Cliëntenonderzoek en persoonsgegevens: Wwft, AMLR en AVG

Wie een klant onderzoekt, verwerkt persoonsgegevens. De vraag is nooit óf de AVG van toepassing is, maar waar de ruimte van het ene kader ophoudt en de plicht van het andere begint. De grondslag is meestal eenvoudig: het cliëntenonderzoek is een wettelijke verplichting, dus art. 6 lid 1 onder c AVG draagt de verwerking. De spanning zit een laag dieper: bij de omvang (hoeveel is noodzakelijk voor deze klant met dit risico), bij de bijzondere categorieën (een PEP-toets kan politieke opvattingen raken, een sanctiescreening etnische afkomst), bij de duur (bewaren tegenover verwijderen) en bij de transparantie (informeren tegenover het mededelingsverbod).

Artikel 76 AMLR is het resultaat van ruim tien jaar aandringen door de Europese privacytoezichthouders. De vroegste markering is het advies van de artikel 29-werkgroep over antiwitwasverplichtingen en gegevensbescherming uit 2011 (WP29 Opinion 14/2011); tien jaar later eiste de EDPS in zijn advies over het AML-pakket (Opinion 12/2021) afbakening van de gegevenscategorieën bij het cliëntenonderzoek en duidelijke grenzen aan de verwerking van bijzondere categorieën. De EDPB uitte in 2022 en 2023 in brieven aan de Commissie, het Parlement en de triloogpartners ernstige zorgen over de voorgestelde private gegevensdeling tussen instellingen. Die deling is er gekomen, maar afgezwakt: de partnerschappen van art. 75 AMLR kennen limitatieve gegevenscategorieën, een verplichte gegevensbeschermingseffectbeoordeling vooraf en verificatie door de toezichthouder, waar nodig in overleg met de AVG-autoriteit.

Nederland heeft de scherpste variant al geprobeerd en teruggetrokken. Het wetsvoorstel plan van aanpak witwassen bevatte gezamenlijke transactiemonitoring door banken; de Autoriteit Persoonsgegevens noemde dat een deur naar "ongekende massasurveillance" en ook de Raad van State adviseerde het instrument te schrappen. Bij nota van wijziging verdwenen de gezamenlijke monitoring én de gegevensdeling bij hoog-risicoklanten uit het voorstel; overgebleven is vooral het verbod op contante betalingen vanaf 3.000 euro (in werking 1 januari 2026). Van Transactie Monitoring Nederland, het gezamenlijke monitoringvehikel van vijf banken, werd de afbouw in juli 2024 aangekondigd.

De Algemene Rekenkamer velde in maart 2026 een hard oordeel over de bestaande aanpak, onder de titel die dat oordeel samenvat: "Gevolgen groot, opbrengsten onbekend" (Kamerstukken II 2025/26, 31477, nr. 122). De Raad van State somt, mede op basis van dat rapport en van eerder Rekenkameronderzoek uit 2022, drie tekorten op: onvoldoende inzicht in de effectiviteit van de aanpak, zorgen over de doelmatigheid (het cijfer dat ongeveer een op de vijf bankmedewerkers aan de uitvoering van de Wwft werkt, komt van de NVB), en ingrijpende gevolgen voor bepaalde categorieën cliënten, volgens het Rekenkameronderzoek onder meer moskeeën, migrantenkerken en politiek prominente personen. De Rekenkamer stelde bovendien "indicaties van discriminatie" vast: een oververtegenwoordiging van buitenlands klinkende namen in de meldingendatabase van FIU-Nederland.

De Raad van State bouwde daar in zijn advies over de Implementatiewet (12 augustus 2026, W06.26.00123/III) op voort, en constateerde dat de regering aan het Rekenkamerrapport voorbijging. De Afdeling waarschuwt bij de grootschalige deling en verwerking van (ook bijzondere) persoonsgegevens voor het risico dat het overzicht verloren gaat waar welke gegevens zich bevinden, voor wie zij toegankelijk zijn en met welk doel zij nog gebruikt mogen worden, met te late verwijdering en doelafwijkend gebruik als voorspelbaar gevolg; zij adviseert de rechtmatigheid en proportionaliteit van de gegevensverwerking expliciet in de monitoring en evaluatie van de wet op te nemen. Twee punten moeten volgens de Afdeling vóór indiening worden hersteld: het is onduidelijk welk gegevensverwerkingsregime voor FIU-Nederland geldt, en een uitdrukkelijke grondslag voor de verwerking van bijzondere en strafrechtelijke persoonsgegevens ontbreekt in het voorstel. Ook het voorkomen van discriminatie moet uitdrukkelijk worden gemonitord en geëvalueerd, met aandacht voor de rol van de Autoriteit Persoonsgegevens en het College voor de Rechten van de Mens naast de aangewezen toezichthouders.

Elke sectormodaal past hetzelfde kader van vijf stappen toe op een verwerkingsvraag. 1 · Fase. In welke fase van de cyclus zit de verwerking: het onderzoek bij aanvang, de monitoring zonder klantcontact, of de uitvraag bij de klant? In welke fase u zit, bepaalt wat u de cliënt moet vertellen: bij de uitvraag is er een contactmoment en gelden de informatieverplichtingen van art. 13 en 14 AVG volop, bij de monitoring is dat contactmoment er niet. 2 · Noodzaak. Is dit gegeven nodig voor deze stap bij dit risico? Het criterium is de risicogebaseerde reikwijdte van art. 20 lid 2 AMLR, toetsbaar via de aantoonbaarheid van art. 20 lid 4. 3 · Gevoeligheid. Raakt de verwerking bijzondere categorieën (art. 9 AVG) of strafrechtelijke gegevens (art. 10 AVG)? Dan gelden de waarborgen van art. 76 lid 1 tot en met 3 AMLR: strikte noodzaak, betrouwbare bronnen, geen discriminerende uitkomsten, onderscheid tussen beschuldiging, onderzoek, procedure en veroordeling. 4 · Transparantie. Wat moet de klant weten (informatieplicht, en straks de mededeling van art. 76 lid 2 onder a) en wat mag hij juist niet weten (het mededelingsverbod van art. 73)? 5 · Duur en vastlegging. Kopie of verwijzing (art. 77 lid 2), bewaartermijn en verwijdering (art. 77 lid 3), en wie wanneer op welke gronden oordeelde. In de sectormodalen staat dit kader steeds toegepast op het kenmerkende dilemma van die sector; de afwegingen staan per sector onder "Wegen en inrichten".

De AMLR vervangt de AVG niet, maar voegt er sectorspecifieke regels aan toe. De verordening zegt het zelf, in overweging 150: Verordening (EU) 2016/679 is van toepassing op de verwerking van persoonsgegevens voor de toepassing van deze verordening, en de bestrijding van witwassen en terrorismefinanciering wordt door alle lidstaten erkend als een zwaarwegend algemeen belang. Diezelfde overweging draagt instellingen op bijzondere aandacht te besteden aan de beginselen dat verwerkte gegevens nauwkeurig, betrouwbaar en actueel moeten zijn, en bepaalt dat de AMLR-waarborgen bij geautomatiseerde besluitvorming gelden náást alle andere gegevensbeschermingsvereisten van het Unierecht. Praktisch betekent dit: elke AVG-plicht (grondslag, minimalisatie, beveiliging, rechten van betrokkenen) blijft onverkort gelden, en art. 76 en 77 leggen daar sectorspecifieke regels bovenop.

Art. 76 lid 1 staat verwerking van bijzondere categorieën (art. 9 AVG) en strafrechtelijke gegevens (art. 10 AVG) alleen toe voor zover strikt noodzakelijk voor het voorkomen van witwassen en terrorismefinanciering. Lid 2 hangt daar voor de bijzondere categorieën vier voorwaarden aan: de instelling deelt cliënten en potentiële cliënten mee dat deze verwerking is toegestaan, de gegevens komen uit betrouwbare bronnen en zijn accuraat en actueel, er worden geen besluiten genomen die tot bevooroordeelde of discriminerende resultaten leiden, en de beveiliging is van hoog niveau. Lid 3 voegt voor strafrechtelijke gegevens toe dat zij betrekking moeten hebben op witwassen, daarmee verband houdende basisdelicten of terrorismefinanciering, en dat de instelling, naast de voorwaarden van lid 2, procedures heeft om onderscheid te maken tussen beschuldigingen, onderzoeken, procedures en veroordelingen.

Art. 76 lid 4 bepaalt dat persoonsgegevens op basis van de verordening met als enig doel het voorkomen van witwassen en terrorismefinanciering worden verwerkt, en verbiedt verwerking voor commerciële doeleinden met zoveel woorden. CDD-data hergebruiken voor marketing, kredietscoring of productontwikkeling is dan geen kwestie van belangenafweging meer, maar een verboden verwerking. Alleen trustkantoren kennen zo'n regel nu al (art. 40 lid 1 Wtt 2018).

Art. 76 lid 5 staat besluiten uit geautomatiseerde verwerking, profilering en AI-systemen toe onder drie voorwaarden: de systemen verwerken alleen gegevens die op grond van hoofdstuk III zijn verkregen, elk besluit over het aangaan, weigeren of onderhouden van een relatie of het op- of afschalen van het onderzoek is onderworpen aan beduidende menselijke tussenkomst, en de cliënt kan uitleg krijgen en het besluit aanvechten. De enige uitzondering op dat uitleg- en aanvechtrecht is de melding aan de FIU (art. 69). De conceptrichtsnoeren van de AMLA over doorlopende monitoring (consultatie gestart 3 juni 2026) werken die lijn concreet uit, langs twee sporen. Voor het actueel houden van cliëntgegevens: een combinatie van periodieke en gebeurtenisgedreven reviews, met risicogebaseerde heraanlevering van verlopen identiteitsdocumenten. Voor het monitoringraamwerk zelf: handmatige, semi-geautomatiseerde en volledig geautomatiseerde monitoring zijn alle toegestaan, mits het systeem uitlegbaar, getest, gedocumenteerd en proportioneel is; alerts mogen niet automatisch worden gesloten zolang er risico-indicatoren zijn; en wie AI of machine learning inzet moet passende waarborgen treffen én de werking en de uitkomsten aan de toezichthouder kunnen uitleggen. Let op: dat is per de peildatum een consultatieversie (reacties tot 3 september 2026, definitieve richtsnoeren verwacht in het vierde kwartaal van 2026), geen geldend recht.

