Een advocatenkantoor moet persoonsgegevens rechtmatig, zorgvuldig en veilig verwerken én de vertrouwelijkheid van de beroepsuitoefening beschermen. Het beroepsgeheim zet de AVG niet buiten werking. Het beïnvloedt wel welke informatie aan derden kan worden verstrekt en hoe verzoeken, leveranciers en dossierbeheer moeten worden beoordeeld. Een bruikbaar kantoorbeleid verbindt daarom de behandeling van zaken met concrete afspraken over toegang, bewaartermijnen, communicatie en besluitvorming.
Deze gids is gecontroleerd op 28 september 2026 en richt zich op de Nederlandse advocatenpraktijk. De belangrijkste scheiding loopt tussen het inhoudelijke dossier, de financiële administratie, personeelsgegevens en overige kantooractiviteiten. Die gegevens kunnen verschillende doelen, rechtsgronden en termijnen hebben. Eén privacyverklaring of één bewaartermijn voor alle documenten geeft onvoldoende inzicht in wat het kantoor daadwerkelijk doet en waarom.
De advocaat is bij zelfstandige zaakbehandeling meestal verantwoordelijke
Bij juridische vertegenwoordiging bepaalt de advocaat doorgaans zelfstandig welke informatie nodig is en hoe deze wordt gebruikt. De cliënt geeft een opdracht, maar schrijft daarmee niet iedere verwerking voor. De EDPB-richtsnoeren 07/2020, versie 2.1 gebruiken een advocatenkantoor dat een cliënt in een geschil vertegenwoordigt als voorbeeld van een verwerkingsverantwoordelijke. De professionele onafhankelijkheid is daarbij een belangrijk feitelijk element.
Dit betekent niet dat elke activiteit van iedere juridische dienstverlener automatisch dezelfde kwalificatie krijgt. Een partij die uitsluitend op instructie bestanden converteert of transcripties maakt, kan verwerker zijn. Bij samenwerking tussen kantoren moet u beoordelen wie over welke verwerking beslist. De gids over verantwoordelijke en verwerker helpt om zelfstandige dienstverlening, verwerking in opdracht en eventuele gezamenlijke verantwoordelijkheid van elkaar te onderscheiden.
Weiger daarom niet gedachteloos ieder verzoek om gegevensbeschermingsafspraken, maar kies afspraken die bij de feiten passen. Een ondernemingscliënt kan behoefte hebben aan duidelijkheid over beveiliging en communicatie zonder dat een verwerkersovereenkomst de juiste vorm is. Leg de rollen en verantwoordelijkheden uit. Voor eigen leveranciers die wel in opdracht verwerken, blijft het kantoor zelf verantwoordelijk voor selectie, afbakening en passende contractuele of wettelijke waarborgen.
Rechtsgronden per persoon en doel vastleggen
Voor de verwerking is een grondslag uit artikel 6 AVG nodig. Uitvoering van een overeenkomst kan relevant zijn wanneer de betrokkene zelf partij is en de verwerking noodzakelijk is voor die overeenkomst. Een opdracht van een rechtspersoon geeft echter niet automatisch die grondslag voor persoonsgegevens van al diens werknemers, getuigen of wederpartijen. Beoordeel voor die personen bijvoorbeeld de toepasselijke wettelijke verplichting of het gerechtvaardigde belang, met de vereiste noodzakelijkheid en belangenafweging.
Toestemming van de cliënt is geen algemene oplossing voor gegevens van anderen. De cliënt kan niet namens een wederpartij elke verwerking toestaan. Ook een ruime opdrachtbevestiging verandert de grenzen van noodzakelijkheid niet. Beschrijf welke gegevens voor de zaak nodig zijn en beperk het verzamelen van informatie die slechts mogelijk interessant zou kunnen zijn. Voor de onderliggende beoordeling biedt het overzicht van AVG-rechtsgronden een bruikbaar vertrekpunt.
