Hoe leg je vast wie backofficedata controleert?

Je legt vast wie backofficedata controleert door rollen en toegangsrechten schriftelijk te documenteren, te koppelen aan concrete functies binnen het kantoor, en dit te borgen in je systemen en werkprocessen. Dit is geen optionele stap: de AVG verplicht assurantiekantoren om aantoonbaar te maken wie verantwoordelijk is voor welke gegevens. In dit artikel beantwoorden we de vijf meest praktische vragen rondom gegevensbeheer in de backoffice van een assurantiekantoor.

Wie is er wettelijk verantwoordelijk voor backofficedata?

De verwerkingsverantwoordelijke voor backofficedata is het assurantiekantoor zelf, niet de softwareleverancier of de backofficeondersteuner. Dat staat zo in de AVG: als kantoor bepaal jij het doel en de middelen van de gegevensverwerking, en dus draag jij de eindverantwoordelijkheid. Dit geldt ook als je je backoffice uitbesteedt aan een externe partij.

Wat dat in de praktijk betekent: je moet kunnen aantonen dat je weet welke gegevens je verwerkt, wie er toegang toe heeft en op basis van welke grondslag. Werk je met een externe backofficeondersteuner? Dan ben je verplicht een verwerkersovereenkomst af te sluiten. Zonder die overeenkomst ben je als kantoor in overtreding, ook als de externe partij netjes werkt.

Binnen het kantoor zelf moet je bovendien aanwijzen wie intern de eindverantwoordelijkheid draagt voor de polisadministratie en klantdossiers. Dat is doorgaans de directeur of een aangewezen compliance-verantwoordelijke. Zorg dat dit op papier staat en niet alleen in iemands hoofd zit.

Wat zijn de risico’s als controle niet is vastgelegd?

Als je niet vastlegt wie backofficedata controleert, loop je het risico dat niemand weet wie actie moet ondernemen bij een datalek, een fout in een polis, of een AVG-verzoek van een klant. De Autoriteit Persoonsgegevens kan bij een controle of incident direct handhaven als je geen aantoonbare taakverdeling hebt. Dat kan oplopen tot forse boetes.

Maar de risico’s zijn niet alleen juridisch. Denk aan wat er in de praktijk misgaat als rollen niet helder zijn:

• Prolongaties worden niet tijdig verwerkt omdat niemand weet wie ze controleert
• Mutaties verdwijnen in de werkstroom zonder dat iemand de eindverantwoordelijkheid voelt
• Bij een klacht of audit kun je niet aantonen wie wat heeft gedaan en wanneer
• Medewerkers krijgen toegang tot gegevens die ze niet nodig hebben voor hun functie

Dat laatste punt is relevant bij AVG-compliance voor assurantiekantoren: het principe van dataminimalisatie stelt dat medewerkers alleen toegang mogen hebben tot gegevens die ze nodig hebben voor hun werk. Als je dat niet hebt vastgelegd, voldoe je per definitie niet aan de regelgeving, ongeacht hoe zorgvuldig je medewerkers in de praktijk omgaan met data.

Hoe leg je rollen en rechten concreet vast?

Je legt rollen en rechten concreet vast door per functie binnen het kantoor te beschrijven welke gegevens iemand mag inzien, bewerken of verwijderen, dit te documenteren in een toegangsmatrix, en die matrix te vertalen naar de instellingen in je beheersysteem. Zo maak je verantwoordelijkheden in de backoffice zichtbaar en controleerbaar.

Volg daarvoor deze stappen:

1. Breng functies in kaart: Welke rollen zijn er in je kantoor? Denk aan adviseur, polismedewerker, directie, en eventueel externe backofficeondersteuner.
2. Koppel gegevenstoegang aan functies: Wie heeft toegang tot klantdossiers? Wie mag polissen aanmaken of wijzigen? Wie ziet financiële gegevens?
3. Leg dit schriftelijk vast: Een eenvoudige tabel per functierol met kolommen voor inzien, bewerken en verwijderen is al een werkbaar startpunt.
4. Vertaal dit naar je systeem: Zorg dat de toegangsrechten in je software overeenkomen met wat je op papier hebt vastgelegd.
5. Benoem een eindverantwoordelijke: Eén persoon die de toegangsmatrix beheert en bijwerkt bij functieveranderingen of uitdiensttreding.

