Een klant mailt je zijn loonstroken, een werkgeversverklaring en een volledig overzicht van zijn schulden. Jij opent die bestanden, verwerkt de gegevens en stuurt ze door naar de geldverstrekker. Ergens op je website staat een privacyverklaring, gebaseerd op een template dat je ooit hebt gedownload. Maar die verklaring beschrijft dit niet. Niet de BKR-opvraag, niet de doorgifte aan de bank, niet de bewaartermijn op grond van de Wft. De AVG vereist precies die specificiteit van je, zeker als hypotheekadviseur. Dit artikel laat zien welke verwerkingen je verplicht moet benoemen en hoe je dat concreet formuleert.

Waarom een generiek AVG-template tekortschiet voor hypotheekadviseurs

Een standaardtemplate is ontworpen om voor zoveel mogelijk situaties te werken. Dat is meteen het probleem. Voor een hypotheekadviseur mist een generiek document structureel op drie punten.

Ten eerste maakt het geen onderscheid tussen gevoelige gegevenstypen. ‘Financiële gegevens’ is voor een webshop prima, maar als jij BKR-rapportages en schuldenregistraties verwerkt, zijn dat gegevens met een heel andere impact op de betrokkene. De AVG wil dat je die specifiek benoemt.

Ten tweede zijn de ontvangers te vaag omschreven. ‘Wij kunnen uw gegevens delen met derden’ is juridisch onvoldoende als je in werkelijkheid gegevens stuurt naar een geldverstrekker, het BKR, het HDN-netwerk én het Kadaster. Die partijen horen expliciet thuis in je privacyverklaring hypotheekadviseur AVG.

Ten derde ontbreken concrete bewaartermijnen. Een template zegt vaak ‘zo lang als nodig’. Maar de Wft schrijft zeven jaar voor voor adviesdossiers, en de Wwft schrijft vijf jaar voor voor cliëntenonderzoek. Dat zijn geen details, dat zijn wettelijke verplichtingen.

Stap 1: Breng je gegevenscategorieën nauwkeurig in kaart

Begin niet met schrijven, maar met inventariseren, volg daarvoor het stappenplan voor het maken van een privacyverklaring. Welke gegevens verzamel jij daadwerkelijk? Maak onderscheid tussen de volgende categorieën en benoem ze zo ook in je verklaring.

  • Inkomensbewijzen (salarisstroken, jaaropgaven, of voor zelfstandigen de winst- en verliesrekening)
  • Werkgeversverklaringen en arbeidscontracten
  • BKR-rapportages en schuldenregistraties
  • Vermogensoverzichten, bankafschriften en spaartegoeden
  • Identiteitsdocumenten (voor Wwft-verificatie)
  • Contactgegevens en communicatiehistorie

Vat dit niet samen onder één label. Een klant heeft recht op transparantie over precies welke gegevens je gebruikt, niet een parapluterm die alles verbergt.

Stap 2: Koppel elke categorie aan de juiste verwerkingsgrond

Elke verwerking heeft een grondslag nodig. Als hypotheekadviseur werk je met meerdere grondslagen door elkaar, en die moet je per gegevenscategorie toelichten.

Voor het opmaken van het hypotheekadvies en de bemiddeling geldt de grondslag ‘uitvoering van de overeenkomst’. Jij kunt geen advies geven zonder loonstroken en schuldengegevens in te zien, en de klant begrijpt en accepteert dat als onderdeel van de dienst.

Voor verplichtingen die voortvloeien uit de Wft en de Wwft geldt de grondslag ‘wettelijke verplichting’. Denk aan het bewaren van het adviesdossier, het uitvoeren van cliëntenonderzoek en het vastleggen van de risicoklasse van de klant. Dit doe je niet omdat je het wil, maar omdat de wet het eist.

Toestemming als grondslag gebruik je in de hypotheekpraktijk eigenlijk zelden als basis voor kernverwerkingen, omdat de meeste verwerkingen al onder de overeenkomst of de wet vallen. Wil je gegevens gebruiken voor nieuwsbrieven of marketingdoeleinden, dan heb je wel toestemming nodig. Wees eerlijk over dat onderscheid in je verklaring.

Stap 3: Benoem alle ontvangers expliciet

Dit is het onderdeel waar de meeste templates volledig tekortschieten. Als jij gegevens doorstuurdeelde ontvangers moeten bij naam of minstens bij categorie herkenbaar zijn. In de hypotheekpraktijk zijn dat doorgaans:

  • Geldverstrekkers en banken waarbij je de aanvraag indient
  • Het Bureau Krediet Registratie (BKR) voor raadpleging en registratie
  • Het Kadaster voor eigendomscontrole en hypotheekinschrijving
  • Het HDN-netwerk (Hypotheken Data Netwerk) voor digitale berichtenuitwisseling
  • Eventuele volmachtgevers als je via een volmacht werkt
  • Herverzekeringspartners als je ook verzekeringen bemiddelt

Maak ook het verschil duidelijk tussen je eigen klantadministratie en het gedeeld berichtenverkeer via HDN. Dat zijn twee aparte gegevensstromingen met een eigen technisch en juridisch karakter. Klanten verdienen uitleg over dat onderscheid.

