Een klantenportaal dat contracten, identiteitsbewijzen of vermogensoverzichten opslaat zonder een passende beveiligingsarchitectuur stelt de dienstverlener bloot aan een dubbele sanctie: financieel (CNIL) en contractueel (nietigheid van het contract). Sinds een uitspraak van het hof van beroep in Douai in mei 2026 wordt de bescherming van gegevens beschouwd als een fundamentele verplichting van de dienstverlener, zodat een niet-conforme website met de AVG kan leiden tot de annulering van het contract met de klant.
Versleuteling van contractdocumenten in een beveiligd klantenportaal
Het opslaan van contracten in PDF-formaat in een directory die is beschermd met een eenvoudig wachtwoord is geen aanvaardbare beveiligingsmaatregel in de zin van de AVG. Wij raden een AES-256 versleuteling in rust en TLS 1.3 in transit aan, toegepast op elk document afzonderlijk en niet alleen op de opslagcapaciteit.
Het verschil is technisch maar heeft grote gevolgen. Volumeversleuteling beschermt tegen fysieke diefstal van de server. Bestandsversleuteling beschermt ook tegen applicatiecompromittering: zelfs als een aanvaller toegang krijgt tot de database, blijft elk contract onleesbaar zonder de specifieke sleutel van de klant.
Voor klantenportalen die elektronische handtekeningen integreren, moet het onderaannemingscontract met de handtekeningdienstverlener expliciet de versleutelings- en bewaringseisen vermelden. Het ontbreken van dit contract valt onder de tekortkomingen die de CNIL kan sanctioneren via haar vereenvoudigde procedure, met boetes die kunnen oplopen tot 20.000 euro.
Het is mogelijk om toegang te krijgen tot het klantenportaal Merci Victor om te zien hoe deze keten van versleuteling en contractualisering in de praktijk wordt gebracht aan de hand van een concreet geval.
Sterke authenticatie en beheer van toegang tot persoonlijke gegevens
Multifactorauthenticatie (MFA) is geen optie meer voor een klantenportaal dat gevoelige gegevens verwerkt. Een combinatie van gebruikersnaam/wachtwoord, hoe robuust ook, weerstaat geen aanval via credential stuffing als de inloggegevens op een andere dienst zijn gelekt.
Wij zien dat veel vermogensklantenportalen zich tevredenstellen met een SMS als tweede factor. SMS blijft kwetsbaar voor SIM-swapping. Een TOTP-factor (app zoals Google Authenticator of equivalent) of een FIDO2-sleutel biedt een aanzienlijk betere weerstand.
Segmentatie van toegangsrechten
Een vermogensadviseur, een administratief assistent en de klant zelf mogen niet dezelfde documenten zien. De granulariteit van de machtigingen moet op dossierniveau dalen, niet op het globale accountniveau. Een correct geïmplementeerd RBAC-model (Role-Based Access Control) vermindert de blootstellingsoppervlakte in geval van compromittering van een intern account.
- De klant heeft toegang tot zijn contracten, overzichten en identiteitsbewijzen, met volledige traceerbaarheid van elke raadpleging
- De adviseur heeft toegang tot de documenten die nodig zijn voor het beheer van de opdracht, zonder de identiteitsbewijzen te zien, tenzij er een geval van tijdelijke noodzaak is goedgekeurd
- De technische administrator beheert de accounts en machtigingen, zonder toegang te hebben tot de versleutelde inhoud van de documenten
Deze scheiding is geen luxe organisatie. Het is een directe vereiste van artikel 25 van de AVG (gegevensbescherming vanaf het ontwerp).
AVG-naleving en contractuele geldigheid: wat de rechtspraak van 2026 verandert
De eerder genoemde uitspraak van het hof van beroep in Douai markeert een keerpunt voor alle dienstverleners die een digitaal klantenportaal aanbieden. Tot nu toe stelde een gebrek aan AVG-naleving bloot aan een administratieve sanctie. Voortaan kan niet-naleving dienen als basis voor de annulering van het contract tussen de dienstverlener en zijn klant, op grond dat de bescherming van gegevens een fundamentele contractuele verplichting vormt.
Voor een vermogensbeheerder betekent dit dat de klant de nietigheid van zijn opdracht kan verzoeken als het klantenportaal niet voldoet aan de beveiligingseisen van de AVG. Het risico is niet langer alleen een boete: het is het verlies van het contract zelf.
Register van verwerkingen en onderaannemingscontracten
De vereenvoudigde sanctieprocedure van de CNIL richt zich in de eerste plaats op drie veelvoorkomende tekortkomingen bij kleine structuren:
- Het ontbreken van een register van verwerkingen dat precies documenteert welke gegevens worden verzameld, opgeslagen en geraadpleegd in het klantenportaal
- Het ontbreken van een onderaannemingscontract dat voldoet aan artikel 28 van de AVG met elke technische dienstverlener (host, handtekeningstool, e-mailverzenddienst)
- Een onvoldoende beveiliging van de toegang, met name het ontbreken van multifactorauthenticatie op ruimtes die financiële of identiteitsgegevens bevatten
De bedragen kunnen oplopen tot 300.000 euro in geval van slecht beheerde datalekken. Voor een bescheiden structuur kan dit niveau van sanctie de levensvatbaarheid van de activiteit in gevaar brengen.
Integratie van AI in het klantenportaal: versterkte documentatieverplichtingen
Klantenportalen die functies voor kunstmatige intelligentie (ondersteunende chatbot, investeringsprofiel scoring, personalisatie van aanbevelingen) integreren, krijgen bijzondere aandacht van de CNIL in haar controleprogramma 2026. Elke geautomatiseerde verwerking moet worden gedocumenteerd met de impact op de persoonlijke gegevens.
De veelvoorkomende valkuil is het implementeren van een chatbot die wordt aangedreven door een taalmodel zonder een impactanalyse (AIPD) uit te voeren. Zodra de chatbot toegang heeft tot de contractuele of vermogensgegevens van de klant om zijn antwoorden te personaliseren, wordt de AIPD verplicht. Zonder deze is de verwerking onwettig.
Algorithmische transparantie
De klant moet kunnen weten wanneer hij interactie heeft met een geautomatiseerd systeem en welke gegevens de antwoorden voeden die hij ontvangt. Deze transparantieverplichting komt bovenop de klassieke informatievermeldingen van de AVG. Een klantenportaal dat AI gebruikt zonder de gebruiker daar duidelijk over te informeren, begaat twee overtredingen: gebrek aan transparantie over de verwerking en gebrek aan informatie over de algoritmische logica.
De naleving van een beveiligd klantenportaal berust op drie technische pijlers die elkaar versterken: granulaire versleuteling van documenten, sterke authenticatie met segmentatie van toegang, en rigoureuze documentatie van elke verwerking. Sinds 2026 leidt het negeren van een van deze pijlers niet alleen tot een administratieve boete, maar ook tot de geldigheid van de contracten die het portaal zou moeten beschermen.