Art. 77 lid 1 somt op wat wordt bewaard: de kopie van de onderzoeksdocumenten, het register van de beoordeling van art. 69 lid 2 (ook als er niet gemeld is), de transactiebescheiden en, bij deelname aan een partnerschap, de daar verkregen informatie. Lid 2 biedt een alternatief dat de Wwft als zodanig niet kent (die eist geen kopie, de gegevens van art. 33 lid 2 volstaan, zoals het BFT sinds oktober 2024 met zoveel woorden zegt): verwijzingen bewaren in plaats van kopieën. Een verwijzing is dan geen kopie van het document zelf, maar een vindplaatsaanduiding waarmee de instelling het origineel direct kan terughalen: denk aan het nummer en de datum van het geraadpleegde handelsregisteruittreksel, de referentie van de eIDAS-verificatie, of de documentreferentie in het eigen archief of ambtsdossier waar het stuk al onveranderbaar vastligt. De voorwaarden staan in het lid zelf: de informatie moet onmiddellijk aan de bevoegde autoriteiten kunnen worden verstrekt en mag niet gewijzigd of veranderd kunnen worden, en de instelling legt in haar interne procedures (art. 9) vast voor welke categorieën informatie zij met een verwijzing volstaat. Lid 3 zet er een einddatum achter: vijf jaar na einde relatie of transactie, daarna verwijderen, tenzij een bevoegde autoriteit per geval verlenging verlangt (maximaal nog eens vijf jaar), en onverminderd bewaartermijnen die op grond van ander Unie- of nationaal recht gelden, zoals de fiscale bewaarplicht.

De gezamenlijke transactiemonitoring die uit het Nederlandse wetsvoorstel verdween, keert in de AMLR terug als het partnerschap voor informatie-uitwisseling (art. 75), maar dan dichtgeregeld: limitatieve gegevenscategorieën (lid 3), registratie van elke uitwisseling, verbod om uitsluitend op ontvangen informatie te vertrouwen, pseudonimisering, menselijk toezicht op AI-gegenereerde informatie, een gegevensbeschermingseffectbeoordeling vooraf en verificatie door de toezichthouder, waar nodig in overleg met de AVG-autoriteit (lid 2 en 4). Wie deelneemt, legt het beleid vast in de interne gedragslijnen van art. 9. Een volledige uitwerking van dit partnerschap, van de deelnamevoorwaarden tot de doorgifteverboden, staat in de flowchart artikel 75 AMLR.

Art. 22 AMLR harmoniseert de minimumgegevensset die nu per lidstaat en per leidraad verschilt, en de technische reguleringsnorm onder art. 28 (consultatie 9 februari tot 8 mei 2026) gaat vastleggen welke informatie bij standaard, vereenvoudigd en verscherpt onderzoek hoort. Voor de omvang van de gegevensverwerking werkt dat naar mijn mening twee kanten op. Enerzijds begrenst de lijst: wat erop staat is verplicht en heeft daarmee een heldere grondslag, maar wat er niet op staat vergt voortaan een eigen, gedocumenteerde risico-onderbouwing, en eigen standaardsjablonen die breder uitvragen dan de Europese set verliezen hun vanzelfsprekendheid. Anderzijds normeert de lijst de groei van het dossier: de omvang van de dataset wordt formeel gekoppeld aan het risiconiveau, zodat een opschaling naar verscherpt onderzoek een aanwijsbaar wettelijk moment wordt waarop er méér verwerkt mag worden, en een afschaling het spiegelbeeldige moment waarop dat niet langer mag. De noodzaakdiscussie verdwijnt dus niet, maar verplaatst zich: van elke instelling afzonderlijk naar de Europese norm zelf, en binnen de instelling naar de randen van de lijst. Hoe die lijst er precies uit komt te zien, is nog niet definitief: de consultatie is gesloten en de norm was per de peildatum niet vastgesteld.

HvJ EU 22 juni 2021, C-439/19 (Latvijas Republikas Saeima, ECLI:EU:C:2021:504): gegevens over verkeersovertredingen en de daarvoor opgelegde strafpunten zijn strafrechtelijke gegevens in de zin van art. 10 AVG. Het Hof legt dat begrip niet ruim uit maar autonoom: het is beperkt tot de strafrechtelijke sfeer (punt 78), maar of een gedraging daartoe behoort bepaalt het Unierecht naar aard en zwaarte van de sanctie, niet het nationale etiket (punt 85 en 87 tot en met 93). Onbeperkte publieke verstrekking gaat verder dan noodzakelijk (punt 115). Waarom dit arrest hier telt: het bepaalt hoe snel een aantekening in het dossier de kwalificatie van art. 10 AVG raakt. Wat u ervan leert: een veroordeling is niet vereist (HR 29 mei 2009, r.o. 4.4), maar een witwasgetinte afwijzingsaantekening zonder concrete strafbare gedraging is volgens Hof Amsterdam 13 mei 2025 (ECLI:NL:GHAMS:2025:1261) en de advocaat-generaal (PHR 24 april 2026, ECLI:NL:PHR:2026:435) géén strafrechtelijk gegeven; de Hoge Raad moet nog oordelen. TRNKL raadt naar eigen inzicht aan afwijzingsdossiers, incidentregistraties en aantekeningen uit adverse media tóch met de waarborgen van art. 10 te behandelen: dat is een keuze voor de veilige kant, geen wettelijke plicht. HvJ EU 21 juni 2022, C-817/19 (Ligue des droits humains, ECLI:EU:C:2022:491): over de PNR-richtlijn, de systematische geautomatiseerde screening van alle vliegtuigpassagiers. Het Hof aanvaardde die screening alleen binnen strikte grenzen: beoordeling aan de hand van vooraf bepaalde, niet-discriminerende criteria, geen zelflerende systemen voor die voorafgaande geautomatiseerde beoordeling, en individuele controle door een mens voordat een treffer gevolgen krijgt. Waarom dit arrest hier telt: het is de dichtstbijzijnde analogie voor transactiemonitoring, waar eveneens iedereen door het systeem gaat. Wat u ervan leert: de eisen die het Hof daar stelde keren herkenbaar terug in art. 76 lid 5 AMLR en in de AMLA-conceptlijn over uitlegbare monitoring; wie zijn monitoring daarlangs inricht, bouwt op de norm die het Hof al heeft uitgezet (zie de verdiepingsmodaal over risicomodellen). Het arrest geeft ook de gelaagdheid van de transparantie: in de administratieve fase hoeft de betrokkene de criteria en programma's niet te kennen, maar hij moet kunnen begrijpen hoe zij functioneren (punt 210); in een procedure moeten rechter en betrokkene, behalve bij staatsveiligheid, kennis kunnen nemen van de criteria en de werking van de programma's (punt 211).

HvJ EU 22 november 2022, gevoegde zaken C-37/20 en C-601/20 (WM en Sovim, ECLI:EU:C:2022:912): de bepaling die het UBO-register voor elk lid van het publiek openstelde is ongeldig, wegens strijd met de artikelen 7 en 8 van het Handvest. Waarom dit arrest hier telt: het bewijst dat zelfs een verwerkingsverplichting die de Europese wetgever zelf heeft opgeschreven, sneuvelt zodra zij verder gaat dan strikt noodzakelijk voor de witwasbestrijding. Wat u ervan leert: "de wet schrijft het voor" is het begin van de toets, niet het einde. Wie een verwerking uitsluitend op de wettelijke plicht baseert, moet kunnen laten zien dat de concrete invulling binnen het strikt noodzakelijke blijft, en moet volgen of die plicht zelf overeind blijft: na dit arrest is de registertoegang in de hele Unie herzien, met directe gevolgen voor instellingen die hun processen op de eerdere toegangsregeling hadden ingericht.

HvJ EU 17 november 2022, C-562/20 (ECLI:EU:C:2022:883): verscherpt cliëntenonderzoek vereist een concrete, gedocumenteerde risicobeoordeling; het risico is niet in elke zaak gelijk en een cliënt krijgt niet automatisch een hoog risico op één factor als rechtsvorm, nationaliteit van een werknemer of banden van een handelspartner (dictum 1, punt 61). De instelling hoeft bovendien geen afschrift van de overeenkomst tussen cliënt en derde op te vragen als zij met beoordelingsverslagen kan aantonen dat zij de transactie en de relatie heeft geanalyseerd (dictum 2, punt 76), en hoe zij dat bewijst is nationaal recht, met eerbiediging van het zakengeheim en de gegevensbescherming (punt 75). Waarom dit arrest hier telt: het verbindt de onderzoeksplicht en de gegevensbescherming aan dezelfde maatstaf: de reikwijdte van het onderzoek, en dus van de gegevensverzameling, moet per cliënt uit een concreet risico volgen. Wat u ervan leert: een standaardpakket verscherpte maatregelen "voor de zekerheid" is dubbel kwetsbaar: tegenover de toezichthouder, omdat de risicobeoordeling ontbreekt die de maatregel moet dragen, en tegenover de betrokkene, omdat elke uitgevraagde bijlage zonder concreet risico een verwerking zonder noodzaak is. Een uitvraag is daarom slechts gerechtvaardigd voor zover zij herleidbaar is tot een gedocumenteerde risicobeoordeling per risicoklasse; het gebruik van standaardsjablonen ontslaat de instelling niet van die motiveringsplicht.

HvJ EU 7 december 2023, C-634/21 (SCHUFA, ECLI:EU:C:2023:957): een geautomatiseerde score is zelf al een geautomatiseerd individueel besluit in de zin van art. 22 AVG wanneer een derde er in beslissende mate op steunt. Daarmee is bedoeld: de score wordt berekend door de ene partij (in die zaak een kredietinformatiebureau), maar de ontvangende partij (de kredietverlener) laat haar beslissing om al dan niet met de betrokkene te contracteren in de praktijk in doorslaggevende mate door die score bepalen, zonder zelfstandige inhoudelijke weging. In die constellatie kwalificeert reeds de totstandkoming van de score als het besluit, niet pas de formele beslissing die erop volgt. HvJ EU 27 februari 2025, C-203/22 (Dun & Bradstreet Austria, ECLI:EU:C:2025:117): de betrokkene moet de logica achter zo'n besluit kunnen begrijpen, en een bedrijfsgeheim is geen eenzijdige weigeringsgrond: de toezichthouder of de rechter weegt af en stelt de omvang van de inzage vast. Waarom deze lijn hier telt: zij raakt rechtstreeks de risicoclassificaties en monitoringscores waarop instellingen hun relatiebesluiten bouwen; precies dat mechanisme reguleert art. 76 lid 5 AMLR straks voor de witwaspraktijk. Wat u ervan leert: voor zover een risicoscore feitelijk bepalend is voor het besluit tot weigering of beëindiging van de relatie dan wel tot op- of afschaling van het onderzoek, kwalificeert reeds de totstandkoming van die score als geautomatiseerde individuele besluitvorming in de zin van art. 22 AVG, met de daaraan verbonden waarborgen: menselijke tussenkomst, het recht van de betrokkene zijn standpunt kenbaar te maken en het besluit aan te vechten, en de verplichting nuttige informatie over de onderliggende logica te verstrekken (art. 15 lid 1 onder h AVG). Vanaf 10 juli 2027 stelt art. 76 lid 5 AMLR daarnaast de eis van beduidende menselijke tussenkomst bij elk relatiebesluit. Een beroep op het bedrijfsgeheim is geen eenzijdige weigeringsgrond: de verwerkingsverantwoordelijke legt de beweerdelijk beschermde informatie voor aan de toezichthouder of de rechter, die afweegt en de omvang van de inzage vaststelt (dictum 2); een regeling die inzage bij een bedrijfsgeheim in beginsel uitsluit is onverenigbaar met de AVG (punt 75). Wat de uitleg moet zijn, zegt het Hof ook: niet de formule en niet alle stappen, wel de concreet toegepaste procedure en beginselen, zo nodig door te laten zien hoe de uitkomst met andere gegevens anders was geweest (punt 59 en 62). Zie voor de operationele inrichting de verdiepingsmodaal over risicomodellen.