Houd eigen kantoorprocessen apart. Facturatie, belangenconflictcontroles, personeelsbeheer en nieuwsbrieven dienen niet vanzelf hetzelfde doel als procesvoering. Noteer wie toegang nodig heeft en hoe lang de relevante gegevens beschikbaar blijven. Een naam die voor een beperkte conflictcontrole wordt bewaard, rechtvaardigt bijvoorbeeld niet zonder meer behoud van een volledig oud dossier. Het verschil moet terugkomen in de systemen, zodat een beperkte bewaarkeuze ook technisch beperkt blijft.
Bijzondere en strafrechtelijke gegevens vragen verschillende toetsen
Medische informatie, politieke overtuiging of andere bijzondere categorieën vallen onder artikel 9 AVG. Bij juridische geschillen kan artikel 9, lid 2, onder f, relevant zijn voor noodzakelijke verwerking ten behoeve van de instelling, uitoefening of onderbouwing van een rechtsvordering. Die uitzondering is geen toestemming om alle gevoelige informatie van een cliënt te verzamelen. Beoordeel het verband met de concrete aanspraak en beperk de gegevens tot wat daarvoor nodig is.
Gegevens over strafrechtelijke veroordelingen en strafbare feiten hebben een afzonderlijk regime onder artikel 10. In Nederland is onder meer artikel 32, onder d, UAVG relevant voor noodzakelijke verwerking voor een rechtsvordering. De Verzamelwet gegevensbescherming, Staatsblad 2026, 154 heeft onder andere de formulering van artikel 32 aangepast. De betrokken wijziging geldt sinds 1 september 2026 volgens het inwerkingtredingsbesluit. Artikel 9, lid 2, onder f, mag dus niet als enige verklaring voor strafrechtelijke gegevens worden gebruikt.
Maak deze keuzes herkenbaar in het dossierbeheer. Een letselschadedossier kan medische stukken bevatten, een arbeidszaak zowel gezondheidsinformatie als beschuldigingen van strafbare feiten. Eén algemeen vinkje “gevoelige gegevens” verbergt dan verschillende voorwaarden. Leg vast waarom de informatie nodig is en beperk de toegang. De toelichting op bijzondere persoonsgegevens en de Nederlandse UAVG helpt de Europese hoofdregel en nationale aanvullingen uit elkaar te houden.
Beroepsgeheim en verschoningsrecht zorgvuldig toepassen
De geheimhoudingsplicht is verankerd in artikel 11a Advocatenwet. Zij betreft informatie waarvan de advocaat in zijn beroepsuitoefening als zodanig kennisneemt en strekt zich ook uit tot betrokken medewerkers en andere bij de beroepsuitoefening betrokken personen. De plicht blijft na beëindiging van de werkzaamheden bestaan. De NOvA-uitleg over vertrouwelijkheid onderscheidt deze plicht van het verschoningsrecht dat de vertrouwelijke rechtsbijstand beschermt.
Let op de hoedanigheid waarin iemand optreedt. Niet elke activiteit van een persoon die ook advocaat is, heeft zonder meer dezelfde bescherming als optreden als advocaat. Ook de vermelding van een advocaat in de cc maakt een document niet automatisch vertrouwelijk onder het beroepsgeheim. De actuele toelichting bij gedragsregel 3 vraagt aandacht voor die context. Maak bij bijzondere opdrachten duidelijk welke rol het kantoor vervult.
Binnen het kantoor vereist vertrouwelijkheid meer dan een geheimhoudingsbeding. Beperk dossierinzage tot personen die deze voor hun taak nodig hebben. Scheid administratieve toegang van toegang tot processtrategie of medische bijlagen. Regel vervanging bij afwezigheid zonder algemene toegang voor alle medewerkers te geven. Leg ook vast hoe stagiairs, tijdelijke ondersteuning en externe beheerders worden geïnstrueerd en hoe hun toegang na afloop daadwerkelijk wordt ingetrokken.