Polisadministratie vastleggen gaat dus verder dan weten wie wat doet. Het gaat om het aantoonbaar maken van die taakverdeling, zodat je bij een controle of incident direct kunt laten zien hoe de verantwoordelijkheden zijn ingericht.

Welk verschil maakt een cloudoplossing bij toegangsbeheer?

Een cloudoplossing maakt toegangsbeheer aanzienlijk eenvoudiger omdat je rechten centraal instelt en beheert, zonder dat je afhankelijk bent van lokale servers, losse mappen of handmatige afspraken. Elke wijziging is direct actief voor alle gebruikers, en je hebt altijd een actueel overzicht van wie toegang heeft tot welke gegevens.

Vergelijk dat met de situatie waarin medewerkers werken met gedeelde mappen op een lokale server of documenten doorsturen via e-mail. Dan heb je geen idee wie welke versie heeft, wie iets heeft gewijzigd, en of iemand die inmiddels uit dienst is nog ergens toegang heeft. Dat is geen hypothetisch risico: het is een dagelijkse realiteit bij kantoren die nog niet volledig in de cloud werken.

Een goede cloudoplossing voor assurantiekantoren biedt:

• Rolgebaseerde toegangsrechten die je per gebruiker instelt
• Een auditlog waarmee je kunt terugzien wie wanneer welke actie heeft uitgevoerd
• Automatisch blokkeren van toegang bij uitdiensttreding, zonder handmatige tussenkomst
• Versleutelde opslag op beveiligde servers, bij voorkeur in Nederland

Dat laatste punt raakt direct aan AVG-compliance voor assurantiekantoren: gegevens die worden opgeslagen buiten de EU kunnen problemen opleveren met de regelgeving. Kies dus een oplossing waarbij je weet waar de data staat en wie erbij kan.

Hoe controleer je of de vastgelegde afspraken worden nageleefd?

Je controleert of vastgelegde afspraken worden nageleefd door periodiek de toegangsrechten in je systeem te toetsen aan de actuele functiematrix, auditlogs te raadplegen op ongebruikelijke activiteit, en minimaal één keer per jaar een interne controle te doen op wie toegang heeft tot welke backofficedata. Zonder deze controles is vastleggen een papieren exercitie.

Praktisch gezien betekent dit:

• Kwartaalcheck: Controleer of de toegangsrechten in je systeem nog overeenkomen met de huidige functies. Zijn er medewerkers bijgekomen of vertrokken? Pas de rechten direct aan.
• Auditlog raadplegen: Bekijk regelmatig wie welke gegevens heeft ingezien of gewijzigd. Onverwachte activiteit is een signaal om verder te onderzoeken.
• Jaarlijkse evaluatie: Bespreek met de verantwoordelijke of de taakverdeling nog klopt, of er nieuwe risico’s zijn, en of de verwerkersovereenkomsten met externe partijen nog actueel zijn.
• Incidentregistratie: Leg vast wanneer er iets misgaat, hoe je het hebt opgelost en welke maatregel je hebt genomen. Dat is niet alleen nuttig voor interne verbetering, maar ook verplicht onder de AVG.

Gegevensbeheer voor assurantiekantoren is geen eenmalige klus. Het is een doorlopend proces waarbij je de vastgelegde afspraken actief levend houdt. Hoe beter je systemen dit ondersteunen, hoe minder handmatig werk dat kost.

Zo helpen wij je met het beheer van backofficedata

Wij zien bij assurantiekantoren regelmatig hetzelfde patroon: de wil om het goed te regelen is er, maar de tijd en de juiste structuur ontbreken. Precies daar bieden wij concrete ondersteuning.

• Met Back Office Support nemen wij de volledige polisadministratie, prolongaties en mutaties van je over, terwijl de data 100% in jouw eigen omgeving blijft. Jij blijft verwerkingsverantwoordelijke, wij werken als verwerker onder een heldere verwerkersovereenkomst.
• Met AssuPortal werk je in een volledig cloudgebaseerde omgeving met rolgebaseerde toegangsrechten, AVG-conforme opslag op Nederlandse servers en een auditlog die je altijd inzicht geeft in wie wat heeft gedaan.
• Met de Digitale Kluis sla je klantdocumenten veilig en gecentraliseerd op, zonder losse mappen of onveilige e-mails.

Wil je weten hoe wij dit voor jouw kantoor kunnen inrichten? Neem contact met ons op en we kijken samen naar wat past bij jouw situatie.