Original text (Finnish)
Ilmoitusvelvollisen on pidettävä kaikki asiakkaan tuntemista ja liiketoimia koskevat asiakirjat ja tiedot ajantasaisina ja olennaisina. Tiedot on säilytettävä luotettavalla tavalla viiden vuoden ajan vakituisen asiakassuhteen päättymisestä. Jos kysymyksessä on 2 §:n 1 momentin 1 tai 2 kohdassa taikka mainitun pykälän 2 momentissa tarkoitettu satunnainen liiketoimi, asiakkaan tuntemista koskevat tiedot on säilytettävä viiden vuoden ajan liiketoimen suorittamisesta. (1.6.2018/406) Asiakkaan tuntemista koskevista tiedoista on säilytettävä:1)nimi, syntymäaika, henkilötunnus ja osoite;2)edustajan nimi, syntymäaika ja henkilötunnus; yleisen edunvalvojan osalta säilytetään kuitenkin edunvalvojan nimen, syntymäajan ja henkilötunnuksen sijasta palveluntuottajan yksilöintitiedot, edunvalvojan nimike sekä, jos palveluntuottajalla on useampi kuin yksi yleinen edunvalvoja, edunvalvojan järjestysnumero; (23.3.2023/444)3)oikeushenkilön täydellinen nimi, rekisterinumero, rekisteröimispäivä, rekisteriviranomainen, kotipaikan osoite ja pääasiallisen liiketoimintapaikan osoite, jos se eroaa kotipaikan osoitteesta sekä tarvittaessa yhtiöjärjestys tai yhteisösäännöt; (7.5.2021/376)4)oikeushenkilön hallituksen tai vastaavan päättävän elimen jäsenten täydelliset nimet, syntymäajat ja kansalaisuudet;5)oikeushenkilön toimiala;6)tosiasiallisten edunsaajien nimi, syntymäaika ja suomalainen henkilötunnus ja sen puuttuessa kansalaisuus sekä tarvittaessa tarkempi kuvaus omistus- ja määräysvaltarakenteesta tai jos tosiasiallista edunsaajaa ei ole pystytty tunnistamaan, edellä tarkoitetut tiedot 1 luvun 5 §:n 4 momentissa tarkoitetusta henkilöstä;7)henkilöllisyyden todentamisessa käytetyn asiakirjan nimi, asiakirjan numero tai muu tunnistetieto ja myöntäjä taikka kopio asiakirjasta tai jos asiakas on etätunnistettu, tiedot todentamisessa käytetystä menettelystä tai lähteistä;8)tiedot asiakkaan toiminnasta, liiketoiminnan laadusta ja laajuudesta, taloudellisesta asemasta, perusteet liiketoimen tai palvelun käytölle ja tiedot varojen alkuperästä sekä muut 4 §:n 1 momentissa tarkoitetut asiakkaan tuntemiseksi hankitut tarpeelliset tiedot;9)4 §:n 3 momentissa säädetyn selonottovelvollisuuden ja 13 §:ssä säädetyn poliittisesti vaikutusvaltaiseen henkilöön liittyvän tehostetun tuntemisvelvollisuuden täyttämiseksi hankitut välttämättömät tiedot;10)pankki- tai maksutilin numero, tilin omistajan tai käyttöoikeuden haltijan nimi ja tilin avaamis- ja sulkemispäivä sekä muut tiliin liittyvät tunnistetiedot siltä osin kuin ne eivät sisälly 1–9 kohtaan ja tietojen säilyttäminen on tarkoituksenmukaista ilmoitusvelvollisen liiketoiminnan luonne huomioon ottaen eikä niiden saamiselle ole muusta lainsäädännöstä johtuvaa estettä;11)tallelokeron vuokraajan nimi ja muut tallelokeron vuokraan liittyvät tunnistetiedot siltä osin kuin ne eivät sisälly 1–9 kohtaan sekä vuokra-ajan pituus ja tietojen säilyttäminen on tarkoituksenmukaista ilmoitusvelvollisen liiketoiminnan luonne huomioon ottaen eikä niiden saamiselle ole muusta lainsäädännöstä johtuvaa estettä;12)sähköisestä tunnistamisesta ja sähköisiin transaktioihin liittyvistä luottamuspalveluista sisämarkkinoilla ja direktiivin 1999/93/EY kumoamisesta annetussa Euroopan parlamentin ja neuvoston asetuksessa (EU) N:o 910/2014 säädettyjen sähköisen tunnistamisen menetelmien ja niihin liittyvien luottamuspalvelujen tai asiaankuuluvien kansallisten viranomaisten sääntelemien, tunnustamien tai hyväksymien muiden suojattujen etäältä tai sähköisesti toteutettavien tunnistusprosessien avulla saadut tiedot. (26.4.2019/573) Jos asiakas on ulkomaalainen, jolla ei ole suomalaista henkilötunnusta, on 2 momentissa tarkoitettujen tietojen lisäksi säilytettävä tieto asiakkaan kansalaisuudesta ja matkustusasiakirjan tiedot. Ilmoitusvelvollisen on ilmoitettava asiakkailleen, että asiakkaan tuntemistietoja ja muita henkilötietoja voidaan käyttää rahanpesun ja terrorismin rahoittamisen estämiseen, paljastamiseen ja selvittämiseen sekä rahanpesun ja terrorismin rahoittamisen ja sen rikoksen, jolla rahanpesun tai terrorismin rahoittamisen kohteena oleva omaisuus tai rikoshyöty on saatu, tutkintaan saattamista varten. Asiakkaan tuntemistietoja tai muita henkilötietoja, jotka on hankittu ainoastaan rahanpesun ja terrorismin rahoittamisen estämiseksi ja paljastamiseksi, ei saa käsitellä tarkoituksessa, joka on yhteen sopimaton näiden tarkoitusten kanssa. (23.3.2023/444) Jos 6 luvun 1 §:ssä tarkoitettuun rekisteriin on rekisteröity vain osa oikeushenkilön hallituksen tai vastaavan päättävän elimen jäsenistä oikeushenkilöä koskevan muun lainsäädännön mukaisesti, asiakkaan tuntemistiedoista voidaan säilyttää 2 momentin 4 kohdan nojalla näitä henkilöitä koskevat tiedot, jos se on perusteltua ilmoitusvelvollisen riskiarvion perusteella. (26.4.2019/573)
Translation (Machine translation, unofficial)
An obliged entity must keep all documents and data concerning customer due diligence and transactions up to date and relevant. The data must be retained reliably for five years from the end of the permanent customer relationship. Where the case concerns an occasional transaction referred to in section 2(1)(1) or (2) or section 2(2), the customer due diligence data must be retained for five years from the completion of the transaction. The following customer due diligence data must be retained: (1) name, date of birth, personal identity code and address; (2) the representative's name, date of birth and personal identity code; however, for a public guardian, instead of the guardian's name, date of birth and personal identity code, the service provider's identifying details, the guardian's title, and, if the service provider has more than one public guardian, the guardian's serial number are retained; (3) the legal person's full name, registration number, registration date, registering