HvJ EU 30 april 2024, C-470/21 (ECLI:EU:C:2024:370): algemene bewaring van IP-adressen kan toelaatbaar zijn mits de bewaring geen precieze conclusies over het privéleven toelaat. Waarom dit arrest hier telt: het biedt naar mijn mening de maatstaf waarbinnen de vijfjaarsbewaring plus verwijderplicht van art. 77 AMLR gelezen moet worden: bewaren op zichzelf is verdedigbaar, een bewaaropzet die een indringend totaalbeeld van iemands leven oplevert niet. Wat u ervan leert: de inrichting van het dossier bepaalt de houdbaarheid van de bewaring. Wie gegevens gescheiden houdt per doel en per categorie, alleen vastlegt wat de onderzoeksvraag draagt en waar mogelijk met verwijzingen werkt in plaats van kopieën, bewaart vijf jaar lang een verdedigbaar dossier; wie alles opstapelt, bouwt precies het totaalbeeld dat het Hof wantrouwt.

HvJ EU 21 mei 2026, gevoegde zaken C-684/24 en C-685/24 (Across Fiduciaria e.a.): toegang tot UBO-informatie van trusts en soortgelijke constructies voor wie een legitiem belang aantoont is wél verenigbaar met het Handvest (art. 31 lid 4 onder c van de vierde richtlijn blijft geldig); het legitiem belang wordt afgebakend uit het oogpunt van witwasbestrijding, de toegang mag niet systematisch worden geweigerd en evenmin altijd worden verleend (punt 124), en wie afscherming vraagt heeft recht op voorlopige rechtsbescherming (dictum 5). Waarom dit arrest hier telt: het laat zien wat het Hof ná Sovim beloont: geen open toegang voor iedereen, maar gedifferentieerde toegang op basis van een aangetoond belang. Wat u ervan leert: dat toegangsmodel laat zich naar mijn mening één op één vertalen naar het eigen dossier: wie mag welk deel van het CDD-dossier zien, en op welke grond? Wie de interne toegang zo inricht, volgt de lijn die het Hof zelf trekt. Dichter bij huis heeft de Hoge Raad op 12 juni 2026 (ECLI:NL:HR:2026:921, na het tussenarrest van 13 maart 2026, ECLI:NL:HR:2026:392) vier prejudiciële vragen gesteld over de meest gestelde praktijkvraag van deze flowchart: of het vastleggen van een gezichtsfoto voor identificatie een biometrisch gegeven is (een punt dat de Hoge Raad in maart nog zelf ontkennend had beantwoord, maar na HvJ EU 19 maart 2026, C-371/24, Comdribus, ECLI:EU:C:2026:219, alsnog voorlegt), of art. 40 van de vierde richtlijn tot bewaring van een afschrift van het identiteitsbewijs verplicht, zo ja of dat de foto omvat, en of een herkenbare foto een gegeven is waaruit ras of etnische afkomst blijkt. De Hoge Raad tekende daarbij aan dat hij voorshands niet inziet welk algemeen belang met het bewaren van een afschrift is gediend (r.o. 3.8.2). Wat u daarvan leert: tot het antwoord er is, is terughoudendheid de veilige route: bewaar wat de wet aantoonbaar eist. De verwijzing in plaats van een kopie is pas vanaf 10 juli 2027 een wettelijke optie (art. 77 lid 2 AMLR), want onder de vierde richtlijn is zij dat niet (HR 2026:921, r.o. 3.7.3). Dit is dé zaak om te agenderen in de eigen verversingscyclus. Bij het Hof loopt daarnaast C-798/24 over publieke toegang tot aandeelhoudersgegevens.

Voor natuurlijke personen: alle voor- en achternamen, geboorteplaats en volledige geboortedatum, nationaliteiten (of staatloosheid dan wel vluchtelingen- of subsidiairebeschermingsstatus, in voorkomend geval), het nationale identificatienummer in voorkomend geval, de normale verblijfplaats en, indien beschikbaar, het fiscaal identificatienummer. Voor rechtspersonen: rechtsvorm en naam, zetel en hoofdvestiging, land van oprichting, de juridische vertegenwoordigers, en waar beschikbaar registratienummer, fiscaal nummer en LEI. Meer mag alleen als het risico dat draagt (art. 20 lid 2); minder mag alleen in de vereenvoudigde route van afdeling 3 (art. 33).

Art. 20 lid 2 koppelt de omvang van elke maatregel aan een individuele risicoanalyse, tegen de achtergrond van de bedrijfsbrede risicobeoordeling van art. 10. Art. 20 lid 4 maakt dat toetsbaar: de instelling moet te allen tijde aan de toezichthouder kunnen aantonen dat de maatregelen passend zijn bij het vastgestelde risico. Dat werkt twee kanten op. Te weinig verzamelen is een Wwft-probleem; te veel verzamelen is een AVG-probleem, en na 10 juli 2027 ook een AMLR-last: het overtollige gegeven mag nergens anders voor worden gebruikt (art. 76 lid 4) en moet na de bewaartermijn aantoonbaar worden verwijderd (art. 77 lid 3).

Art. 22 lid 6 kent twee verificatieroutes: een identiteitsdocument (met waar nodig informatie uit betrouwbare en onafhankelijke bronnen) of een elektronisch identificatiemiddel op betrouwbaarheidsniveau substantieel of hoog onder de eIDAS-verordening. Voor de uiteindelijk begunstigde geldt art. 22 lid 7, inclusief de verplichte raadpleging van de centrale registers, en art. 24 verplicht discrepanties tussen eigen bevindingen en registergegevens terug te melden. Die terugmelding is een gegevensstroom buiten de klant om; documenteer haar als zodanig.

Art. 25 verlangt dat de instelling vóór het aangaan van de relatie inzicht krijgt in doel en beoogde aard, en daartoe "waar nodig" informatie verkrijgt. Dat is een geclausuleerde plicht: de norm vraagt begrip van de relatie, niet een uitputtend klantprofiel. Wat u hier vastlegt, wordt bovendien de meetlat van fase 2: de doorlopende monitoring toetst transacties aan dit beeld.

Twee verplichte controles raken bijna altijd gevoelige gegevens. De PEP-bepaling (art. 20 lid 1 onder g, uitgewerkt in art. 42 en verder) strekt zich uit tot familieleden en naaste geassocieerden en kan daarmee politieke opvattingen en relaties blootleggen; bij een treffer volgen drie extra maatregelen die elk méér gegevens betekenen: toestemming van het hogere leidinggevend personeel, vaststelling van de bron van de geldmiddelen en de herkomst van het vermogen, en doorlopende verscherpte monitoring (art. 42 lid 1). De sanctietoets (art. 20 lid 1 onder d) screent tegen lijsten waarop afkomst en nationaliteit zwaar wegen. Precies hier gelden de waarborgen van art. 76 lid 2: betrouwbare bronnen, actuele gegevens en geen besluiten op basis van die gegevens met bevooroordeelde en discriminerende resultaten. De vereenvoudigde route is het spiegelbeeld: bij aantoonbaar laag risico mag de verificatie tot 60 dagen na het aangaan worden uitgesteld, mag minder frequent worden geactualiseerd, minder informatie over doel en aard worden verzameld en minder intensief worden gemonitord (art. 33 lid 1), al blijft de monitoring voldoende om het ongebruikelijke of verdachte op te sporen.

Onderzoeksgegevens komen lang niet altijd rechtstreeks van de klant. De instelling mag voor identificatie, verificatie en het doel-en-aardonderzoek steunen op een andere meldingsplichtige entiteit (art. 48), mits die aan gelijkwaardige onderzoeks- en bewaareisen voldoet en onder toezicht staat; de eindverantwoordelijkheid blijft bij de steunende instelling, en steunen op entiteiten in aangewezen risicolanden is verboden (art. 48 lid 4), behoudens de uitzondering voor eigen bijkantoren en dochterondernemingen onder de groepsvoorwaarden van lid 3. Uitbesteden van taken aan dienstverleners kan ook (art. 18), met kennisgeving aan de toezichthouder vooraf; de dienstverlener geldt dan als deel van de instelling en de instelling blijft volledig aansprakelijk. Voor de gegevenskant betekenen beide routes hetzelfde: er ontstaat een structurele doorgifte van cliëntgegevens tussen organisaties, die contractueel (verwerkers- of doorgifteafspraken), qua beveiliging en qua bewaartermijnen geregeld moet zijn vóórdat het eerste dossier stroomt. Een aantal kerntaken is bovendien wettelijk van uitbesteding uitgesloten: besluiten over risicoprofielen van cliënten, het aangaan van relaties, de meldbeslissing (behoudens uitbesteding aan een meldingsplichtige groepsentiteit in dezelfde lidstaat) en de goedkeuring van detectiecriteria blijven bij de instelling zelf (art. 18 lid 3).