Een inzageverzoek is geen automatisch recht op het hele dossier
Artikel 15 AVG geeft recht op inzage in persoonsgegevens en de bijbehorende informatie. Het is niet hetzelfde als een onbeperkte aanspraak op iedere volledige dossiermap. Wel kunnen documenten of delen daarvan nodig zijn om de persoonsgegevens begrijpelijk en getrouw te verstrekken. Beoordeel daarom welke gegevens de verzoeker betreffen en welke context nodig is. Het etiket “interne notitie” sluit persoonsgegevens niet automatisch van inzage uit.
Artikel 15, lid 4, beschermt de rechten en vrijheden van anderen. Daarnaast kan artikel 41 UAVG onder zijn voorwaarden een beperking rechtvaardigen, voor zover die noodzakelijk en evenredig is ter bescherming van een genoemd belang. Denk aan gerechtelijke procedures of de rechten en vrijheden van anderen. De oorspronkelijke wettelijke tekst van artikel 41 is op dit punt niet gewijzigd door de Verzamelwet van 2026. De bepaling is geen algemene vrijstelling voor alle advocatendossiers.
Stel dat een wederpartij inzage vraagt in zijn persoonsgegevens. Onderzoek welke gegevens aanwezig zijn, wat onder beschermde vertrouwelijkheid valt en of een gedeeltelijke verstrekking met afscherming mogelijk is. Leg per beperking het belang en de noodzakelijkheid vast. De enkele mededeling “u bent de wederpartij” is geen volledige beoordeling. Anderzijds hoeft het kantoor via een AVG-verzoek niet zonder afweging vertrouwelijke processtrategie van de cliënt prijs te geven.
Richt een vaste procedure in voor inzageverzoeken. Controleer identiteit evenredig, laat een bevoegde behandelaar de inhoud beoordelen en verstrek gegevens veilig. Als het kantoor geen gevolg geeft aan het verzoek, verlangt artikel 12, lid 4, zonder vertraging en uiterlijk binnen één maand een gemotiveerde reactie met informatie over klacht en rechterlijke voorziening. Als ook informatie over de beperking moet worden begrensd, vraagt dat een eigen wettelijke en proportionele onderbouwing.
Informeren zonder vertrouwelijke belangen onnodig te schaden
Een begrijpelijke privacyverklaring legt de gebruikelijke kantoorverwerkingen uit, maar is niet het volledige transparantieproces. Bij gegevens die rechtstreeks worden verkregen, geldt artikel 13; bij gegevens uit andere bronnen is artikel 14 relevant. Voor die laatste situatie bevat artikel 14, lid 5, onder d, een uitzondering waar gegevens vertrouwelijk moeten blijven uit hoofde van een wettelijk geregelde beroepsgeheimhoudingsplicht. Beoordeel de voorwaarden en de concrete informatie, in plaats van elke derde automatisch buiten de informatieplicht te plaatsen.
Een cliënt ontvangt doorgaans informatie bij de aanvang van de opdracht. Voor websitebezoekers, sollicitanten en nieuwsbriefontvangers kunnen andere uitleg en contactmomenten nodig zijn. Beschrijf ook relevante ontvangerscategorieën en eventuele doorgiften. Gebruik geen onbeperkte toestemming voor toekomstige kantooractiviteiten als vervanging van deze informatie. Een cliënt moet kunnen begrijpen welk gebruik nodig is voor de opdracht en welk ander gebruik afzonderlijk wordt beoordeeld.
Maak uitzonderingsbeslissingen vindbaar voor degenen die verzoeken behandelen. Een medewerker moet niet bij elk bericht opnieuw uitzoeken of informatie mag worden verstrekt. Een korte vastlegging kan het betrokken belang, de wettelijke bepaling, de afweging en een herbeoordelingsmoment bevatten. Bewaar daarin niet meer vertrouwelijke details dan nodig. Zo blijft de beslissing controleerbaar zonder een tweede, onnodig breed dossier over de verzoeker aan te leggen.
Dossierbewaring: verjaring is geen universele bewaarplicht
De NOvA-pagina over afsluiten en archiveren, bijgewerkt op 28 juli 2026, verwijst naar verschillende algemene regels. Artikel 7:412 BW kent een vijfjarige verjaring voor de vordering tot afgifte van ontvangen stukken, gerekend vanaf de dag na beëindiging van de bemoeienis. Voor administratieve gegevens geldt in beginsel zeven jaar. Voor beroepsaansprakelijkheid kunnen andere verjaringstermijnen relevant zijn. Deze regels hebben verschillende onderwerpen en startmomenten.
