Kantoren moeten voldoen aan steeds uitgebreidere verplichtingen op het gebied van anti-witwaswetgeving. Tegelijkertijd stelt de Algemene verordening gegevensbescherming (AVG) duidelijke grenzen aan het verzamelen, gebruiken en bewaren van persoonsgegevens. Hoe zorg je ervoor dat een grondig cliëntenonderzoek niet leidt tot onnodige gegevensverwerking?
Met de komst van de Europese Anti-Money Laundering Regulation (AMLR), die vanaf 10 juli 2027 van toepassing is, krijgt die vraag opnieuw aandacht. Maar misschien begint de discussie bij de verkeerde vraag. Niet: welke regels gaan voor? Wel: hoe richt je AML-compliance zo in dat je aan je wettelijke verplichtingen voldoet én zorgvuldig met persoonsgegevens omgaat?
AML en AVG: geen tegenstelling
Aan de ene kant verplicht de AVG organisaties om persoonsgegevens zorgvuldig en niet langer dan noodzakelijk te verwerken. Aan de andere kant verplicht de anti-witwasregelgeving bepaalde kantoren om cliëntenonderzoek uit te voeren en daarvoor relevante informatie over cliënten, vertegenwoordigers en uiteindelijk belanghebbenden (UBO’s) te verzamelen en te controleren.
De twee regelgevingen hebben verschillende, maar verenigbare doelen. Het gaat daarom niet om welke wet ‘wint’, maar om hoe kantoren beide naleven. De AMLR schrijft voor welke informatie en documenten binnen het toepassingsgebied van de verordening moeten worden verzameld en bewaard. De AVG stelt eisen aan de rechtmatigheid, noodzakelijkheid en beveiliging van de verwerking en aan de bewaartermijnen.
Dat een kantoor op grond van de AML-regelgeving persoonsgegevens moet verwerken, betekent dus niet dat het onbeperkt aanvullende informatie mag verzamelen of gegevens langer mag bewaren dan wettelijk toegestaan. Ook wanneer een verwerking noodzakelijk is voor AML-compliance, blijft een zorgvuldige omgang met persoonsgegevens essentieel.
Waar het in de praktijk misgaat
Juist bij het beheer van persoonsgegevens ontstaan risico’s. Documenten worden per e-mail ontvangen en blijven in mailboxen staan. Bestanden worden op verschillende locaties opgeslagen en medewerkers bewaren soms lokale kopieën. Na verloop van tijd ontstaat een dossier dat misschien veel informatie bevat, maar waarvan het overzicht ontbreekt.
Dat maakt het lastiger om de toegang tot persoonsgegevens te beheersen, te achterhalen waar documenten zich bevinden en aan te tonen dat het dossier zorgvuldig wordt beheerd. Bovendien neemt het risico toe dat gegevens onnodig worden gekopieerd of langer worden bewaard dan toegestaan.
Een bewaarplicht betekent immers niet dat persoonsgegevens onbeperkt mogen worden bewaard. In beginsel geldt een termijn van vijf jaar, gerekend vanaf het einde van de zakelijke relatie. Onder bepaalde voorwaarden kan een aanvullende bewaartermijn gelden. Ook andere toepasselijke wettelijke bewaarplichten moeten worden meegewogen.
Kantoren moeten daarom kunnen vaststellen welke gegevens zij moeten bewaren, welke bewaartermijn van toepassing is en wanneer gegevens niet langer mogen worden bewaard. Dat vraagt om overzicht, duidelijke procedures en een gestructureerde inrichting van de gegevenshuishouding.
Wie niet weet waar persoonsgegevens zich bevinden, wie toegang heeft en welke bewaartermijnen gelden, loopt het risico zowel de AML-verplichtingen als de privacyregels onvoldoende na te leven.
De rol van technologie
Een goed ingericht AML-proces helpt kantoren om niet alleen hun AML-complianceverplichtingen, maar ook de verwerking van persoonsgegevens beheersbaar te houden. Technologie kan daarin ondersteunen door informatie centraal te beheren, toegangsrechten te structureren en meer overzicht te bieden over dossiers en bewaartermijnen.
Met RegLab kunnen kantoren hun AML-processen gestructureerd inrichten en relevante informatie op één centrale plek beheren. Dat helpt om versnipperde documentatie en onnodige kopieën te beperken en meer grip te krijgen op het cliëntenonderzoek.
Software alleen garandeert geen naleving van de AML-regelgeving of de AVG. Daarvoor zijn ook passende procedures, duidelijke verantwoordelijkheden en een zorgvuldige inrichting van het systeem nodig. Technologie kan het echter eenvoudiger maken om die afspraken in de dagelijkse praktijk toe te passen.
AML-compliance en privacy beginnen bij hetzelfde proces
AML-regelgeving en privacywetgeving hoeven elkaar niet in de weg te zitten. Een zorgvuldig ingericht cliëntenonderzoek helpt kantoren om hun AML-verplichtingen na te komen, terwijl duidelijke afspraken over opslag, toegang en bewaartermijnen onnodige gegevensverwerking helpen voorkomen.
De uitdaging is om vanaf het begin na te denken over de volledige levenscyclus van persoonsgegevens: van het opvragen en controleren van informatie tot het veilig bewaren en tijdig verwijderen ervan.
