Welke GDPR-verplichtingen heeft een advocaat tegenover zijn cliënten?

De Gegevensbeschermingsautoriteit veroordeelde op 8 mei 2026, in haar beslissing nr. 99/2026, een advocatenkantoor tot een totale geldboete van 4.920 euro wegens twee inbreuken op de Algemene Verordening Gegevensbescherming (AVG/GDPR). Het kantoor had zijn cliënten nooit geïnformeerd over de verwerking van hun persoonsgegevens en had hun verzoek om inzage op onrechtmatige gronden afgewezen. De beslissing zet de puntjes op de i: het beroepsgeheim dient om de cliënt te beschermen, maar het ontslaat de advocaat niet van zijn AVG-verplichtingen tegenover diezelfde cliënt.

De feiten

De klagers zijn een moeder en haar minderjarige dochter. De moeder was van november 2019 tot februari 2020 cliënt van het advocatenkantoor; sindsdien stond er een onbetaalde factuur van ongeveer 3.800 euro open.

Op 20 januari 2023 dienden zij bij hun voormalige raadsman een verzoek om inzage in op grond van art. 15 AVG. Het verzoek had betrekking op de persoonsgegevens van de moeder, de dochter en de echtgenoot, en omvatte algemene informatie over de verwerking, een toelichting bij het ontbreken van een privacybeleid op de website, de niet-vertrouwelijke delen van het verwerkingsregister en informatie over de beveiligingsmaatregelen en de rechtsgrond van de verwerking.

Het verzoek werd drie keer herhaald — op 23 februari, 15 maart en 3 april 2023. Het kantoor antwoordde telkens gedeeltelijk. In zijn eerste twee antwoorden beriep het zich op twijfels over de identiteit van de moeder. In zijn derde antwoord vroeg het 135 euro op grond van art. 12.5.a) AVG, omdat het verzoek volgens hem “kennelijk ongegrond of buitensporig” zou zijn. Daarnaast voerde het kantoor aan dat zijn website een statische HTML-pagina was zonder enige verwerking, dat de AVG inherent zou zijn aan het statuut van advocaat en dat het beroepsgeheim zich tegen de gevraagde communicatie verzette.

Op 5 juni 2024 dienden de klagers klacht in bij de GBA.

De beslissing

De Geschillenkamer van de GBA stelt twee afzonderlijke inbreuken vast en legt voor elk een eigen geldboete op. Zij oordeelt dat het gaat om onderscheiden gedragingen — een algemene informatieplicht enerzijds en een individueel inzagerecht anderzijds — die elk een eigen sanctie verdienen.

Inbreuk op het transparantiebeginsel (art. 5.1.a), 12 en 13 AVG)

Het advocatenkantoor toont niet aan dat het de klagers bij de verzameling van hun persoonsgegevens naar behoren heeft geïnformeerd. De toenmalige cliëntovereenkomst bevatte geen enkele bepaling over de verwerking van persoonsgegevens, en het kantoor verklaarde de meerwaarde niet te zien van een document dat zijn AVG-naleving bevestigt: die naleving zou — naar zijn mening — inherent zijn aan het statuut van advocaat en het beroepsgeheim.

De Geschillenkamer verwerpt dat standpunt. Het transparantiebeginsel is een fundamentele pijler van de AVG: betrokkenen moeten weten dat hun gegevens worden verwerkt en welke verwerkingen plaatsvinden, zodat zij hun rechten kunnen uitoefenen. Een advocatenkantoor ontsnapt niet aan deze plicht. Dat het kantoor zijn modelcontracten inmiddels heeft aangepast en daarin AVG-bepalingen heeft opgenomen, beëindigt weliswaar de inbreuk maar verandert niets aan de vaststelling ervan.

Inbreuk op het recht van inzage (art. 12.2, 12.4 en 15 AVG)

De Geschillenkamer ontleedt de vier weigeringsgronden waarop het kantoor zich beriep en verwerpt ze alle.