Anders dan bij de monitoring is er in deze fase vrijwel altijd een contactmoment met de klant; bij digitale of geautomatiseerde onboarding verloopt dat moment zonder menselijke tussenkomst, maar de verplichtingen die eraan vastzitten gelden dan onverkort. Dat contactmoment bepaalt hoe de AVG-bepalingen uitwerken. De grondslag is ook hier de wettelijke verplichting (art. 6 lid 1 onder c AVG): vraag bij het aangaan geen toestemming voor het onderzoek, want toestemming suggereert een keuze die er niet is en kan bovendien worden ingetrokken. De minimalisatie (art. 5 lid 1 onder c AVG) heeft met art. 22 AMLR straks een concrete maat: de wettelijke set is de ondergrens, en elk gegeven daarbovenop vergt een risico dat het draagt. Concreet: geboorteplaats en nationaliteit staan op de lijst en zijn dus gerechtvaardigd, maar een standaardvraag naar burgerlijke staat, gezinssamenstelling of een tweede identiteitsdocument hoort alleen in het dossier als het vastgestelde risico daarom vraagt. Het juistheidsbeginsel (art. 5 lid 1 onder d AVG) valt hier samen met de wettelijke plicht zelf: verifiëren aan de hand van een identiteitsdocument of een eIDAS-middel ís het borgen van juistheid uit betrouwbare bron. Let bij digitale onboarding met gezichtsvergelijking wel op: daarbij worden biometrische gegevens verwerkt, en daarvoor gelden art. 9 AVG en art. 29 UAVG.

De informatieplicht werkt in deze fase op zijn sterkst: bij gegevens die u van de klant zelf verkrijgt, geeft u bij dat eerste contactmoment doel, grondslag, bewaartermijn en rechten mee (art. 13 AVG); bij gegevens uit andere bronnen, zoals het handelsregister, het UBO-register of een screeningsleverancier, geldt art. 14 AVG en hoort ook de bron te worden genoemd. Vanaf 10 juli 2027 komt daar de uitdrukkelijke mededeling bij dat ook bijzondere categorieën van gegevens verwerkt kunnen worden (art. 76 lid 2 onder a AMLR); het onboardingsmoment is de natuurlijke plek om die mededeling te doen. Het inzagerecht is in deze fase doorgaans eenvoudig te honoreren: zolang er geen meldbeoordeling loopt, is er weinig dat op grond van art. 23 lid 3 Wwft of art. 41 UAVG achtergehouden hoeft te worden. En wie het onderzoek deels via derden laat lopen (steunen op een andere instelling, art. 48 AMLR, of uitbesteden, art. 18 AMLR), legt de rolverdeling onder de AVG vast vóórdat het eerste dossier stroomt: wie is verwerkingsverantwoordelijke, wie verwerker (art. 28 AVG), en welke waarborgen gelden als gegevens daarbij naar een derde land gaan (hoofdstuk V AVG).

Art. 26 lid 1 verlangt doorlopende monitoring van de relatie én van alle transacties gedurende de hele looptijd, met twee doelen: toetsen of de transacties stroken met de kennis over de cliënt, diens bedrijfsactiviteit en risicoprofiel (waar nodig inclusief oorsprong en bestemming van de geldmiddelen), en het opsporen van transacties die op grond van art. 69 lid 2 grondiger beoordeeld moeten worden. Twee deelplichten worden vaak gemist. Bij meerdere producten of diensten moeten de maatregelen ze alle dekken. En binnen een groep moet informatie over relaties van de cliënt met andere groepsentiteiten worden meegewogen, ook als die entiteiten zelf niet meldingsplichtig zijn. Die groepsbrede blik is meteen een verwerkingsvraag: doorgifte binnen de groep, zonder klantcontact, moet op doelbinding en noodzaak worden getoetst.

Art. 26 lid 2 verplicht de relevante documenten, gegevens en informatie actueel te houden. Het interval is risicogebaseerd maar kent harde plafonds: maximaal een jaar voor cliënten met een hoger risico (de afdeling 4-gevallen), maximaal vijf jaar voor alle andere. Dit is de wettelijke haak onder de periodieke uitvraag, en tegelijk haar grens: actualiseren is bijwerken wat is veranderd, niet het dossier opnieuw opbouwen. Wie bij elke reviewronde de complete set opnieuw opvraagt, verzamelt zonder noodzaak.

Art. 26 lid 3 eist evaluatie en zo nodig actualisering wanneer de relevante omstandigheden van de cliënt veranderen, wanneer de instelling in het kalenderjaar toch al wettelijk verplicht contact heeft (met name voor UBO-informatie of de fiscale meldketen van Richtlijn 2011/16/EU), en wanneer zij kennis krijgt van een relevant feit. Naar huidig recht staan de eerste twee triggers al in art. 3 lid 10 Wwft; nieuw is het relevante feit. De tweede trigger is een minimalisatiekans die de norm zelf aanreikt: combineer het verplichte contactmoment met de actualisering, in plaats van de klant twee keer te benaderen.

Art. 26 lid 4 verplicht regelmatig te verifiëren dat aan de sanctietoets van art. 20 lid 1 onder d wordt voldaan, met een frequentie naar rato van het risico op niet-uitvoering of ontduiking van gerichte financiële sancties. Krediet- en financiële instellingen screenen daarnaast bij elke nieuwe aanwijzing. Dit is screening zonder klantcontact bij uitstek: de hele cliëntenbasis wordt periodiek langs lijsten gelegd. De waarborgen van art. 76 lid 2 (betrouwbare bronnen, actualiteit, en geen besluiten op basis van die gegevens met bevooroordeelde en discriminerende resultaten) zijn hier geen formaliteit maar de kern.

Hoe de monitoring wordt ingericht, schrijft de norm niet voor. Het College van Beroep voor het bedrijfsleven vernietigde op 18 oktober 2022 (ECLI:NL:CBB:2022:707) een aanwijzing van DNB gedeeltelijk: de Wwft schrijft niet voor hoe het cliëntenonderzoek wordt verricht, DNB had niet duidelijk gemaakt waarom bunqs datagedreven, statistisch onderbouwde peer-groupbenadering ontoereikend was (r.o. 8.4 en 8.6.3), en daarmee viel ook het monitoringverwijt (r.o. 9.5); wat partijen over machine learning hadden aangevoerd, liet het College onbesproken. Op de bron van de middelen en de PEP-toets hield de aanwijzing wél stand (r.o. 10.4 en 11). De les daaruit: de toezichthouder moet een overtreding bewijzen, en een afwijkende, datagedreven methode is niet reeds op die grond ontoereikend. De AMLA-conceptrichtsnoeren onder art. 26 lid 5 (consultatie 3 juni 2026) trekken de lijn door naar de andere kant: geautomatiseerde en AI-monitoring mag, mits uitlegbaar, getest, gedocumenteerd en proportioneel, en alerts mogen niet automatisch worden gesloten wanneer er risico-indicatoren zijn. Definitieve richtsnoeren waren er op de peildatum nog niet, hoewel art. 26 lid 5 ze uiterlijk 10 juli 2026 verlangde. Elk alert dat tot een besluit over de relatie leidt, valt bovendien onder de menselijke tussenkomst van art. 76 lid 5. Wie de monitoring uitbesteedt aan een externe dienstverlener, blijft binnen de grenzen van art. 18: de dienstverlener geldt als deel van de instelling en de instelling blijft volledig aansprakelijk, maar de goedkeuring van detectiecriteria, besluiten over risicoprofielen en de meldbeslissing zelf (behoudens uitbesteding aan een meldingsplichtige groepsentiteit in dezelfde lidstaat) mogen niet worden uitbesteed (art. 18 lid 3).

Monitoring verwerkt voortdurend persoonsgegevens zonder dat de betrokkene er iets van merkt. De AVG-bepalingen hebben hier elk hun eigen betekenis. De grondslag is de wettelijke verplichting (art. 6 lid 1 onder c AVG): toestemming is niet nodig en hoort ook niet gevraagd te worden, want zij zou de indruk wekken dat de klant kan weigeren wat de wet voorschrijft. De doelbinding en minimalisatie (art. 5 lid 1 onder b en c AVG) begrenzen wat het systeem in mag: transactiegegevens en het cliëntprofiel wel, maar bijvoorbeeld socialemediagegevens of persberichten over de klant alleen als het vastgestelde risico die aanvulling rechtvaardigt. De informatieplicht (art. 13 en 14 AVG) geldt op hoofdlijnen: de privacyverklaring en de klantdocumentatie vermelden dát er doorlopend wordt gemonitord, met welk doel en hoelang gegevens worden bewaard, maar niet hoe het systeem werkt; vanaf 10 juli 2027 komt daar de uitdrukkelijke mededeling bij dat ook bijzondere categorieën verwerkt kunnen worden (art. 76 lid 2 onder a AMLR).

Bij het inzagerecht (art. 15 AVG) biedt de wet zelf de begrenzing: op grond van art. 23 AVG, in Nederland uitgewerkt in art. 23 lid 3 Wwft (voor de geheimhouding van meldingen en FIU-contacten) en in het algemene art. 41 UAVG, wijkt het waar het de witwasbestrijding zou doorkruisen. De rechtbank Den Haag oordeelde op 9 september 2024 (ECLI:NL:RBDHA:2024:14477) dat de werking en de triggers van het monitoringsysteem geheim mogen blijven. Concreet: de klant die na een geblokkeerde overboeking vraagt "waarom werd ík eruit gepikt" krijgt een overzicht van de verwerkingen en zijn dossiergegevens, maar niet de drempelwaarden of scenario's die het alert veroorzaakten. Voor geautomatiseerde besluitvorming (art. 22 AVG) geldt de omgekeerde grens: een alert dat zonder menselijke beoordeling tot een blokkade of opzegging leidt, is een geautomatiseerd besluit met rechtsgevolgen, en vanaf 10 juli 2027 eist art. 76 lid 5 AMLR bij elk relatiebesluit beduidende menselijke tussenkomst. De inrichtingsplichten maken het kader sluitend: de monitoring hoort als aparte verwerking in het register van art. 30 AVG, de systematische en uitgebreide beoordeling van persoonlijke aspecten die zij vormt is DPIA-plichtig (art. 35 lid 3 onder a AVG), gegevensbescherming door ontwerp en standaardinstellingen (art. 25 AVG) betekent bijvoorbeeld dat de analist bij een alert alleen de velden ziet die voor de beoordeling nodig zijn, en de beveiligingseis (art. 32 AVG) vertaalt zich in rolgebaseerde toegang tot en logging van de monitoringomgeving. Juist omdat de betrokkene in deze fase niets ziet, rust de rechtmatigheid van de monitoring volledig op deze interne waarborgen.

