Makelaars en verhuurbemiddelaars: de vier risico's achter elk huurdersdossier
Een makelaarskantoor bewaart op één plek de documenten die een fraudeur het liefst wil hebben: identiteitsbewijzen, loonstroken, belastingaanslagen en bankgegevens van huurders, borgstellers, kopers en verhuurders. Borgsommen, eerste huren en servicekosten komen binnen op momenten die iedereen kan voorspellen, en de website draait formulieren voor waardebepalingen en uploadportalen. Alle vier de risico's komen samen in één klein bedrijf.
huurders en verhuurders van wie een Londens makelaarskantoor de paspoortkopieën, bankafschriften en salarisgegevens bijna twee jaar onbeschermd liet staan; de ICO, de Britse privacytoezichthouder, gaf het kantoor in 2019 een boete van £ 80.000.
Wired-Gov, 19 jul 2019accounts, bij benadering, op een site met woningadvertenties hadden een wachtwoord dat in leesbare tekst was opgeslagen; de CNIL, de Franse privacytoezichthouder, gaf de uitgever in januari 2024 een boete van € 100.000.
CNIL, 31 jan 2024is de referentietermijn van de CNIL voor het bewaren van solvabiliteitsdocumenten van afgewezen kandidaten in de actieve database van een kantoor.
CNIL, 6 mei 2021Hoe elk risico er in uw bedrijf uitziet
E-mail uit uw naam
Een nieuwe huurder heeft net getekend. Een paar minuten vóór uw e-mail met het verzoek om de borg en de eerste maand huur, komt er een andere binnen van precies uw adres, met "gewijzigde bankgegevens". De huurder betaalt de fraudeur. Zonder afgedwongen DMARC-beleid houdt niets die e-mail tegen.
- De bedragen zijn groot en het moment is bekend: in Engeland en Wales moet binnen 30 dagen na ontvangst van de borg aan de eerste eisen van een borgregeling zijn voldaan (Housing Act 2004, geraadpleegd 8 nov 2026). Verzoeken om servicekosten en de betalingsoproepen van een Franse syndic (de beheerder van een appartementsgebouw) volgen dezelfde kalender.
- In een algemene handelszaak, geen vastgoedzaak, liet de Hoge Raad een uitspraak in stand dat een betaling op een vervalste factuur als betaling gold, omdat de vervalste e-mail van het echte adres van het concern van de verkoper kwam. De verkoper droeg de schade (Hoge Raad, 28 mei 2021).
- DMARC houdt vervalsing van precies uw domein tegen. Het houdt geen domeinnamen tegen die erop lijken, en geen overgenomen mailbox, dus voeg tweestapsverificatie toe en een regel dat bankgegevens nooit per e-mail veranderen.
Tracking vóór toestemming
Een huiseigenaar vult uw formulier voor een gratis waardebepaling in: adres, telefoonnummer, het plan om te verkopen. Een tag van Meta of Google Ads op de pagina meldt het bezoek en het formulier aan het advertentieplatform voordat de bezoeker op de banner heeft gereageerd.
- Een pagina voor een waardebepaling of een huuraanvraag zegt meer dan een productpagina: waar iemand woont, dat iemand wil verkopen of verhuizen, soms het inkomen.
- De eigen beveiligingschecklist van de CNIL voor verhuurbeheer noemt toestemming voor cookies die niet strikt noodzakelijk zijn als maatregel voor de website (CNIL, 6 mei 2021).
- In juni 2024 gaf de CNIL een bedrijf dat zij omschrijft als gespecialiseerd in vastgoedbeheer een boete van € 12.000 via haar vereenvoudigde procedure, voor toestemming en informatie over cookies (CNIL, geraadpleegd 8 nov 2026).
Klanten met een beperking
Een kandidaat-huurder met een schermlezer komt bij uw aanvraagformulier. De uploadknoppen hebben geen labels en de CAPTCHA heeft geen alternatief, dus de aanvraag komt nooit binnen. Uw woningzoeker werkt alleen door een kaart te verslepen.
- Makelaardij staat niet op de lijst van diensten van de European Accessibility Act (EAA, richtlijn (EU) 2019/882). De EAA bereikt een makelaar alleen als zijn site of app een e-commercedienst is, een dienst waarlangs een consument een overeenkomst sluit (EUR-Lex, 17 apr 2019).
