Fem år, och sedan radering.
Allt du gör inom kundkännedom ska gå att visa i efterhand. Uppgifterna sparas i fem år efter att kundrelationen har avslutats, och raderas sedan (AMLR art. 77). Det är alltså två skyldigheter i en: att spara och att radera.
Här går jag igenom vad du ska spara, när de fem åren börjar och hur du raderar.
Det viktigaste i korthet
- Spara underlag, transaktioner och dina bedömningar i fem år.
- De fem åren räknas från när kundrelationen eller transaktionen avslutades.
- Spara också bedömningar som inte ledde till en rapport, och kunder du sa nej till.
- Radera uppgifterna när tiden har gått ut, om inte en myndighet har begärt längre tid.
- Du ska snabbt kunna svara myndigheter på om du har haft en viss person som kund.
Vad ska sparas?
Spara allt som visar vad du visste om kunden, vad du bedömde och vad du gjorde. Det omfattar:
- kopior av id-handlingar och andra underlag från kundkännedomen, även uppgifter från e-legitimation
- uppgifter om transaktioner
- dina analyser och bedömningar, även de som inte ledde till en rapport till Finanspolisen
- beslut om att avstå från en kund eller avsluta en kundrelation, och varför.
Uppgifterna sparas i sin helhet, utan strykningar eller ändringar i efterhand (art. 77).
När börjar de fem åren?
| Situation | De fem åren räknas från |
|---|---|
| Löpande kundrelation, till exempel en redovisningskund | Dagen då kundrelationen avslutas |
| Enstaka transaktion, till exempel ett köp hos en handlare | Dagen då transaktionen genomfördes |
| Kund som du sa nej till | Dagen då du fattade beslutet |
För en kund du haft i tio år sparar du alltså uppgifter i sammanlagt femton år: under hela relationen, och fem år efter att den tog slut.
Sedan raderar du.
När de fem åren har gått raderar du personuppgifterna. En behörig myndighet kan i vissa fall begära att uppgifterna sparas längre, till exempel under en pågående utredning. Då sparar du dem den tid som myndigheten har beslutat.
I dag gäller en liknande regel. Enligt penningtvättslagen sparas handlingarna i minst fem år, och enligt Fastighetsmäklarinspektionen aldrig längre än tio år.
Visa vad du visste, och när.
Vid tillsyn visar du både att du har en rutin och hur du tänkte i varje enskilt fall. Bra dokumentation svarar på sex frågor:
| Fråga | Vad du sparar |
|---|---|
| Vilket underlag användes? | Dokument och källor, med datum och hur du kontrollerade dem |
| Vilken risk såg du? | Riskfaktorer, risknivå och vilken version av den allmänna riskbedömningen du utgick från |
| Varför fattades beslutet? | En kort motivering kopplad till riskfaktorerna |
| Vem fattade beslutet? | Namn och roll, och om förslaget kom från ett automatiskt system |
| Vad gjordes, och när? | Åtgärder som kompletteringar, skärpta åtgärder eller avslut, med datum |
| När följdes kunden upp? | Datum för nästa uppföljning |
Skriv motiveringen när du fattar beslutet. En logg visar att något hände. Motiveringen visar att bedömningen var rimlig.
Var redo att svara snabbt.
Myndigheter kan fråga om du har eller har haft en kundrelation med en viss person under de senaste fem åren. Du ska kunna svara snabbt och på ett säkert sätt (art. 78). Begär Finanspolisen uppgifter har du normalt fem arbetsdagar på dig, och i brådskande fall kortare tid (art. 69).
Uppgifterna används bara mot penningtvätt.
Det du samlar in för kundkännedom får bara användas för att förhindra penningtvätt och finansiering av terrorism (art. 76). Håll uppgifterna åtskilda från till exempel marknadsföring och kundregister för försäljning.
Mitt råd: det här kan du göra redan nu.
- Ta reda på var dina underlag finns i dag: e-post, pärmar, mappar eller system.
- Notera slutdatum för varje avslutad kundrelation, så att du vet när de fem åren går ut.
- Lägg till en kort motivering vid varje riskbedömning av en kund.
- Bestäm vem som raderar uppgifterna, och hur ofta det görs.
Vanliga frågor
Ska jag spara uppgifter om kunder jag sa nej till?
Ja. Beslutet att avstå och skälen till det sparas i fem år, på samma sätt som för andra kunder.
Vad händer med dokumentationen om jag byter system?
Skyldigheten att spara följer med dig. Se till att du får med allt underlag, och att det går att läsa, när du flyttar till ett nytt system.
Gäller GDPR också?
Ja. Raderingen efter fem år är ett exempel på hur penningtvättsreglerna och dataskyddsreglerna samverkar: du sparar så länge det behövs, och sedan inte längre.
Källor
Om författaren
Fredrik Strauss är medgrundare av Credon. Credon grundades av experter på kreditrisk och penningtvätt med lång erfarenhet från bankvärlden. Läs mer om teamet