De identiteitstwijfel. Art. 12.6 AVG laat de verwerkingsverantwoordelijke toe om bij gerede twijfel aanvullende informatie te vragen om de identiteit van de verzoeker te verifiëren. Het laat hem niet toe om het verzoek om die reden zonder meer af te wijzen. Het kantoor had de moeder nooit gevraagd welke documenten zij kon aanleveren, hoewel zij daar uitdrukkelijk om verzocht. De facilitatieplicht van art. 12.2 AVG vereist een proactieve houding, niet een afwerende.

De gegevens van derden. Voor de echtgenoot weigerde het kantoor terecht — de moeder had geen volmacht voorgelegd en kon geen inzage vragen in gegevens die uitsluitend op een derde betrekking hebben. Voor de minderjarige dochter ligt het anders. Het kantoor wist dat het ging om de dochter van zijn voormalige cliënt en kon niet onwetend zijn over de band tussen beide. De moeder oefende, samen met haar echtgenoot, het ouderlijk gezag uit en was bevoegd om in die hoedanigheid inzage te vragen.

Het beroep op art. 12.5.a) AVG. Wie zich op de uitzondering “kennelijk ongegrond of buitensporig” beroept, draagt de bewijslast en moet de strikt geïnterpreteerde voorwaarden hard maken. Het kantoor argumenteerde dat de herhaalde verzoeken een repetitief karakter vertoonden, maar de Geschillenkamer ziet hierin geen meerdere zelfstandige verzoeken — wel één en hetzelfde verzoek dat noodgedwongen werd herhaald omdat het kantoor het niet behandelde. De herhaling is dus geen aanwijzing van misbruik, maar het gevolg van de onrechtmatige weigeringen zelf.

Het beroepsgeheim. De Geschillenkamer wijst dit argument pertinent af: het beroepsgeheim beschermt de cliënt door de advocaat te verplichten diens vertrouwelijke informatie niet aan derden te onthullen. Wanneer de cliënt zelf inzage vraagt in zijn eigen persoonsgegevens, is van een derde geen sprake en mist het argument elke grondslag.

Geldboeten en bevel

De Geschillenkamer volgt voor de berekening de methodologie uit de Richtsnoeren 04/2022 van de EDPB. Het wettelijk maximum is dat van art. 83.5 AVG (20 miljoen euro of 4% van de wereldwijde jaaromzet). De jaaromzet van het kantoor bedroeg in 2024 406.909,53 euro. Beide inbreuken worden gekwalificeerd als van geringe ernst, maar het advocatenkantoor wordt geacht over een grondige rechtskennis te beschikken en verwerkte gezondheidsgegevens van de minderjarige dochter. Na proportionele aanpassing aan de bescheiden omzet en een verzachtende omstandigheid van 30% voor inbreuk 1 (wegens de gewijzigde modelcontracten) komt de Geschillenkamer uit op een geldboete van 2.520 euro voor inbreuk 1 en 2.400 euro voor inbreuk 2.

Daarnaast beveelt zij het kantoor om binnen één maand alsnog gevolg te geven aan het verzoek om inzage van de klagers.

Juridische analyse en duiding

Beroepsgeheim en AVG zijn complementair, niet substitueerbaar

De redenering dat naleving van de AVG “inherent” zou zijn aan het statuut van advocaat illustreert een misvatting die in bredere kring bij vrije beroepers opduikt. Het beroepsgeheim is een externe geheimhoudingsplicht: de advocaat mag informatie van zijn cliënt niet aan derden onthullen. De AVG regelt de interne verhouding tussen de verwerkingsverantwoordelijke en de betrokkene: hoe zijn gegevens worden gebruikt, op welke rechtsgrond, hoe lang ze worden bewaard, welke rechten hij kan uitoefenen.

Die twee regimes lopen niet in elkaar over. Het ene ontslaat niet van het andere. Het beroepsgeheim veronderstelt zelfs de transparantie tegenover de cliënt: een advocaat die zijn cliënt niet kan zeggen welke gegevens hij van hem bewaart, kan moeilijk geloofwaardig maken dat hij die gegevens vertrouwelijk behandelt. De Geschillenkamer benadrukt bovendien dat van een advocatenkantoor, gelet op zijn juridische expertise, een verhoogde diligentie wordt verwacht.