- Micro-ondernemingen zijn uitgezonderd: minder dan 10 medewerkers en niet meer dan € 2 miljoen omzet of balanstotaal. Veel zelfstandige makelaars vallen daaronder (EUR-Lex, 17 apr 2019).
- In het VK geldt de Equality Act 2010 voor elk kantoor, hoe klein ook: een dienstverlener moet redelijke aanpassingen doen voor mensen met een beperking (Equality Act 2010, geraadpleegd 8 nov 2026).
Betaal- en websitebeveiliging
Uw aanvraagportaal bewaart elk geüpload document op een adres dat eindigt op een getal. Verander het getal en het paspoort en de loonstroken van een andere aanvrager verschijnen, zonder dat om een wachtwoord wordt gevraagd.
- De ICO gaf een Londens makelaarskantoor een boete van £ 80.000 nadat paspoortkopieën en bankafschriften van 18.610 huurders en verhuurders van maart 2015 tot februari 2017 op een server stonden die anoniem toegankelijk was. Volgens de ICO stonden klanten daardoor bloot aan het mogelijke risico van identiteitsfraude (Wired-Gov, 19 jul 2019).
- Het nieuwe klantenportaal van een Schotse woningcorporatie toonde bewoners vijf dagen lang de namen, adressen, geboortedata en overlastdossiers van andere bewoners. De ICO gaf een berisping: het portaal was vóór de lancering niet goed getest (Public Technology, 25 apr 2024).
- De CNIL gaf een uitgever van woningadvertenties een boete van € 100.000, onder meer omdat wachtwoorden één teken lang mochten zijn en in leesbare tekst werden opgeslagen, voor ongeveer vijf miljoen accounts (CNIL, 31 jan 2024).
Geldt de European Accessibility Act voor u?
Alleen als consumenten via uw site of app een overeenkomst sluiten en u geen micro-onderneming bent; een site met alleen aanbod valt er waarschijnlijk buiten.
Makelaardij, verhuur en vastgoedbeheer zijn geen diensten die de EAA zelf noemt. De EAA bereikt een kantoor alleen als zijn website of app een e-commercedienst is: op afstand verleend, op verzoek van een consument, met het oog op het sluiten van een consumentenovereenkomst. Een particuliere verhuurder of verkoper geldt als consument. Micro-ondernemingen die diensten verlenen, zijn uitgezonderd: minder dan 10 medewerkers en niet meer dan € 2 miljoen jaaromzet of balanstotaal. Online kaarten zijn uitgezonderd als de essentiële informatie ook op een toegankelijke manier wordt gegeven, en dienstencontracten die vóór 28 juni 2025 zijn gesloten, mogen ongewijzigd doorlopen tot ze aflopen, hooguit vijf jaar (EUR-Lex, 17 apr 2019). Een kantoor dat eronder valt, moet publiceren hoe zijn dienst aan de eisen voldoet; de ACM zegt dat die verklaring makkelijk te vinden en toegankelijk moet zijn (ACM, geraadpleegd 8 nov 2026). Online aanvragen die eindigen met een e-handtekening die per e-mail wordt verstuurd, en eigenaarsportalen waar huur of servicekosten worden betaald, zijn een grijs gebied.
Waarschijnlijk wel van toepassing
- Een site of app waar consumenten een vakantiewoning boeken en betalen, bij een kantoor met 10 of meer medewerkers of meer dan € 2 miljoen omzet en balanstotaal.
- Een betaalde dienst die online wordt afgenomen, zoals een dienst voor huurdersdossiers of waardebepalingen, bij een kantoor van dezelfde omvang.
- Een huurcontract, beheeropdracht of verkoopopdracht die via de site wordt getekend, bij een kantoor van dezelfde omvang.
Waarschijnlijk niet van toepassing
- Een aanbodsite waar bezoekers alleen rondkijken, een bezichtiging aanvragen of een vraag sturen, en het contract later wordt getekend.
- Een micro-onderneming: minder dan 10 medewerkers en niet meer dan € 2 miljoen omzet of balanstotaal.
- Zoeken op een kaart, als hetzelfde aanbod ook zonder kaart te vinden is.
