Verstrekking van persoonsgegevens uit een Wwft-dossier
“De Rechtbank Amsterdam oordeelt dat persoonsgegevens die een financiële instelling voor haar Wwft-cliëntenonderzoek heeft verzameld, niet zonder meer buiten de organisatie mogen worden verstrekt. De Wwft verklaart waarom deze gegevens zijn verzameld, maar vormt geen zelfstandige grondslag voor verstrekking aan een derde. Die verstrekking moet afzonderlijk worden getoetst aan de AVG. In deze zaak was verstrekking slechts gedeeltelijk toegestaan, omdat alleen een deel van de persoonsgegevens noodzakelijk, proportioneel en subsidiair werd geacht.”
Financiële instellingen verzamelen in het kader van de Wet ter voorkoming van witwassen en financieren terrorisme (Wwft) omvangrijke persoonsgegevens van hun cliënten. Die gegevens zijn bedoeld voor het cliëntenonderzoek, waaronder de identificatie en verificatie van cliënten, vertegenwoordigers en uiteindelijk belanghebbenden (UBO’s). De vraag rijst regelmatig of deze gegevens later ook voor een ander doel mogen worden gebruikt, bijvoorbeeld wanneer een slachtoffer van fraude de identiteit van betrokken personen wil achterhalen om civiele maatregelen te kunnen nemen.
In een beschikking van 19 maart 2026 (ECLI:NL:RBAMS:2026:6624) behandelt de Rechtbank Amsterdam precies deze vraag. De uitspraak laat zien dat de Wwft niet verhindert dat persoonsgegevens uit een Wwft-dossier onder omstandigheden worden verstrekt, maar ook dat daarvoor steeds een zelfstandige grondslag onder de AVG nodig is. De beoordeling draait volledig om de verhouding tussen de Wwft, de AVG en het civiele informatieverzoek. De rechtbank beperkt de verstrekking uiteindelijk tot uitsluitend die persoonsgegevens die voor het beoogde doel daadwerkelijk noodzakelijk zijn.
Finom beschikte over de gevraagde persoonsgegevens omdat zij als betaaldienstverlener verplicht was cliëntenonderzoek uit te voeren op grond van de Wwft. Daarbij verzamelde zij identificatie- en verificatiegegevens van haar cliënt, gegevens van de vertegenwoordigers en informatie over de uiteindelijk belanghebbenden. Ook beschikte zij over documenten die tijdens het cliëntenonderzoek waren verkregen.
Deze gegevens waren dus niet verzameld ten behoeve van een civiele procedure van een derde, maar uitsluitend vanwege de wettelijke verplichtingen die de Wwft aan financiële instellingen oplegt. Dat uitgangspunt vormt het vertrekpunt van de beoordeling.
Het beroep op het doelbindingsregime van artikel 34a Wwft
Finom voerde aan dat de gevraagde persoonsgegevens uitsluitend waren verzameld vanwege haar verplichtingen uit de Wwft. Volgens haar geldt daarvoor een strikt doelbindingsregime, dat is geconcretiseerd in artikel 34a Wwft. Om die reden verzette zij zich tegen verstrekking van de gegevens aan Ginkgo.
De rechtbank volgt dat standpunt niet zonder meer. Zij erkent dat het gaat om persoonsgegevens die in het kader van de Wwft zijn verzameld, maar behandelt vervolgens de vraag of verstrekking aan een derde onder de AVG rechtmatig kan zijn. Daarmee maakt de rechtbank duidelijk dat het feit dat gegevens op grond van de Wwft zijn verzameld, niet automatisch betekent dat iedere verdere verwerking verboden is.
De rechtbank stelt voorop dat het verstrekken van de gevraagde persoonsgegevens aan Ginkgo een verwerking van persoonsgegevens vormt in de zin van artikel 4 AVG. Dat betekent dat de rechtmatigheid van die verstrekking niet uitsluitend kan worden beoordeeld aan de hand van de Wwft. Er moet ook worden vastgesteld of voor deze nieuwe verwerking een geldige grondslag uit de AVG bestaat. Pas wanneer aan die voorwaarden is voldaan, kan verstrekking plaatsvinden.
