Gegevensbescherming (AVG)

Op grond van artikel 30 van de AVG moeten ieder advocatenkantoor een register van gegevensverwerkingen bijhouden. Dit geldt ook voor advocatenkantoren met minder dan 250 werknemers, omdat er sprake zal zijn van niet-incidentele verwerkingen, zoals het bijhouden van de cliënten-, debiteuren- en crediteurenadministratie. De AVG verplicht u aan te tonen dat u persoonsgegevens rechtmatig, transparant, doelgericht en juist verwerkt, én dat u passende technische en organisatorische maatregelen neemt. In het register legt u vast hoe u dit doet, zodat u bij een verzoek van de Autoriteit Persoonsgegevens direct verantwoording kunt afleggen.

Als u een derde inschakelt die namens u persoonsgegevens verwerkt, bijvoorbeeld van cliënten of werknemers, vereist de AVG een verwerkersovereenkomst. U bent samen met deze verwerker verplicht een aantal onderwerpen te bespreken en schriftelijk vast te leggen. Hieronder vallen bijvoorbeeld de aard en doeleinden van de verwerking, het soort persoonsgegevens dat verwerkt wordt, geheimhoudingsplicht, instructies over de verwerking, beveiligingsmaatregelen, het al dan niet inschakelen van subverwerkers, privacyrechten van betrokkenen, audits/controle en het retourneren en/of verwijderen van persoonsgegevens door de verwerker.

De meldplicht datalekken houdt in dat organisaties, dus ook advocatenkantoren, direct een melding moeten doen bij de Autoriteit Persoonsgegevens zodra zij een ernstig datalek hebben. Soms moet het datalek ook gemeld worden aan de betrokkenen (de mensen van wie de persoonsgegevens zijn gelekt, bijvoorbeeld uw cliënten of werknemers van het advocatenkantoor).

Onder de AVG blijft de meldplicht datalekken grotendeels hetzelfde. De AVG stelt wel strengere eisen aan uw eigen registratie van (mogelijke) datalekken die zich in uw kantoor hebben voorgedaan. Deze registratie is zowel intern als extern gericht. U moet alle datalekken documenteren. Een datalek is elke inbreuk op de beveiliging waarbij persoonsgegevens verloren zijn gegaan, ongeoorloofd zijn gewijzigd, verstrekt of ingezien. Ook verlies of diefstal van een usb-stick valt als datalek te kwalificeren, net als het laten liggen van uw dossier in de trein of het versturen van een e-mail met een concept processtuk (waarin persoonsgegevens zijn opgenomen) naar een verkeerd en dus onbevoegd persoon.

Melding datalek
Een melding van een datalek dient door een daartoe bevoegde vertegenwoordiger van uw advocatenkantoor te worden gedaan bij de Autoriteit Persoonsgegevens via het meldloket datalekken. Dit kan uiteraard ook door uzelf worden gedaan in het geval u als advocaat een eigen praktijk uitoefent.

Als u gebruikmaakt van de diensten van een derde partij die in opdracht en ten behoeve van u persoonsgegevens verwerkt en deze partij net als u als verwerkingsverantwoordelijke kan worden aangemerkt, bent u niet verplicht een verwerkersovereenkomst op te stellen. Dit is bijvoorbeeld het geval als u als arbeidsrechtadvocaat een medisch deskundige opdracht geeft een advies of inhoudelijke beoordeling op te stellen. Of als u als familierechtadvocaat bij een echtscheiding aan een andere advocaat vraagt ter controle een nieuwe alimentatieberekening te maken. In zulke gevallen is de partij aan wie u persoonsgegevens verstrekt in het kader van deze opdracht ook een verwerkingsverantwoordelijke, want diegene bepaalt zelf de doelen en middelen op basis waarvan de verwerking plaatsvindt. Vervolgens stuurt die partij weer persoonsgegevens, eventueel met aanvullingen of aanpassingen, terug aan u voor de verdere behandeling van uw dossier. Het is dan raadzaam om met deze partij aanvullende afspraken te maken over de eenzijdige verstrekking van persoonsgegevens dan wel uitwisseling daarvan.

Met een privacystatement maakt u inzichtelijk dat u uitvoering geeft aan de in de AVG neergelegde informatieplicht aan diegenen van wie u persoonsgegevens verwerkt. Met de publicatie op uw website van uw privacystatement, de verwijzing daarnaar in uw algemene voorwaarden en in uw opdrachtbevestigingen en eventuele andere overeenkomsten, bent u transparant naar uw cliënten en andere derde partijen over hoe en welke persoonsgegevens u verwerkt en hoelang deze worden bewaard.