In het VK geldt de EAA niet voor Britse kantoren met Britse klanten, maar de Equality Act 2010 wel: een dienstverlener mag niet discrimineren en moet redelijke aanpassingen doen, hoe klein hij ook is (Equality Act 2010, geraadpleegd 8 nov 2026). Een kantoor dat boekingen aanneemt van consumenten in de EU, bijvoorbeeld voor vakantiewoningen in Frankrijk, doet er goed aan de EAA voor die verkopen na te gaan.
Onze lezing van de richtlijn en van de richtsnoeren van de toezichthouders, geen juridisch advies. Zit uw situatie dicht bij de grens, vraag dan een advocaat.
Controles die u in een minuut doet
Kan iemand e-mail sturen uit uw naam?
Doe de gratis e-mailcheck op het domein van uw kantoor. U wilt DMARC op p=quarantine of p=reject. Geen record, of p=none, betekent dat iedereen e-mail kan sturen vanaf precies uw adres.
Waarschuwen uw betaalmails huurders?
Open het sjabloon dat u verstuurt voor de borg en de eerste huur, of voor servicekosten. Staat er duidelijk in dat u bankgegevens nooit per e-mail wijzigt, en dat de huurder vóór het betalen het nummer in het huurcontract moet bellen? Staat tweestapsverificatie aan voor elke mailbox die het verstuurt?
Kan een vreemde het dossier van een aanvrager openen?
Gebruik alleen een testaanvraag die u zelf heeft gemaakt. Kopieer de link naar een van de geüploade documenten, log uit en open de link in een privévenster. Opent het document zonder login, dan kan iedereen met de link het zien. Verander nooit getallen in het adres om dossiers van anderen te bekijken; bel in plaats daarvan uw webleverancier.
Hoe oud is het oudste dossier van een afgewezen kandidaat?
Kijk in de gedeelde mailbox, het CRM en de downloadmap. In Frankrijk hanteert de CNIL als referentie drie maanden in de actieve database (CNIL, 6 mei 2021).
Gaan er tags af op uw waarderingsformulier vóór toestemming?
Open uw pagina voor een gratis waardebepaling in een privévenster en laat de banner met rust. Is Weigeren even zichtbaar als Accepteren? In de ontwikkelaarstools van de browser ziet u op het tabblad Netwerk of Meta, Google Ads of analytics laden voordat u kiest.
Slotje en headers, portaal inbegrepen
Typ http:// en uw domein: u hoort zonder waarschuwing op https:// uit te komen. Een gratis headerchecker laat zien welke beveiligingsheaders u meestuurt. Controleer ook het huurders- of eigenaarsportaal, niet alleen de informatieve site.
Kunt u zoeken en reageren met alleen het toetsenbord?
Leg de muis weg. Zoek met Tab, Shift+Tab en Enter, open een woning, vul het aanvraag- of contactformulier in en verstuur het. Kunt u het aanbod vinden zonder de kaart?
Staat de pagina die de wet vraagt op uw site?
Britse verhuurbemiddelaars met geld van cliënten: staat uw beschermingscertificaat op de website (Client Money Protection Schemes for Property Agents Regulations 2019, geraadpleegd 8 nov 2026)? Nederland: zijn uw selectiecriteria en uw schriftelijke werkwijze tegen discriminatie gepubliceerd (Tweede Kamer, 6 feb 2024)? Franse syndics: staat het wachtwoord van het portaal leesbaar op brieven over servicekosten? Volgens de CNIL hoort dat niet (CNIL, 6 mei 2021).
Wat ondernemers in deze sector zichzelf voorhouden
Email & Cookie Fix
Beide, voor bedrijven die buiten de toegankelijkheidswet vallen.
Blijvend opgelost: vanaf € 39 per maand
Bevestig het met een echte scan
We lezen alleen wat elke bezoeker en openbare DNS-records laten zien: geen login, geen tests van uw systemen. U krijgt per e-mail een persoonlijk risicorapport met screenshots, een score per risico en vaste prijzen.