Een mogelijke twintigjarige verjaringstermijn voor schadevorderingen is geen automatische verplichting om ieder document twintig jaar te bewaren. Beoordeel welke stukken nodig zijn voor een concrete bewaarplicht, verantwoording of rechtsvordering en welke informatie eerder kan worden verwijderd. De regels over AVG-bewaartermijnen blijven relevant. Documenteer uw keuze per categorie en vermeld het startmoment, bijvoorbeeld afronding van de werkzaamheden of een administratief boekjaar, afhankelijk van de toepasselijke regel.
De Wwft vraagt een afzonderlijke beoordeling. Niet alle diensten van een advocaat vallen daaronder; de aard van de dienstverlening en de wettelijke procesvrijstelling zijn relevant. Waar de wet wel geldt, hebben onder meer artikelen 33 en 34 specifieke voorschriften voor het bewaren van gegevens over cliëntenonderzoek en meldingen. De toelichting bij artikel 6.5 van de Verordening op de advocatuur benadrukt deze afbakening. Gebruik een Wwft-verwijzing dus niet als algemene termijn voor het volledige procesdossier.
Afsluiten en vernietigen als vast werkproces
Plan bij afsluiting welke stukken aan de cliënt teruggaan, welke originelen moeten blijven en welke kopieën overbodig zijn. Breng administratieve en inhoudelijke onderdelen waar nodig onder verschillende bewaarbeperkingen. Informeer de cliënt over de relevante werkwijze en zorg dat een vertrek of praktijkbeëindiging die afspraken niet onuitvoerbaar maakt. Een digitaal archief moet gedurende de noodzakelijke bewaring leesbaar, toegankelijk voor bevoegden en beschermd tegen ongeoorloofde toegang blijven.
Een lopend geschil of concreet aangekondigde claim kan aanleiding geven om relevante informatie tijdelijk van reguliere vernietiging uit te zonderen. Beschrijf dan de reden, de betreffende stukken en wie het einde van de uitzondering beoordeelt. Dit is geen grond om alle archieven stilzwijgend permanent te bewaren. Beperk ook gedurende die periode de toegang en voorkom nieuw gebruik voor onverenigbare doeleinden. Een bewijsfunctie maakt een oud dossier geen algemene informatiebron voor nieuwe zaken.
Neem mailboxen, gedeelde mappen, lokale downloads en back-ups mee. Als een dossier in het hoofdsysteem is verwijderd maar als export bij meerdere medewerkers staat, is de uitvoering onvolledig. Technische back-ups kunnen een ander verwijderproces hebben; regel beperkte beschikbaarheid, een uitvoerbare cyclus en wat bij herstel gebeurt. Bewaar een passend bewijs van vernietiging zonder de vernietigde inhoud opnieuw in een controlebestand op te nemen.
Cloud en verwerkers beoordelen op de echte toegang
Een clouddienst is niet automatisch ongeschikt voor advocaten, maar vraagt een beoordeling van vertrouwelijkheid, toegang en controle. Onderzoek wie beheerrechten heeft, hoe ondersteuning verloopt, welke subverwerkers worden gebruikt en wat bij beëindiging gebeurt. Voor verwerking in opdracht is een schriftelijke, eventueel elektronische overeenkomst of andere bindende rechtshandeling krachtens Unierecht of lidstatelijk recht nodig. De artikel 28-gids behandelt de verplichte onderwerpen.
Een opslaglocatie binnen de EER sluit toegang vanuit derde landen niet vanzelf uit. Beoordeel de daadwerkelijke ontvangers en toegangswegen, en zo nodig de regels voor internationale doorgifte. Vraag ook wie sleutels beheert en of medewerkers van de aanbieder leesbare dossierinhoud kunnen bereiken. Versleuteling is nuttig, maar haar beschermingswaarde hangt af van het gebruik en de toegang tot sleutels; het woord alleen is geen volledige risicoanalyse.