authority, registered-office address and principal place-of-business address if different from the registered-office address, and, where necessary, its articles of association or equivalent rules; (4) the full names, dates of birth and nationalities of the members of the legal person's board or equivalent decision-making body; (5) the legal person's line of business; (6) the name, date of birth and Finnish personal identity code of beneficial owners, or, failing that, their nationality, and, where necessary, a more detailed description of the ownership and control structure, or, where the beneficial owner could not be identified, the data referred to above concerning the person referred to in chapter 1, section 5(4); (7) the name, document number or other identifying data and issuer of the document used to verify identity, or a copy of the document, or, where the customer was identified remotely, data on the procedure or sources used for verification; (8) data on the customer's activity, the nature and scale of the business, financial position, the grounds for use of the transaction or service, and data on the origin of funds, and other necessary data obtained for customer due diligence referred to in section 4(1); (9) data necessary to fulfil the duty of enquiry laid down in section 4(3) and the enhanced due-diligence duty relating to a politically exposed person laid down in section 13; (10) the bank or payment account number, the name of the account holder or holder of a right of use, and the account's opening and closing dates, and other identifying data relating to the account, to the extent not covered by points (1)-(9) and to the extent that retaining the data is appropriate given the nature of the obliged entity's business and there is no obstacle under other legislation to obtaining it; (11) the name of the lessee of a safe-deposit box and other identifying data relating to the lease, to the extent not covered by points (1)-(9), and the length of the lease period, where retaining the data is appropriate given the nature of the obliged entity's business and there is no obstacle under other legislation to obtaining it; (12) data obtained through electronic identification methods and related trust services referred to in Regulation (EU) No 910/2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC, or through other secure remote or electronic identification processes regulated, recognised or approved by the relevant national authorities. Where the customer is a foreign national without a Finnish personal identity code, data on the customer's nationality and travel-document data must also be retained, in addition to the data referred to in subsection 2. The obliged entity must inform its customers that customer due diligence data and other personal data may be used to prevent, detect and investigate money laundering and terrorist financing, and for the investigation of money laundering, terrorist financing, and the offence by which the property or criminal proceeds that are the object of money laundering or terrorist financing were obtained. Customer due diligence data or other personal data that has been obtained solely to prevent and detect money laundering and terrorist financing must not be processed for a purpose incompatible with those purposes. Where only some of the members of a legal person's board or equivalent decision-making body have been registered in the register referred to in chapter 6, section 1 under other legislation applicable to the legal person, data on those persons may be retained under subsection 2(4) of this section among the customer due diligence data, if justified on the basis of the obliged entity's risk assessment.
Plain English
An obliged entity must keep all documents and data on customer due diligence and transactions up to date and relevant, retaining them reliably for five years from the end of a permanent relationship (or, for an occasional transaction, five years from its completion). The section lists 12 categories of data that must be retained (identity, representative, legal-entity registration data, board members, line of business, beneficial-owner data, identity-verification evidence, activity/financial-position/fund-origin data, enhanced-PEP-due-diligence data, bank/payment account data where relevant, safe-deposit box data, and e-identification data), requires extra nationality/travel-document data for foreigners without a Finnish personal ID, requires informing customers of the permitted uses of their data, and restricts further use of data gathered solely for AML purposes.
Obligation
Retain specified categories of customer due diligence data and documents for five years, keep them up to date, and inform customers of the permitted uses of their data.
Retain records
Data items: name, date of birth, personal ID, address, identity verification evidence, beneficial owner data, source of funds, PEP due diligence data, account data
Ilmoitusvelvollisen on pidettävä kaikki asiakkaan tuntemista ja liiketoimia koskevat asiakirjat ja tiedot ajantasaisina ja olennaisina. Tiedot on säilytettävä luotettavalla tavalla viiden vuoden ajan vakituisen asiakassuhteen päättymisestä
Translation: An obliged entity must keep all documents and data concerning customer due diligence and transactions up to date and relevant. The data must be retained reliably for five years from the end of the permanent customer relationship
Applies to
- Firm types
- Credit institution, Financial institution, Payment institution, E-money institution, Cryptoasset business, Investment firm, All relevant persons
- Business lines
- All business lines
- Customer types
- All customer types
- Stages
- Ongoing review, Offboarding
- Conditions
- Five years from end of relationship (or from completion of an occasional transaction).
- Exceptions
- Not recorded
