Software of een klantportaal laten maken: wat vraagt de AVG?

Wie is verantwoordelijk: jij of je bouwer?

De AVG maakt onderscheid tussen de verwerkingsverantwoordelijke en de verwerker. Jij bepaalt waarom en hoe klantgegevens worden gebruikt, dus jij bent verantwoordelijk. Dat blijft zo, ook als een ander de software bouwt of host.

Je bouwer is verwerker zodra hij persoonsgegevens voor je verwerkt: bij hosting, bij beheer en support, of als hij tijdens de bouw met echte klantdata werkt. Voor die situatie schrijft artikel 28 van de AVG een verwerkersovereenkomst voor.

Bouwt een partij alleen de software en komt hij nooit bij echte gegevens, dan is hij geen verwerker. In de praktijk is dat zelden zo: wie host, onderhoudt of helpt bij een storing, ziet vroeg of laat data.

Wat hoort er in de verwerkersovereenkomst?

Artikel 28 noemt een minimum. Controleer of dit erin staat:

• Welke gegevens, van wie, met welk doel en hoe lang.
• Dat de verwerker alleen werkt op jouw schriftelijke instructies.
• Dat medewerkers van de verwerker geheimhouding hebben.
• Welke beveiligingsmaatregelen de verwerker neemt.
• Welke subverwerkers er zijn, zoals hosting, mail of opslag, en dat jij toestemming geeft voor nieuwe.
• Dat de verwerker helpt bij verzoeken van betrokkenen en bij datalekken.
• Wat er met de gegevens gebeurt als de samenwerking stopt: teruggeven of verwijderen.
• Dat je mag controleren of de afspraken worden nagekomen.

Vraag ook waar de gegevens staan. Staan ze buiten de EU, of zit er een Amerikaanse dienst tussen, dan moet die doorgifte apart geregeld zijn. Het EU-US Data Privacy Framework bleef in september 2025 overeind bij het Gerecht van de EU, maar er loopt een hoger beroep. Hosting binnen de EU haalt dat risico weg.

Privacy by design: eisen die je in de offerte zet

Artikel 25 vraagt om gegevensbescherming door ontwerp en door standaardinstellingen. Dat klinkt abstract, maar het vertaalt zich in concrete functies. Zet deze in je eisen, dan kun je offertes ook eerlijk vergelijken:

Op een verzoek om inzage of verwijdering moet je binnen een maand reageren. Moet je dan handmatig door tabellen zoeken, dan is dat bij elk verzoek weer werk. Een knop in de beheeromgeving scheelt dat.

Test- en ontwikkeldata

Een vaak vergeten punt: waar test je bouwer mee? Een kopie van je echte klantenbestand in een testomgeving is ook een verwerking, vaak met minder beveiliging dan productie.

Spreek af dat er met verzonnen of geanonimiseerde testdata wordt gewerkt. Moet er toch met echte data worden gekeken, bijvoorbeeld bij een storing, leg dan vast wie dat mag en dat het gelogd wordt.

Heb je een DPIA nodig?

Een DPIA is een risicoanalyse vooraf. Artikel 35 maakt die verplicht als een verwerking waarschijnlijk een hoog risico oplevert. De Autoriteit Persoonsgegevens heeft een lijst van 17 soorten verwerkingen waarvoor een DPIA altijd nodig is, zoals grootschalig profileren, cameratoezicht en het verwerken van gezondheidsgegevens op grote schaal.

Een gewoon klantportaal voor offertes, afspraken en facturen staat meestal niet op die lijst. Verwerk je gezondheidsgegevens, volg je gedrag van mensen, of combineer je grote hoeveelheden gegevens, dan kan het wel nodig zijn. Twijfel je, doe dan een korte DPIA. Die dwingt je de risico's op papier te zetten, en daar wordt de software ook beter van.

Het register van verwerkingen

Artikel 30 verplicht een register van verwerkingsactiviteiten. Organisaties met minder dan 250 medewerkers zijn vrijgesteld, maar niet als de verwerking structureel is. Een klantportaal of CRM gebruik je elke dag, dus in de praktijk heb je dat register gewoon nodig. Zet de nieuwe software erin zodra hij live gaat.

Als het misgaat: datalekken

In 2025 kreeg de Autoriteit Persoonsgegevens 39.407 meldingen van datalekken, meer dan een jaar eerder. Een datalek moet je zonder onnodige vertraging melden, en waar mogelijk binnen 72 uur. Bij een hoog risico informeer je ook de mensen om wie het gaat. Elk lek, ook een dat je niet meldt, leg je intern vast.

72 uur is kort. Spreek dus vooraf met je bouwer af wie een lek opmerkt, wie jou belt, en welke informatie je dan krijgt: welke gegevens, van hoeveel mensen, en sinds wanneer. Goede logging maakt het verschil tussen 'we weten het niet' en een precieze melding.

Dat toegangsbeheer geen formaliteit is, blijkt uit boetes. Het HagaZiekenhuis kreeg in 2019 €460.000 boete omdat medewerkers te makkelijk in patiëntdossiers konden kijken en dat onvoldoende werd gecontroleerd. Het ministerie van Buitenlandse Zaken kreeg in 2022 €565.000 boete voor een slecht beveiligd visumsysteem.

Grotere organisaties: NIS2 en de Cyberbeveiligingswet

Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Organisaties in 18 sectoren moeten zelf nagaan of ze eronder vallen. Wie eronder valt, moet ook letten op de beveiliging in de keten, dus ook bij leveranciers van software.

Een softwarebouwer valt meestal niet zelf onder de wet, maar krijgt de eisen via het contract met zijn klant. Werk je voor of bij zo'n organisatie, vraag dan vooraf welke eisen er gelden voor veilige ontwikkeling, toegang, logging en het melden van incidenten.

Checklist voor je gesprek met een bouwer

1. Wie host de software, en waar staan de gegevens?
2. Welke subverwerkers gebruik je, en in welk land zitten ze?
3. Hoe zijn rechten geregeld: kan een klant ooit bij de gegevens van een andere klant?
4. Wordt er gelogd wie welke gegevens bekijkt of wijzigt?
5. Hoe werkt inloggen, en is er tweestapsverificatie voor beheerders?
6. Waar test je mee: echte of verzonnen data?
7. Hoe vaak worden back-ups gemaakt, en is terugzetten getest?
8. Kan ik gegevens van één persoon exporteren en verwijderen?
9. Wie merkt een datalek op, en hoe snel hoor ik het?
10. Wat krijg ik mee als we stoppen: code, data en documentatie?

Krijg je op deze vragen geen concreet antwoord, dan is dat ook een antwoord. Lees ook maatwerk of standaardsoftware over eigendom en exit, en wat onderhoud kost als de software eenmaal draait.

Zo pakt Vorteca het aan

Bij portals en systemen met klantgegevens beginnen we bij de rechten, niet bij het scherm. Wie wat mag zien, regelen we in de database zelf: ook als er in de schermen iets misgaat, krijgt een klant alleen zijn eigen gegevens terug.

Uitnodigings- en resetlinks zijn eenmalig en verlopen. We slaan er alleen een hash van op, een onomkeerbare afgeleide, niet de link zelf. Beheeracties blijven alleen voor beheerders, en geheime sleutels komen nooit in de code die in de browser draait.

In het klantportaal-artikel lees je wat zo'n portal kost en hoe lang de bouw duurt.

Wat kost een veilige portal bij Vorteca?

Vorteca Core dekt hosting, monitoring, security en technisch beheer. Bekijk de portals of alle pakketten op de prijzenpagina.