De AVG in het advocatenkantoor: register, informatie, verzoeken en datalekken

Het essentiële

• Altijd een register. Elk kantoor houdt een schriftelijk register van zijn verwerkingsactiviteiten bij (art. 30 AVG). De vrijstelling voor organisaties met minder dan 250 personen geldt niet: de verwerkingen van een kantoor zijn niet incidenteel en betreffen gevoelige en strafrechtelijke gegevens.
• Informeren bij de intake. Cliënten krijgen een privacyverklaring bij de verzameling, samen met de ereloonovereenkomst (art. 13). Tegenpartijen en andere derden vallen onder art. 14 en de uitzonderingen die met het beroepsgeheim samenhangen.
• Antwoorden binnen een maand. Een inzageverzoek of een verzoek over een ander recht krijgt uiterlijk een maand na ontvangst een antwoord, met een mogelijke verlenging van twee maanden (art. 12.3).
• 72 uur voor een datalek. Een datalek wordt binnen 72 uur, weekend inbegrepen, aan de GBA gemeld, tenzij het waarschijnlijk geen risico inhoudt (art. 33). Elk datalek komt in het datalekregister.
• AI vraagt een beoordeling. Vóór het gebruik van een generatieve AI-tool op dossiers is in de praktijk een effectbeoordeling nodig.

Het register van verwerkingsactiviteiten vertrekt van de gebruikelijke verwerkingen van een kantoor, vooraf ingevuld met rechtsgrond en bron.

Het register van verwerkingsactiviteiten

Het register vermeldt de verwerkingsverantwoordelijke en zijn contactgegevens, de doeleinden, de categorieën van betrokkenen en gegevens, de ontvangers, de doorgiften buiten de Europese Economische Ruimte, de bewaartermijnen en een beschrijving van de beveiligingsmaatregelen (art. 30.1). Het wordt schriftelijk bijgehouden, ook in elektronische vorm, en op verzoek aan de GBA bezorgd.

Voor een kantoor zijn de typische activiteiten de cliëntendossiers, de tegenpartijen en derden in de dossiers, de intake en de controle op belangenconflicten, de witwaspreventie, de facturatie en de boekhouding, het personeel, de website en de IT. Naargelang het geval komen daarbij de nieuwsbrief, de camerabewaking, de AI-tools, de juridische tweedelijnsbijstand of de opdrachten als curator en bemiddelaar.

Twee Belgische regels vullen de AVG aan. Voor gezondheidsgegevens en strafrechtelijke gegevens houdt het kantoor een lijst bij van de categorieën van personen die er toegang toe hebben, met hun functie en de grondslag van hun geheimhouding (wet van 30 juli 2018, art. 9 en 10, § 2). En advocaten mogen strafrechtelijke gegevens verwerken voor zover de verdediging van hun cliënten dat vereist (art. 10, § 1, 2°).

Elke bewaartermijn heeft zijn bron. Het cliëntendossier wordt vijf jaar na het einde van de opdracht bewaard: het oud Burgerlijk Wetboek ontslaat de advocaat dan van zijn aansprakelijkheid en van de bewaring van de stukken (art. 2276bis). Gegevens voor de witwaspreventie worden tien jaar na het einde van de zakelijke relatie bewaard en daarna gewist (wet van 18 september 2017, art. 60 en 62). De boekhouding wordt zeven jaar bewaard (Wetboek van economisch recht, art. III.86 en III.88), camerabeelden hoogstens een maand. Voor aanwerving, logs of het contactformulier werd geen wettelijke regel gevonden: het kantoor legt de termijn vast en noteert hem.

Cliënten en derden informeren

De cliënt wordt geïnformeerd bij de verzameling, dus bij de intake (art. 13): identiteit van het kantoor, contact voor gegevensbescherming, doeleinden en rechtsgronden, ontvangers, doorgiften, bewaring, rechten en klacht bij de GBA. Voor een kantoor dat dossiers onder de antiwitwaswet behandelt, bevat de verklaring ook de algemene verwittiging die vóór de zakelijke relatie verschuldigd is (wet van 18 september 2017, art. 64, § 3) en vermeldt ze dat de rechten voor die verwerkingen beperkt zijn (art. 65). Bewaar het bewijs: een clausule in de ereloonovereenkomst verwijst naar de bijgevoegde verklaring en haar versie.

Voor tegenpartijen en andere personen in een dossier geldt art. 14. Het kantoor informeert hen niet individueel wanneer een wet in het verkrijgen van de gegevens voorziet of wanneer de gegevens vertrouwelijk moeten blijven op grond van het beroepsgeheim (art. 14.5.c en d); een verklaring op de website maakt de informatie dan openbaar. De OVB raadt verklaringen per publiek aan, met een verwijzing vanaf elke pagina van de website. Het beroepsgeheim staat sinds 1 september 2026 in art. 352 van het nieuwe Strafwetboek (voorheen art. 458).

De privacyverklaringen worden opgebouwd uit uw antwoorden, voor cliënten, derden en de website, in de taal van uw keuze.

