De huidige Wwft wordt vervangen door een nieuw Europees anti-witwasraamwerk (AMLR, AMLD6 en AMLAR), dat vanaf 10 juli 2027 volledig van kracht wordt. In aanloop hiernaar publiceerde de Europese Bankenautoriteit (EBA) eind oktober 2025 een Final Response met technisch advies over het delen van AML-gegevens tussen entiteiten binnen een groep, zoals internationaal bankenconcerns. Hoewel dit advies geen bindende Regulatory Technical Standards (RTS) bevat, geeft het wel richting aan de toekomstige regels die door AMLA worden uitgewerkt en later door de Europese Commissie worden vastgesteld.
Het doel van het advies is helder: informatie-uitwisseling binnen groepen mogelijk maken zodat witwasrisico’s effectiever kunnen worden aangepakt. De intentie is daarbij om dit op een manier te doen die duidelijk, werkbaar en volgens gezamenlijke regels is. Tegelijk blijven er belangrijke vragen open. In dit artikel bespreken we deze punten, zodat instellingen zich tijdig kunnen voorbereiden.
Het delen van AML-gegevens binnen een groep is essentieel om een volledig klantbeeld te creëren en risico’s effectief te beheren. Zonder deze uitwisseling blijven signalen versnipperd, waardoor risicobeoordeling en transactiemonitoring tekortschieten. Door informatie te consolideren worden patronen zichtbaar die anders onopgemerkt blijven, en kan beleid consistenter worden toegepast. Bovendien stelt gegevensdeling groepen in staat sneller en vollediger te reageren op verzoeken van toezichthouders en FIU’s.
We previously covered the opportunities data sharing brings in this article:
In haar advies stelt de EBA dat toekomstige EU-normen moeten vastleggen welke informatie binnen een groep (en partnerschappen) mag worden gedeeld, wat aanvaardbaar gebruik daarvan is, en op welke manier deze informatie-uitwisseling moet plaatsvinden.
Toegang tot groepsinformatie mag niet leiden tot ongerechtvaardigde de-risking, waarbij klanten automatisch worden geweigerd op basis van risicoclassificaties van andere entiteiten.
Hoewel het EBA-advies pleit voor brede informatie-uitwisseling binnen groepen, gelden er juridische beperkingen. Zo bepaalt artikel 75 AMLR dat informatie die via een partnerschap wordt verkregen, zoals klantgegevens, transacties en risicofactoren, in principe niet verder mag worden gedeeld buiten dat partnerschap. De EBA ziet wel ruimte om dergelijke gegevens binnen een groep te delen, maar dat is nog niet expliciet toegestaan en vraagt om nadere analyse.
Het EBA-advies laat open of een entiteit die deelneemt aan een partnerschap informatie uit dat partnerschap mag delen met andere entiteiten binnen de groep. Omgekeerd is ook onduidelijk of het moederbedrijf informatie vanuit de groep mag delen met partners. Enerzijds benadrukt de EBA het belang van volledige gegevensdeling om een compleet risicobeeld te krijgen; anderzijds is niet helder hoe dit zich verhoudt tot de beperkingen rond partnerschappen. Deze onzekerheid heeft directe impact op de praktische inrichting van beleid.
Binnen een groep mogen meldingsplichtige entiteiten informatie ruim delen, omdat zij onder hetzelfde AML/CTF-beleid vallen. Artikel 28 gaat zelfs verder en stelt dat groepsentiteiten alle informatie moeten kunnen uitwisselen die nodig is voor cliëntenonderzoek, zoals identiteit, uiteindelijk begunstigden en zakelijke relaties. De toekomstige RTS moet bepalen of deze brede definitie wordt toegepast, of dat de reikwijdte wordt beperkt tot wat artikel 75 nu toestaat. Die keuze bepaalt uiteindelijk hoe effectief risicobeheer op groepsniveau kan zijn.
Artikel 16 lid 3 AMLR bepaalt dat groepsprocedures geen belemmering vormen voor niet-meldingsplichtige entiteiten om informatie te verstrekken aan meldingsplichtige entiteiten binnen dezelfde groep, wanneer dat nodig is voor AML-compliance. Onzeker is echter of het omgekeerde ook mag: mogen meldingsplichtige entiteiten informatie terug delen met niet-meldingsplichtige entiteiten?