Het gerechtvaardigde belang van Ginkgo
De rechtbank toetst vervolgens of artikel 6 lid 1 onder f AVG een grondslag biedt voor de verstrekking. Ginkgo stelde dat zij de persoonsgegevens nodig had om de identiteit van de personen achter de betrokken vennootschap vast te stellen. Volgens haar waren de eerder ontvangen NAW-gegevens daarvoor onvoldoende. Zij wilde de gegevens gebruiken om eventuele vermogensbestanddelen op te sporen, beslag te kunnen leggen en civiele procedures tegen de betrokken natuurlijke personen aanhangig te maken.
De rechtbank acht dit belang voldoende onderbouwd. Daarmee is voldaan aan de eerste voorwaarde van artikel 6 lid 1 onder f AVG: sprake is van een gerechtvaardigd belang van een derde.
Noodzakelijkheid, proportionaliteit en subsidiariteit
Daarmee was de verstrekking nog niet automatisch toegestaan. De rechtbank onderzoekt vervolgens of de verwerking noodzakelijk is om dat gerechtvaardigde belang te kunnen verwezenlijken. Volgens de rechtbank moet worden beoordeeld of hetzelfde doel redelijkerwijs ook langs een minder ingrijpende weg kan worden bereikt. Daarbij spelen het subsidiariteits- en proportionaliteitsbeginsel een centrale rol.
Juist op dit punt maakt de rechtbank een duidelijk onderscheid tussen verschillende categorieën persoonsgegevens.
Vertegenwoordigers en UBO’s worden verschillend beoordeeld
Voor de gegevens van de vertegenwoordigers komt de rechtbank tot het oordeel dat Ginkgo voldoende heeft onderbouwd dat geen minder vergaande mogelijkheden beschikbaar waren om deze informatie te verkrijgen. Verstrekking van die persoonsgegevens werd daarom noodzakelijk geacht voor het achterhalen van de identiteit van de betrokken personen ten behoeve van eventuele beslaglegging en civiele procedures.
Anders ligt dat voor de gegevens van de uiteindelijk belanghebbenden (UBO’s). De rechtbank stelt vast dat deze gegevens ook via het Ierse UBO-register konden worden verkregen. Ginkgo erkende dat zij dit register nog niet had geraadpleegd.
Omdat voor deze informatie een minder ingrijpend alternatief beschikbaar was, ontbrak de noodzakelijkheid van verstrekking door Finom. Om die reden wees de rechtbank het verzoek voor de UBO-gegevens af.
Deze afweging laat zien dat de rechtbank niet beoordeelt of een gehele categorie Wwft-gegevens wel of niet mag worden verstrekt. Per soort persoonsgegevens wordt onderzocht of verstrekking daadwerkelijk noodzakelijk is.
Doelbinding onder de AVG
Finom voerde daarnaast aan dat verdere verwerking in strijd zou zijn met het beginsel van doelbinding uit artikel 5 lid 1 onder b AVG. Dat beginsel houdt in dat persoonsgegevens niet verder mogen worden verwerkt op een wijze die onverenigbaar is met het doel waarvoor zij oorspronkelijk zijn verzameld.
Volgens de rechtbank is sprake van een verdere verwerking waarvoor het beoordelingskader van artikel 6 lid 4 AVG geldt. Daarbij overweegt zij dat de verdere verwerking in dit geval is toegestaan omdat zij berust op een wettelijke regeling van een lidstaat die noodzakelijk en evenredig is ter bescherming van de rechten van anderen.
Daardoor komt de rechtbank niet toe aan de verenigbaarheidstoets van artikel 6 lid 4 AVG. Het beroep van Finom op het doelbindingsbeginsel slaagt daarom niet.
Artikel 194 Rv als wettelijke basis voor het informatieverzoek
In de beoordeling speelt artikel 194 Rv een belangrijke rol. Volgens de rechtbank vormt deze bepaling de wettelijke basis waarop de verdere verwerking van persoonsgegevens in dit geval kan rusten. Juist omdat de verstrekking plaatsvindt op grond van deze civielrechtelijke regeling, kan sprake zijn van een rechtmatige verwerking in de zin van artikel 6 lid 1 onder f AVG.
De rechtbank benadrukt daarmee impliciet dat de Wwft zelf niet de grondslag vormt voor de verstrekking aan Ginkgo. De Wwft verklaart uitsluitend waarom Finom de persoonsgegevens rechtmatig had verzameld. Voor de latere verstrekking aan een derde is een afzonderlijke juridische beoordeling onder de AVG noodzakelijk.
