De in de Wwft genoemde instellingen zijn (en blijven) verplicht om cliëntenonderzoek te doen en gehouden cliëntgegevens vast te leggen. Dit kan bijvoorbeeld middels het maken van een kopie van een identiteitsbewijs, maar kan ook op andere wijze. Omdat sprake is van een wettelijke verplichting voor de instelling is geen sprake van strijd met de AVG.
Op grond van de Wwft dienen deze gegevens vijf jaar na het beëindigen van de zakelijke relatie te worden bewaard of gedurende vijf jaar na het uitvoeren van de desbetreffende transactie. Gegevens met betrekking tot (het melden van) ongebruikelijke transacties dienen gedurende vijf jaar na het doen van de melding te worden bewaard. In artikel 34a Wwft zijn nadere bepalingen opgenomen over gegevensbescherming.