De details, voor wie meer wil weten
Eén getal in een webadres
SERGIC, een Frans vastgoedbeheerbedrijf, bewaarde documenten van kandidaat-huurders online: identiteitskaarten, belastingaanslagen, bankgegevens, zelfs echtscheidingsvonnissen. Wie een getal in het webadres van een document veranderde, opende het dossier van een andere kandidaat, zonder in te loggen. Het lek was bekend sinds maart 2018 en werd op 17 september 2018 gedicht; tijdens haar controle downloadde de CNIL, de Franse privacytoezichthouder, met een script 9.446 documenten uit een map van 290.870 bestanden (CNIL, 28 mei 2019). De CNIL gaf het bedrijf een boete van € 400.000, en in november 2020 bevestigde de Conseil d'État, de hoogste Franse bestuursrechter, die boete: eenvoudige maatregelen zoals gebruikersauthenticatie hadden het lek voorkomen (Conseil d'État, 4 nov 2020).
Niemand had een wachtwoord nodig, en een login op elk dossier had ze dicht gehouden.
Wat geldt, per markt
Wat u een kandidaat-huurder mag vragen
Alleen de documenten op de lijst in décret n° 2015-1437. De CNIL noemt verboden documenten, waaronder bankafschriften, de carte Vitale (de Franse zorgpas) en een echtscheidingsvonnis, en zegt dat een bezichtiging niet afhankelijk mag zijn van het afgeven van documenten. Vragen om een verboden document kan een bedrijf tot € 15.000 kosten (CNIL, 10 okt 2025).
Hoe lang u huurdersdossiers bewaart
Het referentiekader van de CNIL voor verhuurbeheer: solvabiliteitsdocumenten van kandidaten in principe drie maanden in de actieve database, gegevens van prospects drie jaar na het laatste contact, en langer alleen bij een wettelijke plicht of een reële behoefte in een geschil (CNIL, 6 mei 2021).
Beveiliging en cookies
Hetzelfde referentiekader verwacht een aparte login per gebruiker, TLS, geen identificatienummers in webadressen, een HTTPS-uploadformulier voor de dossiers van kandidaten, geen wachtwoorden afgedrukt op brieven over servicekosten, en toestemming voor cookies die niet strikt noodzakelijk zijn (CNIL, 6 mei 2021).
Eigenaarsportalen van syndics
Volgens artikel 18 van de wet van 10 juli 1965 moet een professionele syndic (de beheerder van een Frans appartementsgebouw) eigenaars beveiligde online toegang bieden tot de documenten van het gebouw, tenzij de algemene vergadering anders beslist (Loi n° 65-557 du 10 juillet 1965, geraadpleegd 8 nov 2026).
Besluiten en uitspraken in deze sector
| Markt | Datum | Wie besliste | Tegen | Uitkomst | Waarom | Bron |
|---|---|---|---|---|---|---|
| FR | mei 2019 | CNIL | SERGIC, een vastgoedbeheerbedrijf (genoemd in de uitspraak van de Conseil d'État van nov. 2020) | € 400.000 en publicatie | Dossiers van kandidaat-huurders (identiteitskaarten, belastingaanslagen, bankgegevens, echtscheidingsvonnissen) te openen door een getal in een webadres te veranderen, zonder login; lek bekend sinds maart 2018, gedicht in september 2018; dossiers van afgewezen kandidaten nooit opgeschoond | CNIL |
| FR | nov. 2020 | Conseil d'État | SERGIC | Beroep verworpen, boete van € 400.000 bevestigd | Het lek had voorkomen kunnen worden met eenvoudige maatregelen zoals gebruikersauthenticatie; het dossier van elke kandidaat in de actieve database bewaren was buitensporig | Conseil d'État |
| FR | jan. 2024 | CNIL | Uitgever van een website met woningadvertenties voor particuliere verkopers (anoniem gehouden in het besluit van de CNIL) | € 100.000 | Wachtwoorden mochten één teken lang zijn en werden in leesbare tekst opgeslagen, voor ongeveer 5 miljoen accounts; gegevens langer bewaard dan de opgegeven termijnen; onvolledige verwerkersovereenkomst en privacyverklaring | CNIL |
| FR | dec. 2024 | CNIL | Een klein makelaarskantoor (door de CNIL anoniem gehouden) | € 40.000 | Personeel gevolgd met camera's die ook geluid opnamen en met software die schermafbeeldingen maakte; één beheerdersaccount met wachtwoord gedeeld door vier mensen; geen effectbeoordeling | CNIL |