Begrenzing van de verstrekking
De rechtbank beperkt de omvang van de gegevensverstrekking zorgvuldig. Alleen persoonsgegevens van vertegenwoordigers mochten worden verstrekt. Daarnaast hoefden uit de overeenkomst en de beëindigingsdocumentatie uitsluitend de persoonsgegevens van aan de vennootschap verbonden personen te worden gedeeld. De overige onderdelen van deze documenten hoefden niet te worden verstrekt.
UBO-gegevens en andere informatie waarvoor een minder ingrijpend alternatief beschikbaar was, bleven buiten de verstrekking. De uitspraak laat daarmee zien dat ook wanneer een AVG-grondslag aanwezig is, uitsluitend die persoonsgegevens mogen worden verstrekt die voor het concrete doel noodzakelijk zijn.
Praktische betekenis
Deze beschikking verduidelijkt de verhouding tussen de Wwft en de AVG bij persoonsgegevens die tijdens een Wwft-cliëntenonderzoek zijn verzameld. De Wwft verklaart waarom een financiële instelling deze gegevens bezit. De wet bepaalt echter niet zelfstandig of zij aan een derde mogen worden verstrekt.
De rechtbank maakt duidelijk dat de AVG geen absoluut verbod kent op verstrekking van persoonsgegevens uit een Wwft-dossier. Voor iedere verdere verwerking is wel een afzonderlijke grondslag vereist. Daarnaast moet per geval worden beoordeeld of sprake is van een gerechtvaardigd belang. Ook moet de verstrekking noodzakelijk, proportioneel en subsidiair zijn. Daarbij kan van belang zijn of dezelfde gegevens ook op een minder ingrijpende manier beschikbaar zijn.
Voor financiële instellingen betekent deze uitspraak dat een verzoek om persoonsgegevens uit een Wwft-dossier niet uitsluitend aan de Wwft mag worden getoetst. De AVG speelt daarbij een zelfstandige rol. De beschikking laat ook zien dat alleen de persoonsgegevens mogen worden verstrekt die voor het concrete doel noodzakelijk zijn.
Wie zijn wij?
Financieel Recht Advocaten staat cliënten bij in bank- en financiële geschillen, waaronder cliëntenonderzoek, Wwft-kwesties, beëindiging van bankrelaties, EVR/IVR-registraties, hypotheek- en financieringskwesties en procedures tegen financiële dienstverleners. Bij geschillen over interne bankregistraties of persoonsgegevens na Wwft-onderzoek kan vrijblijvend contact worden opgenomen voor een eerste beoordeling van de juridische positie.
Praktische FAQ’s
Mogen Wwft-gegevens altijd aan een fraudeslachtoffer worden verstrekt?
Nee. De rechtbank oordeelt dat daarvoor steeds een afzonderlijke grondslag onder de AVG nodig is en dat de verstrekking moet voldoen aan de eisen van noodzakelijkheid, proportionaliteit en subsidiariteit.
Vormt de Wwft zelf de grondslag voor verstrekking van persoonsgegevens?
Nee. Volgens de uitspraak verklaart de Wwft waarom de financiële instelling de gegevens heeft verzameld. Voor verstrekking aan een derde is een afzonderlijke beoordeling onder de AVG vereist.
Waarom werden de gegevens van vertegenwoordigers wel verstrekt?
De rechtbank oordeelde dat Ginkgo voldoende had onderbouwd dat deze persoonsgegevens noodzakelijk waren voor identificatie, eventuele beslaglegging en civiele procedures en dat daarvoor geen minder ingrijpend alternatief beschikbaar was.
Waarom werden de UBO-gegevens niet verstrekt?
Omdat de rechtbank vaststelde dat deze gegevens ook via het Ierse UBO-register verkrijgbaar waren. Daardoor ontbrak de noodzakelijkheid van verstrekking door Finom.
Betekent deze uitspraak dat persoonsgegevens uit een Wwft-dossier nooit onder het doelbindingsbeginsel mogen worden hergebruikt?
Nee. De rechtbank oordeelt dat verdere verwerking onder omstandigheden mogelijk is, mits daarvoor een zelfstandige grondslag bestaat en aan de vereisten van de AVG is voldaan.
