Gedragscode Informatiebeveiliging Notariaat (KNB): wat het van je documentuitwisseling vraagt

Waar de gedragscode op neerkomt

De Gedragscode Informatiebeveiliging Notariaat van het KNB beschrijft hoe een notariskantoor met vertrouwelijke informatie hoort om te gaan: welke maatregelen je neemt, wie toegang heeft, en hoe je aantoonbaar maakt dat je het beheerst. De actuele versie en de bijbehorende normen staan bij het KNB — raadpleeg die altijd als bron, niet een samenvatting op een website.

Voor documentuitwisseling betekent het in de praktijk drie dingen: je kunt uitleggen wie toegang heeft tot een dossier, je kunt toegang beperken tot wat nodig is, en je kunt achteraf laten zien wat er is gebeurd.

Waar de praktijk afwijkt

In veel kantoren loopt de uitwisseling nog via e-mail en losse links. Dat is niet omdat men het niet weet, maar omdat het snel gaat en de cliënt het gewend is. Het gevolg is dat een aanzienlijk deel van de dossiers buiten de beveiligde omgeving valt — en dat is precies het deel waar de vraag naar aantoonbaarheid op stukloopt.

• E-mail: geen identificatie van de ontvanger, geen intrekking, geen log.
• Losse links: deelbaar, vaak zonder wachtwoord, geen dossiercontext.
• Gedeelde netwerkschijven: lastig om per cliënt af te schermen.

Drie maatregelen die je vandaag kunt invoeren

Je hoeft niet te wachten op een groot project om het risico te verkleinen. Deze drie leveren direct winst op en zijn achteraf uit te leggen aan een toezichthouder of een cliënt.

• Eén kanaal per dossier: alles via een cliëntportaal, geen mix met mail.
• Toegang per dossier met een einddatum, en een expliciete afsluitstap.
• Een log dat je kunt exporteren, ook jaren later.

Wat de gedragscode regelt — en wat niet

De gedragscode is een beroepsnorm: hij beschrijft hoe een notariskantoor met informatiebeveiliging hoort om te gaan. Hij vervangt de AVG niet, en ook niet de verplichtingen die je als kantoor toch al hebt richting cliënten en leveranciers. De normen staan naast elkaar, niet in plaats van elkaar.

Belangrijk voor dit onderwerp: de exacte eisen, de normenkaders en de actuele versie staan bij het KNB. Gebruik die publicatie als bron en niet een samenvatting — ook niet deze. Wat hier staat is de praktische vertaling, niet de norm zelf.

De vier vragen die een audit of toezichthouder stelt

Of je nu een interne controle doet of een vraag van buiten krijgt: in de praktijk komen altijd dezelfde vier vragen terug. Ze zijn eenvoudig te beantwoorden als je dossier op orde is, en pijnlijk als dat niet zo is.

• Wie heeft toegang tot dit dossier, en op grond waarvan?
• Hoe is die toegang beperkt tot wat nodig is — en hoe trek je hem weer in?
• Wat kun je aantonen over inzage, download en wijziging, ook maanden later?
• Wat gebeurt er bij een incident: wie merkt het, wie beslist, wat leg je vast?

Waar het in de praktijk misgaat

De afwijkingen zitten bijna nooit in de systemen die het kantoor heeft gekozen, maar in de stromen ernaast: de bijlage die per e-mail gaat omdat het sneller is, het gedeelde account van de balie, de gast die na het passeren nog toegang heeft.

Dat zijn geen incidenten maar gewoontes, en ze zijn lastig te repareren met een project. Wat werkt is een afspraak per dossier: één kanaal, één eigenaar, één eindstatus.

• Documenten met persoonsgegevens die per e-mail of losse link gaan.
• Gedeelde accounts, waardoor “wie heeft het gedownload” niet te beantwoorden is.
• Gasttoegang zonder einddatum na afronding van het dossier.
• Leveranciers zonder vastgelegde afspraken over opslag, regio en bewaartermijn.

Digitaal Passeren is geen dossieromgeving

Het KNB-platform voor digitaal passeren is bedoeld voor het passeerproces zelf: de wachtkamer, de identificatie en het digitaal zegelen van de akte. Het is geen omgeving waarin je het volledige cliëntdossier opbouwt en bewaart.

Dat onderscheid is nuttig bij het inrichten: gebruik het platform waarvoor het is gemaakt, en regel het dossier eromheen — intake, bijlagen, correspondentie en archivering — in een omgeving die daarvoor bedoeld is. Zo voorkom je dat je het passeerplatform belast met iets wat het niet is.

Een startpunt in drie stappen

Je hoeft niet te beginnen met een beveiligingsproject. Deze drie stappen leveren direct een aantoonbaarder kantoor op, en ze zijn in een week te doen.

• Inventariseer: welke dossiers lopen nu via e-mail of losse links, en hoeveel daarvan bevatten persoonsgegevens?
• Kies één kanaal per dossier, met een vaste structuur en toegang per persoon.
• Maak afsluiten een stap: toegang intrekken, archief exporteren, bewaartermijn vastleggen.

Wat je vastlegt over je leveranciers

Een groot deel van je informatiebeveiliging ligt niet in je eigen kantoor maar bij de partijen die je gebruikt: de dataroom, de scan- of conversiedienst, de hosting van je praktijksoftware. Daar hoort een korte, actuele lijst van te bestaan.

Leg per leverancier vast welke gegevens er heen gaan, in welke regio ze staan, wat de bewaartermijn is en hoe je er weer uit komt. Die vier regels zijn genoeg om een vraag van een cliënt of toezichthouder te beantwoorden zonder eerst te hoeven uitzoeken.