Stap 4: Stel onderbouwde bewaartermijnen vast per categorie

Een hypotheekadviseur die actief is als financieel dienstverlener valt onder de Wft. Dat betekent dat je adviesdossier, inclusief alle onderbouwende documenten, zeven jaar bewaard moet worden na het einde van de dienstverlening. Dat is geen keuze, dat is een wettelijke bewaarplicht.

Voor oriëntatiegesprekken waarbij geen opdracht is verstrekt, geldt die bewaarplicht niet. Bewaar dergelijke gegevens maximaal zo lang als redelijkerwijs nodig is voor administratiedoeleinden, en verwijder ze daarna actief. Leg die kortere termijn ook vast in je verklaring.

Na afloop van de hypotheek begint de zeven jaar doorgaans te lopen vanaf het moment dat de opdracht formeel is beëindigd, niet vanaf het afsluiten van de hypotheek zelf. Controleer dit bij twijfel met je compliance-officer of branchevereniging.

Stap 5: Verwerk Wwft-verplichtingen als aparte sectie

De Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) is voor veel hypotheekadviseurs relevant, zeker als je ook werkt met zakelijke klanten of grotere transacties. De Wwft-verplichtingen staan los van het hypotheekadvies zelf en verdienen een eigen sectie in je verklaring.

Concreet gaat het om het uitvoeren van cliëntenonderzoek (wie is de klant, wat is de herkomst van het vermogen) en het vastleggen van de UBO (uiteindelijk belanghebbende) bij rechtspersonen. De grondslag hiervoor is wettelijke verplichting. De bewaartermijn voor Wwft-documentatie is vijf jaar na het einde van de zakelijke relatie. Dat verschilt van de zeven jaar uit de Wft, en dat verschil moet je expliciet maken in je verklaring.

Stap 6: Beschrijf de rechten van de betrokkene in context

Klanten hebben op grond van de AVG het recht op inzage, correctie en verwijdering van hun gegevens. Maar als hypotheekadviseur loop je regelmatig tegen een praktische spanning aan: een klant vraagt om verwijdering, maar jij bent wettelijk verplicht het dossier nog jaren te bewaren.

Leg dit begrijpelijk uit in je verklaring. Schrijf niet alleen dat klanten rechten hebben, maar beschrijf ook wanneer die rechten beperkt worden door een wettelijke plicht. Zeg bijvoorbeeld: ‘Zolang wij wettelijk verplicht zijn uw adviesdossier te bewaren, kunnen wij uw verzoek tot verwijdering voor die gegevens niet inwilligen. Na afloop van de bewaartermijn verwijderen wij uw gegevens actief.’

Geef ook aan hoe een klant een verzoek kan indienen, en binnen welke termijn je reageert. De AVG schrijft een maand voor als standaard, met de mogelijkheid tot verlenging bij complexe verzoeken.

Stap 7: Valideer op volledigheid met artikel 13 en 14 AVG

Gebruik de volgende checklist als sluitende validatie. Artikel 13 en 14 AVG schrijven acht verplichte elementen voor. Controleer of jouw verklaring ze alle acht bevat, toegepast op het hypotheekadviesproces.

  • Identiteit en contactgegevens van de verwerkingsverantwoordelijke (jij als adviseur of je kantoor)
  • Contactgegevens van de functionaris voor gegevensbescherming, als je die hebt
  • De verwerkingsdoeleinden en de bijbehorende grondslagen
  • De gerechtvaardigde belangen, als je die als grondslag gebruikt
  • De ontvangers of categorieën van ontvangers
  • Eventuele doorgifte aan landen buiten de EU en de waarborgen daarvoor
  • De bewaartermijnen per gegevenscategorie
  • De rechten van de betrokkene en hoe die uitgeoefend kunnen worden

De meest gemaakte omissies in de praktijk

Op basis van wat er in de praktijk misgaat, zijn er drie omissies die keer op keer terugkomen bij hypotheekadviseurs.

De BKR-raadpleging wordt niet als aparte verwerking opgenomen. Het raadplegen van het BKR is een specifieke handeling met een eigen doel, grondslag en ontvanger. Verberg dit niet onder ‘we verwerken financiële gegevens’. Benoem het expliciet.

Ontvangers worden te abstract omschreven. ‘Wij kunnen uw gegevens delen met derden’ is onvoldoende. Noem de partijen bij naam of benoem ze zodanig herkenbaar dat een klant begrijpt met wie zijn gegevens worden gedeeld.

Er wordt geen onderscheid gemaakt tussen de eigen klantadministratie en het HDN-berichtenverkeer. Gegevens die via HDN worden uitgewisseld volgen een ander traject dan gegevens die je zelf beheert in je CRM of je eigen dossiermap. Beschrijf beide stromen apart, zodat je klant een eerlijk beeld krijgt van hoe zijn gegevens bewegen.

Met een generiek template kom je er niet als hypotheekadviseur. Je benoemt per gegevenscategorie de grondslag, je noemt de ontvangers bij naam en je hanteert bewaartermijnen die aansluiten op de Wft en de Wwft. Schakel je een nieuwe partij in of voeg je een dienst toe, dan pas je de verklaring aan. Dat is geen extra werk, dat is gewoon onderdeel van hoe je je praktijk runt.