De uitvraag moet het geconstateerde risico of de ontbrekende informatie adresseren, niet het hele dossier verversen. Motiveer intern per uitvraag welk gegeven ontbreekt en waarom het noodzakelijk is; dat is dezelfde aantoonbaarheid die art. 20 lid 4 toch al eist, nu toegepast op de gegevenskant. Dat motiveren wordt eenvoudiger naarmate het vooraf is georganiseerd: spreek binnen de organisatie per risico-indicator af welk type documentatie dat risico ondervangt, zodat de uitvraag uniform is, vooraf op noodzaak is getoetst en niet per dossier of per behandelaar wordt geïmproviseerd; die systematiek voorkomt dat er in het losse geval informatie wordt opgevraagd en verwerkt die het geconstateerde risico niet draagt. Vertel de klant bij de uitvraag waarvoor de gegevens dienen en hoelang zij worden bewaard; dat kan zonder iets prijs te geven over een eventuele beoordeling, en na 10 juli 2027 verlangt art. 76 lid 2 onder a hoe dan ook dat cliënten weten dat ook gevoelige categorieën verwerkt kunnen worden.

Wie bankafschriften of een arbeidsovereenkomst opvraagt, krijgt bijna altijd meer dan nodig: donaties die een geloofsovertuiging verraden, incasso's van een vakbond of zorgverlener, gegevens van derden. Het binnenkrijgen is niet te vermijden; het vastleggen wel. Leg vast wat de vraag beantwoordt, en gebruik voor het overige de mogelijkheid die art. 77 lid 2 AMLR expliciet biedt: een verwijzing bewaren in plaats van een kopie, mits onmiddellijk en onveranderbaar opvraagbaar. Bijzondere gegevens die geen antwoord op de onderzoeksvraag zijn, blijven buiten het dossier.

Voor gegevens van derden geldt een eigen afweging. Soms zijn zij werkelijk nodig om het risico te ondervangen, en dat speelt aan beide kanten van een overdracht. Aan de herkomstkant: de schenker bij een schenking, de erflater bij een erfenis, de wederpartij bij een lening. Aan de bestemmingskant: de ontvanger of verkrijger van gelden of goederen, wanneer het risico juist zit in waar het geld of het goed naartoe gaat. De wettelijke plicht (art. 6 lid 1 onder c AVG) draagt dan ook de verwerking van hún gegevens, maar uitsluitend voor zover die de risicobeoordeling dragen. Het criterium is de concrete overdracht: naam en relatie tot de cliënt, het overgedragen bedrag of goed en het bewijs van de overdracht altijd; bij hoger risico aan de herkomstkant ook de herkomst van dat bedrag of goed bij de derde zelf (de verkoopakte van de woning waaruit de schenking komt, het erfdeel waaruit zij is betaald), en aan de bestemmingskant de gegevens die de bestemming verifieerbaar maken, zoals de identiteit van de ontvanger en de onderbouwing van de gestelde reden van de overdracht. De diepte van dat onderzoek wordt bepaald door het risico, maar de reikwijdte blijft beperkt tot de overdracht zelf: het volledige vermogensbeeld van de derde, of dat nu de schenker of de ontvanger is, zegt niets over de herkomst of de bestemming van dít bedrag of goed en valt dus buiten de noodzaak. Richting die derde geldt bovendien de informatieplicht van art. 14 AVG; wie daarvan afziet, doet dat op een van de uitzonderingen van lid 5 (zoals een onevenredige inspanning of een wettelijke geheimhoudingsplicht) en legt die keuze vast. Ook bij gegevens van de cliënt zelf kan de noodzaak ontbreken, namelijk wanneer het opgevraagde stuk geen antwoord geeft op het risico dat is geconstateerd. Wie de volledige belastingaangifte opvraagt om de vermogenspositie te beoordelen, terwijl het geconstateerde risico niet in de vermogenspositie zit maar in de bestemming van de gelden, verwerkt gegevens zonder noodzaak en handelt daarmee in strijd met de AVG: de uitvraag moet aansluiten op het risico, niet op wat het meeste inzicht oplevert.

Art. 21 verplicht de instelling zich te onthouden van de transactie of relatie wanneer het cliëntenonderzoek niet kan worden voltooid, en te beoordelen of er gemeld moet worden. Ook die afweging is een verwerking: de vastlegging ervan (art. 21 lid 3, en voor de meldbeoordeling art. 77 lid 1 onder b) bevat per definitie een oordeel over een persoon. Behandel het afwijzingsdossier daarom met dezelfde waarborgen als strafrechtelijke gegevens: beperkte toegang, onderscheid tussen beschuldiging, onderzoek, procedure en veroordeling, en een proportionele bewaarduur. De Nederlandse rechtspraak over waarschuwingsregisters trekt dezelfde lijn: registreren mag zonder veroordeling, bij een zwaardere verdenking dan een redelijk vermoeden van schuld, dus concrete feiten die een bewezenverklaring kunnen dragen (HR 29 mei 2009, ECLI:NL:HR:2009:BH4720, r.o. 4.4), maar de duur moet per geval proportioneel zijn (Hof Arnhem-Leeuwarden 2 december 2025, ECLI:NL:GHARL:2025:7685). Bij bezwaar of een verwijderingsverzoek volgt een nieuwe afweging naar de dan geldende omstandigheden, met de bewijslast bij de instelling, die moet kunnen laten zien hoe zij de belangen van de betrokkene heeft gewogen (r.o. 3.27 tot en met 3.30); de betrokkene moet daarvoor wel specifieke omstandigheden aanvoeren, algemene bezwaren volstaan niet, en de juistheidstoets raakt de aantekening zelf, niet de risicoanalyse erachter (PHR 24 april 2026, ECLI:NL:PHR:2026:435, 4.11 en 4.29; cassatie aanhangig).

Het mededelingsverbod van art. 73 verbiedt de cliënt of derden te laten weten dat informatie wordt of zal worden gemeld of dat een analyse loopt. Het verbod kent wettelijke uitzonderingen (lid 2 tot en met 5), onder meer voor mededelingen aan toezichthouders, binnen de groep en tussen instellingen die bij dezelfde transactie betrokken zijn; en de poging een cliënt van een onwettige activiteit te doen afzien geldt uitdrukkelijk niet als mededeling (lid 6). Dat botst frontaal met de transparantiegedachte van de AVG, en de wetgever heeft die botsing beslecht: de beperkingsgrond van art. 23 AVG, in Nederland uitgewerkt in art. 23 lid 3 Wwft (de instelling mag art. 15 AVG buiten toepassing laten voor zover dat noodzakelijk en evenredig is voor de geheimhouding van meldingen en FIU-contacten) en in het algemene art. 41 UAVG, laat het inzagerecht wijken waar het de witwasbestrijding zou doorkruisen. Dat het inzagerecht wijkt, betekent echter niet dat het vervalt: een verwerkingsoverzicht en de gewone dossiergegevens blijven opvraagbaar, alleen de meldingen, de beoordeling en de werking van het monitoringsysteem blijven geheim. Een categorische weigering van elk inzageverzoek is dus net zo onjuist als volledige openheid.

Naast inzage heeft de betrokkene het recht op rectificatie van onjuiste gegevens en aanvulling van onvolledige gegevens (art. 16 AVG), en op beperking van de verwerking zolang de juistheid wordt betwist (art. 18 AVG). Dat recht ziet op feiten: een verkeerd adres, een onjuist toegeschreven transactie, een verwarring van personen. Een oordeel van de instelling (een risicoclassificatie, een beoordeeld signaal) is geen feit dat de klant kan laten herschrijven, maar de feiten waarop dat oordeel rust wél, en een gecorrigeerd feit dwingt tot herbeoordeling. De AMLR versterkt die lijn vanuit de andere kant: art. 76 lid 2 onder b verlangt voor gevoelige categorieën dat de gegevens accuraat en actueel zijn, en overweging 150 zegt hetzelfde voor alle AML-gegevens; een gegrond rectificatieverzoek is dus ook een nalevingskwestie. Extra aandacht verdient wat er ná een opzegging blijft staan: registraties in een gebeurtenissenadministratie of intern verwijzingsregister moeten juist, proportioneel en van een einddatum voorzien zijn; over die vastlegging na een opzegging wegens witwasvermoedens loopt bij de Hoge Raad een cassatieprocedure (conclusie van de advocaat-generaal van 24 april 2026, ECLI:NL:PHR:2026:435).

Vijf jaar na het einde van de relatie of de transactie moeten de persoonsgegevens worden verwijderd (art. 77 lid 3); alleen een bevoegde autoriteit kan per geval verlenging verlangen, met maximaal vijf jaar, en onverminderd bewaartermijnen uit ander Unie- of nationaal recht. Richt de verwijdering nu al in als proces, niet als voornemen: wie pas bij een verzoek gaat zoeken wat weg moet, haalt de termijn niet. De scherpste openstaande vraag zit in wat er bewaard wordt: of de wet verplicht tot een volledige kopie van het identiteitsbewijs inclusief pasfoto, ligt sinds 12 juni 2026 als prejudiciële vraag bij het Hof van Justitie (ECLI:NL:HR:2026:921, na het tussenarrest ECLI:NL:HR:2026:392).

Ook in deze fase hebben de AVG-bepalingen elk hun eigen betekenis. De grondslag van de uitvraag is de wettelijke plicht (art. 6 lid 1 onder c AVG); de klant is niet via de AVG verplicht te leveren, maar niet leveren heeft een Wwft-gevolg: het onderzoek kan dan niet worden voltooid en art. 21 AMLR dwingt tot onthouding of beëindiging. De minimalisatie (art. 5 lid 1 onder c AVG) werkt in beide richtingen van de uitvraag: gericht vragen (naar het stuk dat het geconstateerde risico raakt, niet naar het stuk dat het meeste inzicht geeft) én gericht vastleggen van wat er binnenkomt, met de mogelijkheid van de verwijzing (art. 77 lid 2 AMLR) als vangnet. De informatieplicht speelt dubbel: richting de klant bij de uitvraag zelf (art. 13 AVG: doel, grondslag, bewaartermijn), en richting derden wier gegevens in de aangeleverde stukken meekomen (art. 14 AVG, met de gedocumenteerde uitzonderingen van lid 5). De rechten van de betrokkene lopen door zoals in de voorgaande secties beschreven: inzage in twee lagen, rectificatie van feiten met herbeoordeling als gevolg. En de opslagbeperking (art. 5 lid 1 onder e AVG) krijgt hier zijn beslag: de vijf jaar van art. 77 lid 3 AMLR met de verwijderplicht erachter, en voor de gevoeligste documentatie van deze fase, het afwijzingsdossier en de vastgelegde meldbeoordeling, beperkte toegang en beveiliging op het niveau dat art. 32 AVG en art. 76 lid 2 onder d AMLR verlangen.

