Boekhouders: klantdocumenten veilig verzamelen

Boekhouders en administratiekantoren verzamelen klantdocumenten veiliger door elke klant één uploadroute te geven, per periode een precieze lijst op te vragen en de tijdelijke inzending te verwijderen zodra de stukken in het boekhoud- of praktijksysteem staan. Zo belanden facturen, bankafschriften, jaaropgaven en identiteitsbewijzen niet verspreid over persoonlijke mailboxen, downloadmappen en lange e-mailwisselingen.

Het uploadportaal is de balie waar stukken binnenkomen, niet het klantdossier. Wie dat onderscheid vasthoudt, voorkomt dat de ontvangstplek ongemerkt een archief wordt.

Bepaal de opdracht voordat je de ontvangst opent

"Stuur alles van het kwartaal even door" is snel geschreven en duur in beheer. Klanten sturen dubbele exports, volledige afschriften terwijl twee pagina's genoeg waren, losse correspondentie en stukken uit de verkeerde periode.

Maak het verzoek vanuit het werkprogramma. Noem per stuk:

Het exacte document of rapport
De onderneming, rekening of periode die het moet beslaan
Het toegestane bestandsformaat
Waarom je het nodig hebt
Of een gedeeltelijke of afgeschermde versie volstaat
Wie het beoordeelt
Waar het goedgekeurde stuk wordt bewaard
Wanneer de ontvangstkopie wordt verwijderd

Bevatten de stukken persoonsgegevens, dan geldt het beginsel van minimale gegevensverwerking uit artikel 5 van de AVG: verzamel wat toereikend, ter zake dienend en beperkt is tot het doel. Fiscale en beroepsregels kunnen voorschrijven dat bepaalde stukken bewaard blijven. Die regels gaan over het officiële dossier, niet over elke bijlage of tijdelijke werkkopie.

Vraag niet op wat de Belastingdienst al heeft

Voor de aangifte inkomstenbelasting noemt de Belastingdienst in zijn checklist voor de belastingaangifte onder meer jaaropgaven, jaaroverzichten van bank- en spaarrekeningen en beleggingen, de WOZ-waarde, de jaaropgaaf van de hypotheek en betalingsbewijzen voor aftrekposten zoals giften en zorgkosten.

Een deel daarvan hoeft niet via de klant te lopen. Heeft de klant je gemachtigd en is die machtiging geregistreerd en actief, dan kun je als intermediair volgens de Belastingdienst de gegevens van de vooraf ingevulde aangifte gebruiken, zoals loon, WOZ-waarde, hypotheekgegevens en banksaldi. Zo'n registratie geldt per aangiftejaar, of doorlopend als de klant een doorlopende machtiging laat registreren.

Controleer dus eerst wat je al hebt voordat je de klant om een upload vraagt. Elk stuk dat je niet hoeft op te vragen, hoef je ook niet te beveiligen, te verwerken en te verwijderen.

Werk met een ontvangstmatrix

Dit voorbeeld maakt van een terugkerend boekhoudverzoek een gecontroleerde overdracht. Pas het aan de opdracht en de geldende regels aan.

Gevraagd stuk	Wat je afbakent	Beoordelaar	Goedgekeurde bestemming	Einde ontvangstkopie
Verkoopfacturen	Onderneming en exacte maand of kwartaal	Toegewezen boekhouder	Boekhoudpakket of documentsysteem	Na verwerking en aansluiting
Inkoopfacturen	Onderneming, periode en toegestane formaten	Toegewezen boekhouder	Boekhoudpakket of documentsysteem	Na verwerking en aansluiting
Bankgegevens	Rekening en exacte periode, met overbodige velden afgeschermd waar dat mag	Teamlid van de opdracht	Aansluiting of goedgekeurd klantdossier	Na beoordeling en overdracht
Declaraties en bonnetjes	Medewerker, categorie en periode	Boekhouder of declaratiebeoordelaar	Declaratiesysteem	Na goed- of afkeuring
Stukken voor de IB-aangifte	Alleen wat niet al in de vooraf ingevulde gegevens staat	Aangiftemedewerker	Aangiftesoftware of klantdossier	Na indienen en vastleggen
Getekende opdrachtbevestiging of machtiging	Dienst en ondertekenaar	Verantwoordelijke voor de opdracht	Praktijksysteem	Als het officiële stuk is vastgelegd
Identiteits- of UBO-bewijs	Alleen als een omschreven controle het vereist	Bevoegde compliancemedewerker	Goedgekeurd verificatie- of compliancesysteem	Zodra de controle en het verplichte verslag klaar zijn

Voeg alleen een rij toe als de opdracht hem nodig heeft. Een lege kolom "bestemming" is een waarschuwing: weet niemand waar een stuk na beoordeling hoort, dan wordt het uploadportaal een toevallig archief.

Houd het verzoek en het document gescheiden

Stuur een melding die het kantoor, de opdracht en de deadline noemt, zonder gevoelige details in de onderwerpregel. Het bericht linkt naar een uploadpagina waar de klant het precieze verzoek en de privacyinformatie van het kantoor ziet.