What is clear, however, is that a parent company automatically becomes an obliged entity itself once it has at least one obliged subsidiary. As a result, the parent company is, in any case, brought within the scope of the AMLR obligations. The impact of this can be significant, as described earlier (at present only available in Dutch):
Artikel 16 AMLR verplicht dat één entiteit binnen de groep verantwoordelijk wordt voor naleving op groepsniveau. AMLA moet via RTS vastleggen hoe deze moederonderneming wordt geïdentificeerd. Deze partij wordt verantwoordelijk voor het doorvoeren van beleid, controles en procedures bij alle groepsonderdelen, ook buiten de EU. Zonder deze duidelijkheid is het lastig om te bepalen wie eindverantwoordelijk is voor het delen van informatie en het naleven van regels. Dit artikel zorgt ervoor dat er één centrale partij is die toezicht houdt op de hele groep. (AMLA) krijgt de opdracht om regels (RTS) op te stellen die bepalen hoe je de moederonderneming binnen een groep identificeert.
Krijgt artikel 16(4) dezelfde strikte beperkingen als artikel 75, dan wordt gegevensdeling binnen groepen aanzienlijk beperkter. Dit lijkt vanuit een privacy oogpunt begrijpelijk, maar beperkt de mogelijkheid om een volledig klantbeeld op te bouwen – met alle risico’s van dien. Daardoor mis je belangrijke signalen van witwassen of terrorismefinanciering, vooral als een klant verschillende risiconiveaus heeft bij verschillende onderdelen van de groep.
Wanneer een groep zijn hoofdkantoor buiten de EU heeft maar wel minstens twee meldingsplichtige dochterondernemingen in de EU, moet één EU-entiteit worden aangewezen als moederonderneming (artikel 2 lid 1 punt 42 b AMLR). Deze entiteit moet:
In de praktijk kan dit lastig zijn. Hoe kan een EU-entiteit effectief toezicht houden op activiteiten buiten de EU, waar lokale wetgeving en privacyregels verschillen? Soms heeft de aangewezen entiteit juridisch wel verantwoordelijkheid, maar weinig invloed op de wereldwijde structuur.
Bij grensoverschrijdende gegevensuitwisseling (buiten de EER) moet de moederonderneming voldoen aan de bepalingen in de AVG. RTS kunnen bepalen dat de doorgifte van persoonsgegevens aan derde landen plaatsvindt op basis van een adequaatheidsbesluit of onderworpen is aan passende waarborgen. Als alternatief is dat de doorgifte van persoonsgegevens aan derde landen of internationale organisaties kan plaatsvinden op basis van toegestane afwijkingen uiteengezet in de AVG.
Op dit moment zijn er nog onzekerheden, zoals de vraag of informatie uit partnerschappen verder mag worden gedeeld en hoe ver de definitie van “aanvaardbaar gebruik” reikt. Daarnaast moeten privacyvereisten nu al worden meegenomen bij grensoverschrijdende gegevensuitwisseling.
Instellingen kunnen zich echter alvast voorbereiden met de volgende stappen:
Zowel de Anti-Money Laundering Regulation (AMLR) als de zesde anti-witwasrichtlijn (AMLD6) worden grotendeels van toepassing vanaf 1 juli 2027. In tegenstelling tot de AMLR, die een rechtstreekse werking heeft, moet AMLD6 nog worden omgezet in nationale wetgeving. De nieuwe Europese toezichthouder AMLA is op 1 juli 2025 gestart met haar werkzaamheden.
Naar aanleiding van de adviezen van de EBA zal AMLA een RTS opstellen. Deze zullen door de Europese Commissie worden bekrachtigd. De verwachting is dat dit gebeurt vóór 10 juli 2027, zodat de RTS tijdig van kracht zijn bij de inwerkingtreding van de AMLR.
Wij volgen de ontwikkelingen nauwlettend en houden je op de hoogte via onze website en maandelijkse nieuwsbrief. Je kunt je hier aanmelden voor onze nieuwsbrief:
Heb je vragen of wil je weten hoe wij je kunnen helpen met de voorbereidingen? Neem gerust contact met ons op.