Test vóór ingebruikname een export en een realistische afsluiting. Het kantoor moet dossiers kunnen terugkrijgen in een bruikbare structuur, inclusief noodzakelijke bijlagen en context. Leg ondersteuning bij inzage, correctie en verwijdering concreet vast. Vergelijk dienstverlening op deze mogelijkheden in plaats van alleen op opslagruimte of prijs. Ook bij een kleine praktijk kan een onbruikbare export de continuïteit van rechtsbijstand ernstig bemoeilijken.
Beveiliging en datalekken aansluiten op de advocatenpraktijk
Artikel 32 AVG verlangt passende maatregelen op basis van risico. De wet schrijft niet voor ieder kantoor één identieke technische set voor. Sterke authenticatie, beperkt beheer, veilige communicatie, versleuteling waar passend en gecontroleerd herstel verdienen bij vertrouwelijke dossiers wel bijzondere aandacht. Laat de beveiligingsmaatregelen aansluiten op concrete scenario’s, zoals een verkeerd geadresseerde e-mail, gestolen laptop of onbevoegd hergebruik van een gedeelde link.
Bij een persoonsgegevenslek beoordeelt het kantoor de gevolgen voor betrokkenen en de relevante geheimhoudingsbelangen. Melding aan de AP gebeurt zonder onredelijke vertraging en waar mogelijk binnen 72 uur na kennisname, tenzij het lek waarschijnlijk geen risico oplevert. Een latere melding moet worden gemotiveerd. Documenteer ieder persoonsgegevenslek en beoordeel afzonderlijk of hoog risico communicatie aan betrokkenen verlangt. Een eventuele wettelijke beperking vraagt een concrete grond; beroepsgeheim is geen reden om incidentbeoordeling over te slaan.
Maak de procedure voor datalekken melden bij de AP bereikbaar voor alle medewerkers. Een fout moet direct bij iemand terechtkomen die maatregelen kan nemen. Beperk verdere verspreiding, bewaar relevante feiten en stem communicatie zorgvuldig af. Een verwijderverzoek aan een verkeerde ontvanger kan nuttig zijn, maar zijn toezegging is niet altijd voldoende bewijs dat ieder risico is verdwenen. Beoordeel ook welke informatie hij kon inzien.
Register, verantwoordelijken en dagelijkse controle
Een klein kantoor heeft niet automatisch vrijstelling van een verwerkingsregister. Artikel 30, lid 5, sluit de uitzondering voor organisaties onder 250 personen onder meer uit voor niet-incidentele verwerking, verwerking die waarschijnlijk risico oplevert en verwerking van bijzondere of strafrechtelijke gegevens. Doorlopende dossierbehandeling valt dus niet vanzelf buiten de plicht. Beschrijf in het register van verwerkingsactiviteiten de afzonderlijke processen en verbind deze met de daadwerkelijke systemen.
Een FG is niet voor ieder kantoor verplicht. Artikel 37 noemt onder meer kerntaken met grootschalige regelmatige en stelselmatige observatie of grootschalige verwerking van bijzondere dan wel strafrechtelijke gegevens. Overweging 91 beschouwt verwerking door een individuele advocaat niet als grootschalig, maar dat is geen algemene vrijstelling voor alle kantoren. Beoordeel omvang en activiteiten; de gids over verplichte FG-aanwijzing helpt daarbij. Zonder FG blijft een duidelijke interne taakverdeling nodig.
Controleer periodiek enkele echte werkprocessen: kan een vertrokken medewerker nog inloggen, wordt een gesloten dossier volgens de vastgelegde keuze behandeld en werkt de contactroute voor verzoeken? Vergelijk bij samenwerking met accountantskantoren de eigen professionele rollen en bewaarplichten. Gedeelde cliënten maken die verplichtingen niet identiek. Gebruik bevindingen om afspraken en inrichting gericht te verbeteren, zonder onnodig nieuwe kopieën van vertrouwelijke dossiers voor de controle te verzamelen.