Opbevaring af KYC-oplysninger i 5 år

Kort fortalt

Oplysninger fra kundekendskabet, dokumentation for transaktioner og resultater af undersøgelser skal opbevares (§ 30, stk. 1).
Fristen er mindst 5 år efter forretningsforbindelsens ophør eller den enkeltstående transaktions gennemførelse (§ 30, stk. 2).
Personoplysninger skal slettes 5 år efter ophøret, medmindre andet følger af anden lovgivning.
Oplysningerne må kun bruges til at forebygge hvidvask og terrorfinansiering (§ 16, stk. 2).

Hvad skal opbevares?

Efter § 30, stk. 1, skal I opbevare:

Oplysninger indhentet ved kundekendskabet, herunder identitets- og kontroloplysninger og kopi af foreviste legitimationsdokumenter.
Dokumentation for og registreringer af transaktioner i forretningsforbindelsen eller den enkeltstående transaktion samt kontooversigt og forretningskorrespondance.
Dokumenter og registreringer om de undersøgelser, I har foretaget af usædvanlige transaktioner og aktiviteter (§ 25).

I praksis betyder det hele kundesagen: oplysninger om kunden, direktører og reelle ejere, legitimation, screeninger og afklaringer, risikovurderingen med begrundelse og eventuelle undersøgelser.

Hvor længe?

Mindst 5 år efter forretningsforbindelsens ophør eller efter gennemførelsen af den enkeltstående transaktion (§ 30, stk. 2). Fristen løber altså ikke fra det tidspunkt, hvor I indhentede oplysningerne, men fra kundeforholdets afslutning. En kunde, I har haft i 12 år, skal derfor have sin dokumentation gemt i hele perioden og 5 år derefter.

Det kræver, at I ved, hvornår et kundeforhold er ophørt. Notér en ophørsdato, når I stopper samarbejdet – ellers kan fristen ikke beregnes.

Hvornår skal oplysningerne slettes?

Samme bestemmelse siger, at personoplysninger skal slettes 5 år efter forretningsforbindelsens ophør eller den enkeltstående transaktions gennemførelse, medmindre andet er fastsat i anden lovgivning (§ 30, stk. 2). Hvidvaskloven er altså ikke kun et krav om at gemme, men også om at slette.

Gælder der en længere frist efter anden lovgivning for nogle af dokumenterne, skal det fremgå af jeres forretningsgange, hvilken regel I følger og hvorfor.

Hvad må oplysningerne bruges til?

Personoplysninger indhentet efter hvidvaskloven må kun behandles for at forebygge hvidvask og terrorfinansiering – ikke til fx markedsføring (§ 16, stk. 2). Kunden skal informeres om behandlingen, før kundeforholdet etableres (§ 16, stk. 1). Oplysningerne skal kunne udleveres, når Hvidvasksekretariatet eller andre kompetente myndigheder spørger (§ 30, stk. 3).

God praksis

Gem dokumentationen ét sted pr. kunde, så I kan finde den til tilsyn.
Begræns adgangen til CPR-numre og legitimation, og vis CPR maskeret, hvor det er muligt.
Log, hvem der har set og ændret oplysningerne.
Hav en fast procedure for sletning – og test, at den virker.
Beskriv det hele i jeres skriftlige forretningsgange (§ 8).

Eksempel (fiktivt)

Bogholderfirmaet Fiktiv Bogføring ApS stopper samarbejdet med Fiktiv Café ApS den 31. marts 2027. Ophørsdatoen noteres på sagen. Dokumentationen gemmes til og med marts 2032, hvorefter personoplysningerne slettes, medmindre anden lovgivning kræver noget andet.

Sådan kan Klarkunde hjælpe

I Klarkunde arkiveres sagen, når kundeforholdet afsluttes, og 5-årsfristen begynder. Når fristen er udløbet, slettes sagen og filerne automatisk. CPR vises maskeret og kun for brugere med ret til det, hver visning logges, og revisionsloggen kan ikke ændres. Data opbevares i EU. Se priser.

Kilder

Opdateret 17.10.2026. Artiklen er generel information og ikke juridisk rådgivning. Paragrafhenvisningerne er kontrolleret mod hvidvaskloven (LBK nr. 433 af 17.04.2026) og ændringsloven (lov nr. 764 af 08.09.2026), som ikke ændrer numrene på de paragraffer, artiklen henviser til. Læs altid den gældende tekst på Retsinformation og vejledningen fra jeres tilsynsmyndighed.