De opbouw begint bij de bedrijfsbrede risicoanalyse: welke witwas- en terrorismefinancieringsrisico's loopt deze instelling, gegeven haar producten, cliënten, kanalen en landen. Die analyse wordt vertaald naar een classificatiemodel op klantniveau. De risicofactoren die daarin meewegen zijn in de Europese systematiek geordend in vier hoofdcategorieën (cliëntgebonden factoren, product-, dienst- en transactiegebonden factoren, leveringskanaalfactoren en geografische factoren), maar die indeling is uitdrukkelijk niet uitputtend: bijlage I bij de AMLR geeft een niet-limitatieve lijst met per categorie méér variabelen, van de bedrijfsactiviteit, reputatie en het gedrag van cliënt en uiteindelijk begunstigde tot het doel van de rekening, de omvang van de activa en de complexiteit van het product, met een aparte variabele voor levensverzekeringen; de bijlagen II en III voegen daar de risicoverlagende en risicoverhogende factoren aan toe.

Technisch werkt de klassieke vorm als een scorekaart: elke factor krijgt een waarde per cliënt, elke waarde een score, elke score een gewicht, en de gewogen som valt via drempelwaarden in een risicoklasse (doorgaans laag, midden, hoog). Daarnaast worden statistische en lerende technieken gebruikt, in de wetenschappelijke overzichtsliteratuur onderverdeeld in onder meer beslisregels, clustering (cliënten groeperen in peer groups met vergelijkbaar gedrag, waarna afwijking van de eigen groep het signaal is), supervised machine learning (een model getraind op historische dossiers en alertuitkomsten leert welke combinaties van kenmerken eerder tot een bevestigd risico leidden) en anomaliedetectie zonder vooraf gelabelde uitkomsten. In al die varianten worden persoonsgegevens verwerkt op twee niveaus: als invoer (de kenmerken en het gedrag van de cliënt) en als uitkomst (de score of klasse is zelf een persoonsgegeven over die cliënt). De uitkomst, de risicoklasse, stuurt vervolgens alles: de diepte van het onderzoek, de reviewfrequentie (uiterlijk 1 of 5 jaar, art. 26 lid 2 AMLR) en de intensiteit van de monitoring. Veel factoren in het model zijn persoonsgegevens, en ook ogenschijnlijk neutrale product- of kanaalfactoren worden dat zodra zij aan een cliënt zijn gekoppeld. De weging moet bovendien verantwoord kunnen worden: art. 20 lid 4 AMLR verlangt dat de instelling kan aantonen dat de maatregelen passen bij het vastgestelde risico, en dat veronderstelt in de praktijk dat zij kan uitleggen hoe een cliënt in een klasse terechtkomt.

De monitoring toetst transacties aan het verwachte beeld. De meetlat is het verwacht transactieprofiel dat bij het onboardingsonderzoek is vastgelegd (in de Nederlandse bankpraktijk gestandaardiseerd in de NVB-standaard Verwacht Transactie Profiel, afgestemd met DNB): welk volume, welke tegenpartijen, welke landen passen bij deze cliënt. Daaroverheen draaien detectiescenario's: regels met drempels en parameters per klantsegment (bijvoorbeeld: contante stortingen boven een bedrag binnen een periode, snelle doorboekingen, transacties van en naar bepaalde landen of via terugkerende betaalroutes). Elke overschrijding van zo'n regel genereert een alert; pas de beoordeling door een analist wijst uit of het een werkelijk signaal is of een fout-positief, en dat laatste is in de praktijk verreweg de grootste categorie. Steeds vaker staan naast die regels statistische en zelflerende modellen die anomalieën of netwerken herkennen; de FATF beschreef in 2021 de kansen en randvoorwaarden daarvan, en de wetenschappelijke literatuur laat zowel de winst (minder gemiste patronen) als de keerzijde zien (zeer veel fout-positieven, moeilijk uitlegbare uitkomsten). Voor de Nederlandse bankpraktijk is die overgang inmiddels vastgelegd in de NVB-white paper over machine learning in transactiemonitoring (augustus 2026), en DNB onderkent de waarde van verantwoord AI-gebruik in de monitoring uitdrukkelijk in haar Q&A's en Good Practices Wwft; de meldbeslissing zelf wordt daarbij, ook in modelgedreven monitoring, met beduidende menselijke tussenkomst genomen. Het geheel kent een modelcyclus: ontwikkelen, valideren tegen historische data, in productie nemen, terugtoetsen en drempels bijstellen. De AMLA-conceptrichtsnoeren over doorlopende monitoring eisen dat elk onderdeel van die cyclus uitlegbaar, getest, gedocumenteerd en proportioneel is, en dat alerts niet automatisch sluiten zolang er risico-indicatoren zijn.

Het fairnessbeginsel is de Engelse naam voor wat de AVG het beginsel van behoorlijke verwerking noemt (art. 5 lid 1 onder a): een verwerking mag geen ongerechtvaardigd nadelige, discriminerende of misleidende gevolgen voor de betrokkene hebben. Toegepast op een risicomodel betekent dat concreet dat vergelijkbare cliënten vergelijkbaar worden behandeld, en dat verschillen in uitkomst tussen groepen een objectieve rechtvaardiging vergen. Het is daarmee geen beleidsvoorkeur maar een wettelijke eis, en de NVB-white paper onderscheidt vier bronnen waarlangs een model dat beginsel kan schenden: vertekende historische data, werkelijke verschillen tussen populaties, featurekeuzes die als omwegvariabele werken, en het modelontwerp zelf. Drie routes verdienen in de praktijk de meeste argwaan. De directe variabele: nationaliteit, geboorteland of leeftijd als factor raakt rechtstreeks een beschermd kenmerk. Het toetsingskader van het College voor de Rechten van de Mens voor risicoprofilering is daarover scherp: onderscheid naar ras of nationaliteit, ook als één factor van vele, vergt een objectieve rechtvaardiging die geschikt en noodzakelijk is; "hoort bij een hoogrisicoland" is geen automatische rechtvaardiging voor "deze persoon is hoogrisico". De omwegvariabele (proxy): een model dat nationaliteit niet kent maar wel postcode, naamkenmerken, terugkerende betaalroutes of winkelgedrag, kan hetzelfde onderscheid langs een omweg maken; indirect onderscheid is even goed verboden onderscheid. De feedbackloop: waar meer alerts vallen, wordt meer onderzocht, dus meer gevonden, dus vallen nog meer alerts; het model bevestigt zo zijn eigen aannames en een groep komt structureel vaker onder het vergrootglas. De optelsom kan uitmonden in de-risking: hele klantgroepen (stichtingen die geld overmaken naar bepaalde landen, sekswerkers, cryptohandelaren) worden geweigerd of uitgestoten. DNB onderzocht dit in 2024 voor de Nederlandse bankpraktijk en beval aan discriminatie breed te definiëren (ook andere behandeling en achterstelling, niet alleen uitsluiting), beleid gerichter te maken en te evalueren, en alle lagen van de organisatie erop te trainen; de EBA legde al eerder in haar richtsnoeren vast dat het en bloc weigeren van klantgroepen geen risicogebaseerde aanpak is en dat instellingen alternatieven moeten overwegen.

Documenteer per model wat het doet, waarop het is getest en waarom de gekozen drempelwaarden en scenario's proportioneel zijn. Dat is de lijn van de AMLA-conceptrichtsnoeren (uitlegbaar, getest, gedocumenteerd, proportioneel) en van de SCHUFA- en Dun & Bradstreet-rechtspraak: zodra een score in beslissende mate een besluit draagt, moet de logica uitgelegd kunnen worden. De bunq-zaak laat de andere kant zien: een afwijkende, datagedreven methode is niet reeds daarom ontoereikend; de verantwoordingsplicht van art. 20 lid 4 AMLR blijft daarbij onverkort gelden.

Art. 76 lid 5 AMLR eist beduidende menselijke tussenkomst bij elk besluit over aangaan, weigeren, onderhouden of op- en afschalen van het onderzoek. Een analist die achteraf tekent bij het kruisje is geen beduidende tussenkomst. Richt niet alleen de alertafhandeling van de transactiemonitoring maar ook de beoordelingsstappen in het cliëntenonderzoek en de sanctiescreening zo in dat een mens de gegevens en de context weegt voordat het besluit valt, en leg die weging vast; sluit alerts niet automatisch wanneer er risico-indicatoren zijn.

Weiger niet categorisch en geef ook niet alles. De rechtspraak wijst een middenweg: het verwerkingsoverzicht en de gewone dossiergegevens verstrekt u, de meldingen, de lopende beoordeling en de werking en triggers van het monitoringsysteem houdt u geheim op grond van art. 23 lid 3 Wwft, art. 41 UAVG en het mededelingsverbod. Leg per verzoek vast welke categorie u om welke reden achterhoudt.

Interne en externe verwijzingsregisters bevatten strafrechtelijke persoonsgegevens en vallen onder het vergunningsregime van het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen (per 1 april 2026 in de versie 2026). De rechtspraak en het Kifid eisen dat de duur van elke registratie per geval proportioneel wordt gemotiveerd: de maximale termijn is geen standaardtermijn. Zet bij elke registratie een gemotiveerde einddatum en een herbeoordelingsmoment.

Art. 76 lid 4 AMLR verbiedt per 10 juli 2027 elke commerciële verwerking van gegevens die voor de witwasbestrijding zijn verzameld. Instellingen waar CDD-verrijkte klantprofielen doorstromen naar marketing of productontwikkeling hebben tot die datum om de gegevensstromen te scheiden. Breng als eerste stap in kaart welke gegevens in de commerciële klantsystemen afkomstig zijn uit het cliëntenonderzoek.

Spreek organisatiebreed per risico-indicator af welk type documentatie nodig is om dat risico te ondervangen, en leg die koppeling vast in het uitvraagbeleid. Zo krijgt elke klant met hetzelfde risico dezelfde, vooraf op noodzaak getoetste uitvraag, in plaats van een uitvraag die per analist of per dossier verschilt. Die systematiek is naar mijn mening de beste borging dat de uitvraag uniform en binnen de grenzen van de AVG blijft, en voorkomt dat in het losse dossier documentatie wordt opgevraagd en verwerkt die het geconstateerde risico niet draagt en daarmee onrechtmatig zou zijn.