Stuur geen half ingevuld aangifteformulier of afschrift met echte gegevens mee als voorbeeld. Gebruik een leeg sjabloon of beschrijf welke velden je nodig hebt. Zet geen BSN, rekeningnummer of bestandsnaam in een herinnering.

Een apart e-mailadres voor documenten helpt klanten die niet via de browser kunnen uploaden. Ook dan ontstaan kopieën in de map Verzonden items van de klant en in mailsystemen. Leg die beperking uit en stuur zo'n bericht intern niet door. De vergelijking tussen uploadportaal en e-mailbijlagen zet de afwegingen op een rij.

De Amerikaanse belastingdienst raadt belastingadviseurs in Publication 4557, Safeguarding Taxpayer Data aan te weten waar gevoelige informatie staat, toegang te beperken tot bevoegde medewerkers, gegevens tijdens verzending te versleutelen en stukken veilig te vernietigen. De wettelijke verwijzingen gelden in de Verenigde Staten, maar de vragen over inventaris en toegang zijn ook hier bruikbaar. Nederlandse kantoren volgen hun eigen wetgeving, toezichthouder en beroepsorganisatie.

Geef elke klant een vast inzendpatroon

Klanten maken minder fouten als het patroon gelijk blijft:

Het kantoor stuurt één verzoek voor één periode.
De klant gebruikt de herkenbare uploadpagina van het kantoor.
Het portaal bevestigt de ontvangst zonder bestandsnamen in de e-mail.
De toegewezen beoordelaar controleert de volledigheid en wijst onbruikbare bestanden af.
De beoordelaar verwerkt of legt de geaccepteerde informatie vast in het goedgekeurde boekhoudsysteem.
Het kantoor vraagt vervangende stukken via dezelfde route op.
De beoordelaar sluit de checklist af en verwijdert de tijdelijke ontvangstkopie.

Houd een checklist per opdracht bij buiten het uploadportaal. Daarop staat "bankgegevens maart ontvangen", zonder rekeningnummers, saldi of bestandsnamen. Zo houdt het team overzicht terwijl de documenten hun eigen verwijderschema volgen.

Beperk toegang per opdracht en taak

De receptie hoeft misschien alleen te weten dat er iets is binnengekomen. Een boekhouder heeft facturen nodig, maar geen UBO-bewijs. Een vennoot keurt een uitzondering goed zonder routinematig elk afschrift te zien. Een externe kracht die een week bijspringt, krijgt niet de volledige klantenlijst.

Werk met persoonlijke accounts en loop de rechten na bij elke wisseling van personeel of opdracht. Scheid gewoon bekijken van originelen downloaden, verwijderdata wijzigen en ledenbeheer. De checklist voor minimale toegang tot klantdocumenten bevat een toegangsmatrix die je voor een administratiekantoor kunt aanpassen.

De beveiligingsadviezen van het Europees Comité voor gegevensbescherming voor het mkb bevelen een unieke identificatie per gebruiker aan, gedifferentieerde autorisatieprofielen, het intrekken van overbodige rechten en regelmatige toegangscontroles. Ze benadrukken ook dat maatregelen moeten passen bij het risico van de verwerking.

Behandel een gewijzigd rekeningnummer als fraudecontrole

Een portaal kan een bankbrief of machtiging ontvangen, maar een upload bewijst niet wie de afzender is of dat de betaalgegevens kloppen. Wie de mailbox van een klant beheerst, kan ook links ontvangen of gebruiken die naar dat adres zijn gestuurd.

Controleer een wijziging van betaalgegevens via een aparte, vertrouwde route die het kantoor vastlegt. Bel bijvoorbeeld het bekende telefoonnummer uit het klantdossier, door een bevoegde medewerker. Gebruik nooit alleen het nummer dat in hetzelfde wijzigingsverzoek staat.

Documentontvangst, malwarescans en bestandscontrole vervangen geen identiteitscontrole, cliëntenonderzoek, elektronische handtekening of betaalautorisatie. De Wwft noemt onder meer belastingadviseurs en externe accountants, en wie vergelijkbare activiteiten zelfstandig verricht, als instellingen waarop de wet van toepassing is. Valt je kantoor daaronder, dan is het cliëntenonderzoek een eigen proces met eigen regels.

Controleer of de dienst de stukken toestaat

Boekhoudwerk mengt vaak gewone financiële gegevens met beperkte categorieën. De checklist van de Belastingdienst laat dat zien: de aangifte vraagt om het BSN van partner en kinderen, jaaroverzichten van spaarrekeningen van kinderen en betalingsbewijzen van zorgkosten. Dat zijn gegevens van kinderen en gezondheidsgegevens. Een loonadministratie kan verzuim of vakbondscontributie bevatten. Een volledig creditcardoverzicht kan kaartgegevens bevatten die een algemene ontvangstdienst niet toestaat.

