De in de Wwft genoemde instellingen zijn (en blijven) verplicht om cliëntenonderzoek te doen en gehouden cliëntgegevens vast te leggen. Dit kan bijvoorbeeld middels het maken van een kopie van een identiteitsbewijs maar kan ook op andere wijze . Omdat sprake is van een wettelijke verplichting voor de instelling is geen sprake van strijd met de AVG.

Op grond van de Wwft dienen deze gegevens 5 jaar te worden bewaard. Hetzelfde geldt voor gegevens met betrekking tot ongebruikelijke transacties. In artikel 34a Wwft zijn nadere bepalingen opgenomen over gegevensbescherming.