Het cliëntenonderzoek kent een eigen doel, een eigen bewaartermijn en straks een eigen verwijderplicht. Wie de onderzoeksgegevens door het opdrachtdossier mengt, kan na vijf jaar niet gericht verwijderen en kan bij een inzageverzoek of een toezichtsuitvraag niet gericht verstrekken. Twee mappen, twee regimes: naar mijn mening de enige inrichting die zowel de toezichtsuitvraag als het inzageverzoek overleeft.

Art. 77 lid 2 AMLR biedt straks uitdrukkelijk de keuze om verwijzingen te bewaren in plaats van kopieën, mits de informatie onmiddellijk en onveranderbaar opvraagbaar blijft, en verlangt dat de interne procedures vastleggen voor welke categorieën dat geldt. Voor de ID-kopie zelf is terughoudendheid extra verstandig: of de wet tot een volledige kopie inclusief pasfoto verplicht, ligt sinds 12 juni 2026 bij het Hof van Justitie (HR 2026:921). Het BFT zegt het in zijn leidraden van 24 oktober 2024 zelf: een kopie mag, maar is niet noodzakelijk zolang de vereiste gegevens zijn vastgelegd.

De beroepsgeheimhouding beschermt de cliënt; het mededelingsverbod van art. 73 AMLR beschermt het onderzoek en werkt juist tégen de cliënt. Zij kunnen tegelijk gelden en vragen om verschillende reflexen: de geheimhouding bestaat in het belang van de cliënt, het mededelingsverbod bindt alleen u en dient het onderzoek. Leg in kantoorprocedures vast wie een vraag van een cliënt over een lopende beoordeling beantwoordt, en hoe: niet ontkennen, niet bevestigen, niet vertragen op een manier die zelf een mededeling wordt. Eén uitweg biedt de verordening zelf: de poging een cliënt van een onwettige activiteit te doen afzien, geldt uitdrukkelijk niet als mededeling (art. 23 lid 5 Wwft; art. 73 lid 6 AMLR).

Vraag per ontbrekend gegeven, niet per standaardlijst. Een uitvraagbrief die motiveert welk stuk waarom nodig is, is tegelijk het bewijs van aantoonbaarheid (art. 20 lid 4) en de beste bescherming tegen overvraging. Die motivering is vooraf gegeven wanneer het kantoor per risico-indicator heeft vastgelegd welk type documentatie dat risico ondervangt: dan is de uitvraag kantoorbreed uniform en vooraf op noodzaak getoetst. Komt er meer binnen dan gevraagd, leg dan alleen vast wat de vraag beantwoordt; bijzondere gegevens die toevallig meekomen horen niet in het dossier.

Leg bij het aanleggen van het dossier vast hoe het startmoment van de bewaartermijn wordt gesignaleerd, en noteer bij het afronden van de opdracht of het einde van de relatie wanneer de termijn is gaan lopen en wanneer zij eindigt. De verwijderplicht van art. 77 lid 3 AMLR maakt van vernietiging een verplichting met een datum; wie haar pas organiseert als de kast vol is, komt structureel te laat. De KNB spoort daar al toe aan, het BFT verlangt in zijn leidraden van 24 oktober 2024 vernietiging direct na de termijn, en voor trustkantoren is het nu al wet (art. 40 lid 3 Wtt 2018).

Het cliëntenonderzoek van art. 3 Wwft en het verwacht transactieprofiel (NVB-standaarden, afgestemd met DNB) bepalen wat de bank verzamelt; elke transactie van elke rekeninghouder loopt door de monitoring, en de sanctiescreening draait over de hele cliëntenbasis. De begrenzing komt grotendeels van buiten het antiwitwasrecht: de noodzaaktoets van art. 5 AVG, het regime voor strafrechtelijke gegevens van art. 32 en 33 UAVG met het PIFI-vergunningsstelsel voor de waarschuwingsregisters (versie 2026, per 1 april 2026), en de inzagerechtspraak. De DNB Q&A's en Good Practices Wwft vragen de klant bij het onderzoek te informeren over doel en bewaartermijn. Vanaf 10 juli 2027 brengt de AMLR die begrenzing in de verordening zelf onder: art. 76 (gevoelige gegevens, doelbinding, AI-waarborgen) en art. 77 (bewaren én verwijderen) gelden dan rechtstreeks naast art. 22 en 26.

Bij een klant met verhoogd risico vraagt de bank in het kader van verscherpt onderzoek de herkomst van 90.000 euro spaartegoed aan te tonen. De klant stuurt twaalf maanden bankafschriften. Daarop staan ook periodieke donaties aan een kerkgenootschap, contributie aan een vakbond en incasso's van een GGZ-instelling: drie categorieën bijzondere persoonsgegevens die niets met de herkomstvraag te maken hebben. Langs het kader: de fase is een uitvraag met contactmoment, de noodzaak dekt de herkomst van het tegoed en niet het hele betaalgedrag, de gevoeligheid zit in gegevens die de vraag niet beantwoorden.

Het cliëntenonderzoek volgt de algemene Wwft-regels (de AFM-leidraad met CASP-annex beschrijft de vastlegging), maar de monitoring is hier bijzonder: de keten is openbaar, dus herkomst- en tegenpartijanalyse van adressen gebeurt doorlopend en volledig buiten de klant om, vaak via externe chain-analysisleveranciers. Sinds 30 december 2024 komt daar de crypto-reisregel bij: op grond van Verordening (EU) 2023/1113 gaat bij elke overdracht van cryptoactiva informatie over de initiator en de begunstigde mee (art. 14 tot en met 16 van die verordening, met een eigendomstoets voor zelfgehoste adressen boven 1.000 euro). Dat is een structurele, wettelijk verplichte stroom van persoonsgegevens tussen aanbieders onderling, die in het verwerkingsregister en de doorgifteafspraken hoort te staan. Vanaf 10 juli 2027 begint de onderzoeksplicht bovendien eerder dan elders: bij occasionele transacties al vanaf 1.000 euro, en zelfs daaronder blijft ten minste de identificatie en verificatie van de cliënt verplicht (art. 19 lid 3 AMLR); daarnaast verplicht art. 40 AMLR tot een eigen risicobeoordeling van overdrachten van en naar zelfgehoste adressen.

De monitoringtool markeert het opnameadres van een klant: het staat via twee tussenliggende transacties (in het vakjargon: twee hops) in verbinding met een groep adressen die de chain-analysisleverancier aan een darknet-marktplaats koppelt. De klant zelf heeft drie jaar een onopvallend patroon. Langs het kader: het signaal is een ongevalideerd leveranciersetiket over indirecte blootstelling; de gevoeligheid is hoog, want het etiket suggereert een strafbaar verband; de noodzaak rechtvaardigt onderzoek, maar nog geen conclusie.

Het onderzoek richt zich naar huidig recht op de verzekeringnemer (art. 3 Wwft); voor de met name genoemde begunstigde volstaat vastlegging van de naam, bij aanwijzing naar kenmerken of categorie voldoende informatie om de identiteit bij uitbetaling te kunnen vaststellen, in beide gevallen met verificatie bij uitbetaling (art. 3a Wwft), en de PEP-toets strekt zich uit tot de begunstigde en diens uiteindelijk belanghebbende (art. 8 lid 7). De verzekeraar verwerkt dus gegevens van een tweede kring die vaak niet weet dat er gegevens over haar worden verwerkt. De AMLR zet die lijnen voort en verscherpt ze: identificatie van de begunstigde en zo nodig diens uiteindelijk begunstigde uiterlijk bij uitbetaling (art. 47), de PEP-toets op de begunstigde van de polis (art. 44), en het volledige gegevensregime van art. 76 en 77 eroverheen; anders dan de Wwft bestrijken art. 44 en 47 bovendien naast de levensverzekering ook andere beleggingsverzekeringen. Parallel loopt het medische acceptatiespoor, met een eigen en strenger regime.

Een verzekeringnemer wijzigt de begunstiging van zijn koopsompolis (240.000 euro) naar een kennis in het buitenland. De verzekeraar toetst de nieuwe begunstigde: de PEP-screening levert op dat zij familielid is van een politiek prominent persoon, en adverse media koppelen haar broer aan een corruptieonderzoek. De begunstigde zelf weet van niets: niet van de aanwijzing, niet van de screening. Langs het kader: de noodzaak van de toets is wettelijk gegeven (art. 8 lid 7 Wwft, straks art. 44 AMLR), de gevoeligheid zit in politieke connecties en een strafrechtelijk getint gegeven over een derde (de broer), de transparantie is het open punt.

De aanbieder verwerkt spelersgegevens voor twee gescheiden wettelijke doelen: verslavingspreventie (speelgedrag, interventies, zorgplicht, met het Centraal register uitsluiting kansspelen van art. 33h Wet op de kansspelen als eigen register) en witwasbestrijding (identiteit, herkomst van middelen, transactiepatronen). De Ksa-leidraad Wwft (derde versie, december 2023) onderscheidt die sporen; de doelbinding van art. 5 AVG maakt het onderscheid hard. Naar huidig recht kent de sector bovendien een eigen drempel: cliëntenonderzoek bij het ophalen van een prijs of het aangaan van een weddenschap vanaf 2.000 euro, ook bij samenhangende transacties (art. 3 lid 6 Wwft); onder de AMLR worden sectorale lagere drempels bepaald via technische reguleringsnormen op grond van art. 19 lid 9, en zolang die er niet zijn, staat de voortzetting van de 2.000-eurodrempel niet vast. Onlineaccounts zijn doorlopende zakelijke relaties met de volle monitorings- en actualiseringsplicht.

Een onlinespeler stort in een maand 28.000 euro in kleine bedragen, vaak diep in de nacht, en verliest vrijwel alles. Het preventiesysteem signaleert risicovol speelgedrag en dwingt een interventie af; het CDD-spoor vraagt naar de herkomst van de middelen. De speler stuurt een arbeidscontract en een schenkingsovereenkomst van zijn ouders. Langs het kader: de fase verschuift van monitoring naar uitvraag; de noodzaak dekt de herkomst van 28.000 euro; de gevoeligheid zit in het nachtelijke patroon, dat in het preventiedossier thuishoort en niet als "gokverslaafd" in het CDD-dossier.