Sunset Docs staat gegevens van kinderen, strafrechtelijke gegevens, bijzondere persoonsgegevens, biometrische gegevens voor unieke identificatie, volledige betaalkaartgegevens, inloggegevens en andere geheimen standaard niet toe, tenzij dat apart schriftelijk is overeengekomen. Upload dus geen complete aangiftemap of salarisbundel voordat iemand de inhoud aan die grenzen heeft getoetst. Gebruik een goedgekeurd alternatief of maak de vereiste schriftelijke afspraak, waar die mogelijk is.

De dienst verifieert ook geen identiteit en is geen permanent fiscaal archief of klantdossier. Hij is bedoeld voor de tijdelijke ontvangst van toegestane documenten. Met de 15 vragen om een uploadportaal te beoordelen toets je vooraf of dat bij je kantoor past. Hoe Sunset Docs in de praktijk werkt voor een administratiekantoor, lees je op de pagina voor boekhouders.

Sluit de inzending af na beoordeling

Is een inzending compleet, leg dan de uitkomst vast in het systeem van de opdracht. Zet alleen de stukken die het kantoor moet bewaren in het goedgekeurde klantdossier. Verwijder daarna de tijdelijke ontvangstkopie en eventuele lokale downloads.

Die bewaarplicht kan lang zijn. Volgens de Belastingdienst bewaren ondernemers basisgegevens van hun administratie 7 jaar en gegevens over onroerende zaken 10 jaar. Die termijn hoort bij de administratie of het dossier, niet bij de uploadplek waar het stuk ooit binnenkwam.

Beloof niet dat het verwijderen van een actieve inzending meteen elke beveiligde back-up wist. Kijk naar de gepubliceerde back-upcyclus van de leverancier. Laat ook een opzegging of betalingsachterstand de verwijderdatum van een document niet verschuiven.

Sunset Docs legt de verwijderdatum vast bij ontvangst, laat bevoegde gebruikers eerder verwijderen en blijft verwijderen bij wijzigingen in het abonnement. Versleutelde databaseback-ups vervallen binnen 30 dagen. De viewer toont pagina's met watermerk in plaats van het origineel, wat routinematig downloaden beperkt, maar schermafbeeldingen, foto's, afdrukken of overtypen kan hij niet voorkomen. De actuele maatregelen en grenzen staan op de pagina over beveiliging.

Sjabloon voor een verzoek aan een klant

Wil je de stukken voor {maand, kwartaal of opdracht} uploaden via onze documentenpagina?

{uploadlink}

We hebben {exacte stukken} nodig voor {onderneming en periode}, uiterlijk {datum}. Stuur geen stukken buiten die periode mee. Gegevens die we voor dit werk niet nodig hebben, zoals {velden}, mag je afschermen, zolang het document bruikbaar blijft.

{Functie of team} beoordeelt de inzending. De tijdelijke kopie wordt {termijn} verwijderd. Stukken die we moeten bewaren, zetten we in ons klantsysteem volgens de bewaarinformatie in {link naar privacyverklaring of opdrachtbevestiging}.

Neem eerst contact op met {contactpersoon} voordat je gezondheidsgegevens, gegevens van kinderen, strafrechtelijke gegevens, volledige betaalkaartgegevens of inloggegevens uploadt.

Veelgestelde vragen

Vervangt een uploadportaal het boekhoudpakket?

Nee. Het ontvangt bestanden ter beoordeling. Boekingen, aansluitingen, werkdossiers en te bewaren klantstukken horen in het goedgekeurde boekhoud-, aangifte- of praktijksysteem van het kantoor.

Mogen klanten documenten blijven mailen als ze dat liever doen?

Het kantoor kan een goedgekeurd e-mailadres als uitwijkroute aanbieden. Leg uit dat er kopieën in de mailbox van de klant achterblijven, houd de onderwerpregel algemeen en laat het stuk daarna hetzelfde proces van beoordelen en verwijderen doorlopen.

Moeten we elk ontvangen origineel 7 jaar bewaren?

Nee. De fiscale bewaarplicht geldt voor de administratie en de stukken die de opdracht, beroepsregels of de wet vereisen. Dubbele bestanden en tijdelijke ontvangstkopieën verwijder je als hun doel is bereikt. Leg vast welk stuk in welk dossier hoort.

Kan een portaal het cliëntenonderzoek voor de Wwft uitvoeren?

Nee. Een ontvangen bestand bevestigt geen identiteit, eigendomsstructuur, echtheid of sanctiestatus. Gebruik het goedgekeurde compliance- en verificatieproces van het kantoor.

Wat doen we met zorgkosten of gegevens van kinderen in de aangifte?

Upload die niet naar een dienst die gezondheidsgegevens of gegevens van kinderen niet toestaat. Kijk of de gegevens al in de vooraf ingevulde aangifte staan, gebruik een goedgekeurde route of vraag om een beperkter stuk als het proces en de regels dat toelaten.

Hoe geven we tijdelijke krachten in het aangifteseizoen toegang?

Geef elke persoon een eigen account, de kleinste rol die nodig is en een einddatum die aan de klus gekoppeld is. Bekijk de recente activiteit en trek de toegang in zodra de opdracht klaar is.