonderzoek zijn binnengekomen maar uiteindelijk niet relevant bleken (bijvoorbeeld een dubbel toegestuurd document, of gegevens van een afgewezen kandidaat-cliënt) horen niet standaard oneindig bewaard te blijven "voor de zekerheid", dat is precies het soort dataverzameling zonder duidelijk doel waar de AVG tegen waarschuwt.
Verder lezen
- Lees ook welke onderzoeksgegevens u precies vastlegt.
- Lees ook waar bewaarplicht in de kernverplichtingen staat.
- Bekijk ook de Compliance Vault waarin dit is ingericht.
Zo helpt Apex Compliance
De Compliance Vault van Apex bewaart dossiers automatisch binnen de Wwft-termijn, met versleuteling, rolgebaseerde toegang en een audit trail van wie wanneer bij welk document heeft gekeken, zodat u nooit zelf hoeft bij te houden wanneer welk dossier verwijderd moet worden.