De notaris kent uit het ambt al een wettelijke identificatieplicht (art. 39 lid 1 Wna) en een streng, langlopend bewaarregime voor het protocol. Het verplichte cliëntenonderzoek (art. 3 Wwft) komt daar als apart spoor naast, met een eigen doel en de bewaartermijn van vijf jaar (art. 33 en 34 Wwft). De beroepsorganisatie besteedt expliciet aandacht aan de twee vragen waar de sporen elkaar raken: mag de cliënt het klantonderzoek inzien (Notariaat Magazine, maart 2025, naar aanleiding van Kifid GC 2025-0043: de weigering van de dienst mag worden toegelicht, inzage in het onderzoek mag alleen worden beperkt voor zover dat noodzakelijk en evenredig is, en de notaris moet dat, anders dan een bank met een monitoringsysteem, zelf kunnen onderbouwen) en wanneer persoonsgegevens moeten worden vernietigd na het verstrijken van de bewaartermijn (nieuwsbericht 19 februari 2026: kopie identiteitsbewijs vijf jaar bij Wwft-onderzoek, één jaar bij legalisatie). Vanaf 10 juli 2027 wordt die vernietiging een uitdrukkelijke verwijderplicht (art. 77 lid 3 AMLR) en wordt de vastlegging van de meldbeoordeling, ook als niet wordt gemeld, een expliciete plicht (art. 77 lid 1 onder b).

Een notaris staakt zijn dienstverlening bij een aandelenoverdracht: het cliëntenonderzoek kan niet worden voltooid omdat de herkomst van de koopsom onverklaard blijft, en hij beoordeelt of er gemeld moet worden. Twee weken later doet de cliënt een AVG-inzageverzoek: hij wil "het volledige dossier, inclusief alles wat over mij is vastgelegd en aan wie dat is verstrekt". Langs het kader: de fase is een contactmoment met een lopende meldbeoordeling; de transparantie splitst in wat moet (eigen persoonsgegevens, verwerkingsoverzicht) en wat niet mag (de meldbeoordeling en elk FIU-contact).

De eerste gegevensvraag is een reikwijdtevraag: valt de opdracht onder de aangewezen diensten of onder de vrijstelling voor het bepalen van de rechtspositie en het optreden in rechte (art. 1a lid 5 Wwft)? Die kwalificatie bepaalt het hele regime dat volgt: wel of geen CDD-dossier, wel of geen meldplicht. Wat de advocaat over de cliënt weet, valt bovendien grotendeels onder de geheimhoudingsplicht (art. 11a Advocatenwet) en het verschoningsrecht; het antiwitwastoezicht ligt bij de deken (art. 1d lid 1 onderdeel d Wwft; art. 45a Advocatenwet), onder toezicht van het college van toezicht (art. 45h en 45i Advocatenwet). De NOvA-handleiding Wwft is het sectorale kader. Onder de AMLR blijft de systematiek herkenbaar maar valt zij uiteen: welke diensten meetellen staat in art. 3 punt 3 onder b, en de vrijstelling voor rechtspositie en rechtsgeding keert terug in de onthoudingsplicht (art. 21 lid 2), de discrepantiemelding (art. 24 lid 4), de meldplicht (art. 70 lid 2) en het mededelingsverbod (art. 73 lid 6), telkens met de uitzonderingen bij eigen betrokkenheid of witwasadvies (overweging 12).

Een kantoor voert bij elke nieuwe cliënt dezelfde onboarding uit: identiteitsbewijs, UBO-uitvraag, PEP- en sanctiescreening, adverse-mediacheck. Ook bij de cliënt die alleen wordt bijgestaan in een arbeidsgeschil: een zaak die volledig onder de vrijstelling valt. Langs het kader: de noodzaak ontbreekt, want er is geen aangewezen dienst en dus geen grondslag in de antiwitwasregelgeving; de PEP-toets en de mediacheck zijn dan verwerkingen (deels van strafrechtelijk getinte gegevens) zonder wettelijke plicht die ze draagt.

De beroepsuitoefening zelf levert een doorlopende informatiestroom over de cliënt: de administratie, de jaarrekening, de aangiften. Veel van de onderzoeksgegevens heeft het kantoor dus al uit de opdracht, en wie de administratie voert ziet elke ongebruikelijke geldstroom vanzelf voorbijkomen: de samenstelpraktijk levert de voortdurende controle van art. 3 lid 2 onder d Wwft grotendeels vanzelf, al verlangt het BFT daarnaast een eigen risicobeleid waarop dat volgen is gebaseerd, en de vastlegging van wat daaruit is beoordeeld. Het sectorale kader naar huidig recht is NBA-handreiking 1124 (Richtsnoeren voor de interpretatie van de Wwft voor accountants en belastingadviseurs, versie 5 december 2023, opgesteld door NBA, NOB en RB). De gegevensvraag is hier dan ook zelden "mogen wij dit weten" maar "waar leggen wij het vast en onder welk regime". Vanaf 10 juli 2027 geeft art. 77 lid 2 AMLR het verwijzingsmodel een uitdrukkelijke basis en verlangt art. 77 lid 1 onder b de vastlegging van elke meldbeoordeling, ook als er niet wordt gemeld.

Bij het samenstellen valt op dat een horecacliënt structureel meer contante omzet boekt dan de branchecijfers en de inkoop verklaren. De relatiebeheerder mailt zijn twijfel aan een collega, de fiscalist zet een opmerking in het aangiftedossier, en de samensteller noteert "omzet besproken met cliënt" in de werkmap. Een meldbeoordeling komt er niet; drie jaar later vraagt het BFT naar de opvolging. Langs het kader: de vastlegging is het probleem: het oordeel over de cliënt bestaat wel, maar zwerft door drie dossiers zonder conclusie, datum of eigenaar.

De adviseur verwerkt over dezelfde cliënt gegevens voor drie doelen: het fiscale advies (grondslag: de overeenkomst), het verplichte cliëntenonderzoek (grondslag: de wettelijke plicht) en de fiscale meldverplichtingen in de keten van Richtlijn 2011/16/EU. Elk spoor heeft een eigen doel en bewaarregime, maar zij putten uit dezelfde bron: het vermogens- en inkomensbeeld. Voor een goed advies wil de adviseur vaak het volledige beeld; voor het cliëntenonderzoek is dat zelden allemaal strikt noodzakelijk. Het BFT plaatst de rechtspositiebepaling doorgaans in het eerste verkennende gesprek, waarin de Wwft nog niet geldt; zodra duidelijk is welk werk volgt, moet opnieuw worden gekwalificeerd (leidraad 24 oktober 2024, p. 12). Vanaf 10 juli 2027 maakt de doelbinding van art. 76 lid 4 AMLR het riskant om die stromen als één klantbeeld te behandelen.

Een kantoor stuurt elke nieuwe cliënt hetzelfde intakeformulier: volledige vermogensopstelling, alle bankrekeningen wereldwijd, huwelijkse voorwaarden, testament, pensioenoverzichten, "benodigd voor het verplichte cliëntenonderzoek". De cliënt komt voor een eenvoudige aangiftepraktijk met een bescheiden eenmanszaak. Langs het kader: de noodzaak voor het CDD-spoor is de minimumdataset plus wat het (lage) risico draagt; het testament en de pensioenoverzichten dragen daar niets aan bij. Het formulier vraagt adviesbreed uit onder de vlag van het verplichte cliëntenonderzoek.

Bij bemiddeling geldt ook de wederpartij van de cliënt als cliënt (art. 3 lid 12 Wwft): de makelaar verwerkt dus persoonsgegevens van een partij die hem geen opdracht gaf en dat vaak niet verwacht. Taxateurs zijn juist wettelijk uitgezonderd van het cliëntenonderzoek (art. 3 lid 9 Wwft) en verwerken daarvoor niets, al behouden zij de meldplicht. De monitoring is transactiegebonden en leunt op openbare bronnen: kadaster, handelsregister, eerdere transacties van hetzelfde object. De AMLR zet het tweezijdige cliëntbegrip voort: voor vastgoedmakelaars gelden beide partijen bij de transactie als cliënt (art. 19 lid 6 onder c; overweging 60). Taxateurs noemt de verordening niet (art. 3 punt 3 onder d ziet op makelaars en andere vastgoedspecialisten die als tussenpersoon optreden); of Nederland hen via de nationale uitbreiding van art. 3 AMLD6 handhaaft, was per de peildatum niet vastgesteld. Het gegevensregime van art. 76 en 77 geldt hoe dan ook.

Een verkopersmakelaar begeleidt de verkoop van een bedrijfspand (1,4 miljoen euro). Onder het tweezijdige cliëntbegrip onderzoekt hij ook de koper: identiteit, UBO van de kopende BV, herkomst van de koopsom, raadpleging van kadaster en handelsregister. De koper verneemt bij de notaris dat de makelaar van de tegenpartij "een dossier over hem heeft" en dient een inzageverzoek in, gevolgd door de vraag op welke grond dat dossier überhaupt bestaat. Langs het kader: de noodzaak is wettelijk gegeven (art. 3 lid 12 Wwft), maar de transparantie is blijven liggen: de koper is nooit geïnformeerd.

De Wtt 2018 verlangt kennis van de hele structuur: doelvennootschap, uiteindelijk belanghebbende, herkomst en bestemming van middelen, en het doel van de structuur zelf. Dat maakt het trustdossier het meest gegevensrijke CDD-dossier van het stelsel, over meerdere personen tegelijk en vaak over vermogens die in het buitenland zijn opgebouwd. Het kantoor bestuurt bovendien vaak zelf de doelvennootschap en ziet elke transactie van binnenuit: monitoring en dienstverlening vallen samen. Anders dan de Wwft kent de Wtt 2018 al een eigen gegevensregime: art. 40 bindt de verwerking aan het beheersen van integriteitsrisico's en verbiedt commercieel of onverenigbaar hergebruik (lid 1), verplicht tot informatie aan de cliënt vóór het aangaan van de relatie (lid 2) en tot vernietiging onmiddellijk na de bewaartermijn (lid 3). Vanaf 10 juli 2027 vervangt het geharmoniseerde gegevensregime van art. 76 en 77 AMLR dat nationale regime, met de beveiligingseis van art. 76 lid 2 onder d die zwaarder weegt naarmate het dossier dieper is.

Bij het aannemen van een doelvennootschap moet het kantoor de herkomst van het vermogen van de doelvennootschap en de vermogenspositie van de UBO vaststellen en zich zoveel mogelijk vergewissen van de legitieme bron (art. 27 lid 2 onder c t/m e Wtt 2018). Het vermogen van de UBO: 6 miljoen euro, opgebouwd uit een familiebedrijf in een derde land. De cliënt levert een erfrechtelijke verdeling, aandeelhoudersregisters en bankverklaringen aan. De stukken bevatten geboortedata, adressen en vermogensposities van vier broers en zussen die niets met de structuur te maken hebben. Langs het kader: de noodzaak dekt de vermogenslijn naar de UBO, de gevoeligheid zit in de gegevens van de familie, de duur in een dossier dat decennia kan meegaan.