| FR | juni 2024 | CNIL (vereenvoudigde procedure) | Een bedrijf gespecialiseerd in vastgoedbeheer (door de CNIL anoniem gehouden) | € 12.000 | Toestemming en informatie over cookies | CNIL |
| FR | dec. 2025 | CNIL (vereenvoudigde procedure) | Een softwarebedrijf voor het beheer van verhuur en mede-eigendom (door de CNIL anoniem gehouden) | € 15.000 en een bevel tot naleving | Rechtsgrond voor marketing, informatie, gegevensbeveiliging | CNIL |
| FR | dec. 2025 | CNIL (vereenvoudigde procedure) | Een publieke organisatie die huurwoningen beheert (door de CNIL anoniem gehouden) | € 20.000 en een bevel tot naleving | Doelbinding, minimalisatie, informatie, recht van bezwaar, gegevensbeveiliging | CNIL |
| FR | juli 2018 | CNIL | Een sociale woningcorporatie (door de CNIL anoniem gehouden) | € 30.000 | Huurdersbestand gebruikt om elke huurder een brief te sturen met een campagne tegen een korting op de huurtoeslag, een doel dat niet verenigbaar is met woningbeheer | CNIL |
| FR | apr. 2017 | CNIL | Een makelaarskantoor (door de CNIL anoniem gehouden) | Geldboete, niet openbaar gemaakt | Bewaartermijnen, informatie, beveiliging en geen antwoord aan de CNIL, over huurders en verhuurders | CNIL |
| FR | juli 2019 | CNIL (controleprogramma) | Ongeveer tien makelaarskantoren, aangesloten bij een netwerk en zelfstandig (niet genoemd) | Herinneringen aan verplichtingen en corrigerende maatregelen | Controles ter plaatse in 2018; terugkerende tekortkomingen bij het informeren van kandidaten en borgstellers, bewaartermijnen, fysieke en IT-beveiliging | CNIL |
| UK | juli 2019 | ICO | Life at Parliament View Ltd (LiFE Residential) | £ 80.000 (Data Protection Act 1998) | Bankafschriften, salarisgegevens en paspoortkopieën van 18.610 huurders en verhuurders onbeschermd van maart 2015 tot februari 2017; anonieme toegang bleef aan staan tijdens een overdracht naar de server van een partner; pas gemeld nadat een hacker contact had opgenomen met de ICO | Wired-Gov |
| UK | apr. 2024 | ICO | Clyde Valley Housing Association | Berisping | Een nieuw klantenportaal toonde bewoners vijf dagen lang de namen, adressen, geboortedata en overlastdossiers van andere bewoners; niet getest vóór de lancering; eerste melding niet opgeschaald | Public Technology |
| NL | mei 2021 | Hoge Raad | Bedrijven in een algemene handelszaak, geen vastgoedzaak | Beroep verworpen; een betaling op een vervalste factuur gold als betaling | De vervalste factuur, met een nieuw bankrekeningnummer, kwam van het echte e-mailadres van het concern van de verkoper, dus de verkoper droeg de schade. Hier opgenomen voor wat ze zegt over het omleiden van huur en borg | Hoge Raad |
Vragen die het stellen waard zijn
Uw antwoorden blijven op deze pagina. Bij elk antwoord ziet u waarom het ertoe doet.
Hoe sturen aanvragers u hun documenten?
Hoe krijgen huurders, eigenaars en kopers uw bankgegevens?
Heeft u een portaal voor huurders of eigenaars, en is de toegang vóór de lancering getest?
Kan een consument op uw site of in uw app een overeenkomst sluiten, en hoe groot bent u?
antwoorden wijzen op iets wat het oplossen waard is.
De volledige zelftest geeft een score voor alle vier de risico's en stelt uw lijst voor de komende 30 dagen op.
Geen juridisch advies. Een advocaat zou drie punten moeten bevestigen. Ten eerste of de European Accessibility Act geldt voor een bepaalde makelaarssite, vooral bij online aanvragen die eindigen met een e-handtekening die per e-mail wordt verstuurd en bij eigenaarsportalen waar huur of servicekosten worden betaald. Ten tweede wie de schade draagt als een huurder, eigenaar of koper op vervalste bankgegevens betaalt, per land: de Nederlandse uitspraak die hier wordt aangehaald is een algemene handelszaak, geen vastgoedzaak. Ten derde eventuele identificatieplichten onder de antiwitwasregels voor makelaars in Frankrijk.