Verzoeken van betrokkenen beantwoorden

De termijn loopt vanaf de dag waarop het verzoek het kantoor bereikt, ook als nog niemand het gelezen heeft. Hij wordt berekend volgens verordening 1182/71: de dag van ontvangst telt niet mee, de termijn loopt af op dezelfde datum van de volgende maand of anders op de laatste dag van de maand, en een laatste dag op een zaterdag, een zondag of een Belgische wettelijke feestdag schuift naar de volgende werkdag. Een verzoek ontvangen op zaterdag 31 januari 2026 krijgt dus uiterlijk op maandag 2 maart 2026 een antwoord.

Drie regels komen vaak terug. Twijfel over de identiteit laat toe informatie te vragen, nooit te weigeren zonder te vragen (art. 12.6). De eerste kopie is gratis, ook als het verzoek een geschil dient (HvJ EU, C-307/22). En het beroepsgeheim kan niet worden tegengeworpen aan een cliënt die zijn eigen gegevens vraagt. Voor een tegenpartij aanvaardt de OVB een weigering voor gegevens die van de cliënt komen, zonder te bevestigen dat ze bestaan; er werd geen beslissing van de GBA over dit geval gevonden, het blijft een beslissing van de advocaat. Voor antiwitwasdossiers zijn de rechten wettelijk volledig beperkt.

De verzoeken van betrokkenen geven de termijn, elke stap van de berekening en de antwoordbrieven.

Datalekken: 72 uur

De 72 uur lopen vanaf het ogenblik waarop het kantoor redelijke zekerheid heeft dat persoonsgegevens getroffen zijn. Ze omvatten weekends en feestdagen, zonder verschuiving naar de volgende werkdag, en worden in echte uren geteld, ook tijdens de overgang van zomer- naar winteruur. Het verlies van de vertrouwelijkheid van gegevens onder het beroepsgeheim is schade die de AVG uitdrukkelijk vermeldt: het verlies van een niet-versleutelde laptop met dossiers leidt in principe tot een melding en tot de informatie van de cliënten. Een sterk versleuteld toestel waarvan de sleutel veilig bleef, vraagt in principe alleen een fiche in het register.

Het formulier van de GBA heeft twee delen: deel 1 binnen 72 uur, ook zonder ondernemingsaccount, en deel 2 binnen 21 kalenderdagen. De tool datalek berekent het einde van de 72 uur, stelt een risiconiveau voor en bereidt de registerfiche en de ontwerpen van melding voor.

AI-tools en de effectbeoordeling

Elke AI-tool die op dossiers wordt gebruikt, is een activiteit in het register, met leverancier, hosting en bewaarinstellingen, en de privacyverklaring vermeldt hem. Generatieve AI geldt als innovatief gebruik; op gevoelige gegevens verenigt ze doorgaans twee criteria van de WP248-lijst die de GBA toepast, wat een effectbeoordeling vraagt. De effectbeoordeling van een AI-tool bereidt dat document voor.

Een functionaris voor gegevensbescherming is in principe niet verplicht voor een advocaat alleen of een klein of middelgroot kantoor: overweging 91 AVG verduidelijkt dat de gegevens van cliënten van een individuele advocaat niet op grote schaal worden verwerkt.

Wat beslissing 99/2026 leert

Op 8 mei 2026 deed de Geschillenkamer van de GBA uitspraak over een advocatenkantoor. Ze stelde vast dat het kantoor zijn cliënten nooit had geïnformeerd en dat zijn ereloonovereenkomst geen clausule over gegevens bevatte. Ze stelde ook vast dat het inzageverzoek van een voormalige cliënte was afgewezen wegens een „niet bewezen” identiteit zonder om een bewijs te vragen, dat kosten waren gevraagd voor een verzoek dat niet onrechtmatig was, en dat het beroepsgeheim was ingeroepen tegen de cliënte zelf. Het kantoor moest het verzoek binnen een maand beantwoorden. De tools van Normalex trekken er de lessen uit: een verklaring bij de intake met haar versie, een verzoek om identificatie vóór elke weigering, een gratis eerste kopie en de herinnering dat het beroepsgeheim de cliënt beschermt.

Bronnen

• Verordening (EU) 2016/679 (AVG), art. 5, 9, 10, 12 tot 22, 30, 33 tot 35. Gecontroleerd op 7 oktober 2026.
• Verordening 1182/71 houdende vaststelling van de regels die van toepassing zijn op termijnen, art. 3. Gecontroleerd op 7 oktober 2026.
• Wet van 30 juli 2018, art. 9, 10 en 10/2; wet van 18 september 2017, art. 60 tot 65; oud Burgerlijk Wetboek, art. 2276bis. Gecontroleerd op 7 oktober 2026.
• GBA, beslissing 99/2026 van 8 mei 2026; handleiding melding van een datalek, v2.0; modelregister. Gecontroleerd op 7 oktober 2026.
• EDPB, richtsnoeren 01/2022 over het recht van inzage en 9/2022 over de melding van datalekken; HvJ EU, C-307/22 van 26 oktober 2023. Gecontroleerd op 7 oktober 2026.
• OVB, GDPR-wijzer: register, rechten van betrokkenen, informatieverplichting en beroepsgeheim, datalekken. Gecontroleerd op 7 oktober 2026.
• FOD Justitie, nieuw Strafwetboek in werking op 1 september 2026. Gecontroleerd op 7 oktober 2026.