De fictie van het herhaalde verzoek

De analyse onder art. 12.5 AVG verdient bijzondere aandacht. De Geschillenkamer aanvaardt niet dat een verwerkingsverantwoordelijke die zelf niet of slechts gedeeltelijk antwoordt op een inzageverzoek, vervolgens de herhaalde verzoeken van de betrokkene kan inroepen om deze laatste een vergoeding te laten betalen. Eén verzoek dat onbeantwoord blijft, blijft één verzoek, hoeveel keer het ook wordt herinnerd.

Deze redenering sluit aan bij de Richtsnoeren 01/2022 van de EDPB over het recht van inzage, die de uitzonderingen op de kosteloosheid en de behandelingsverplichting strikt willen interpreteren. Wie de uitzondering wil inroepen, draagt de bewijslast en moet objectief aantonen dat het verzoek zelf, en niet de gevolgen van het eigen niet-antwoorden, het repetitieve karakter veroorzaakt.

Identiteitstwijfel als facilitatieplicht, niet als weigeringsrecht

Art. 12.6 AVG is een instrument om misbruik door derden te voorkomen, niet om de verwerkingsverantwoordelijke een afwijzingsgrond in handen te geven. Wie redenen heeft om aan de identiteit van een verzoeker te twijfelen, moet concreet aangeven welke aanvullende informatie nodig is om die twijfel weg te nemen. Een louter beroep op “twijfels” zonder operationele opvolging volstaat niet. Dat de verweerder hier een advocatenkantoor was, weegt zwaar door bij de beoordeling van de nalatigheid: het Hof van Justitie heeft in Deutsche Wohnen bevestigd dat ook een louter nalatige inbreuk volstaat om een administratieve geldboete onder art. 83 AVG te kunnen opleggen, en bij een professionele jurist mag de drempel van die nalatigheid laag liggen.

Wat betekent dit concreet?

Voor advocatenkantoren en andere vrije beroepers. Een actuele privacyverklaring is geen overbodige luxe maar een AVG-verplichting. Informeer cliënten bij het aangaan van de relatie schriftelijk over de verwerkingsdoeleinden, de rechtsgrond, de bewaartermijnen, de ontvangers en hun rechten. Werk met modelcontracten die een specifieke AVG-clausule bevatten en publiceer een privacyverklaring op de website, ook als die website technisch geen gegevens verzamelt — de informatieplicht reikt verder dan online verwerkingen. Behandel inzageverzoeken proactief: vraag binnen de antwoordtermijn precies welke informatie ontbreekt om de identiteit vast te stellen en geef daarbij concrete opties (kopie identiteitskaart, videogesprek, fysieke afspraak).

Voor verwerkingsverantwoordelijken in het algemeen. De uitzondering van art. 12.5 AVG is geen managementinstrument om lastige verzoeken weg te werken. Wie zich erop beroept, moet schriftelijk en gemotiveerd aantonen waarom het verzoek niet aan de objectieve voorwaarden voldoet, of waarom het echt repetitief is. Een verzoek dat herhaald wordt omdat het voorgaande niet werd ingewilligd, telt niet als een nieuw verzoek.

Voor betrokkenen die een inzageverzoek indienen. Formuleer het verzoek precies — verwijs naar art. 15 AVG en geef aan welke categorieën informatie u wenst (gegevens, doeleinden, rechtsgrond, ontvangers, bewaartermijn, herkomst). Voeg een identiteitsbewijs toe of vraag uitdrukkelijk hoe u uw identiteit kunt staven. Wordt het verzoek geweigerd of slechts deels beantwoord, herhaal het en houd alle correspondentie bij; deze beslissing toont dat een klacht bij de GBA, ook in combinatie met een commercieel geschil tussen partijen, kan slagen.

Veelgestelde vragen (FAQ)

Moet een advocatenkantoor een privacyverklaring hebben, ook als de website geen gegevens verzamelt?
Ja. De informatieplicht onder art. 13 AVG geldt voor alle persoonsgegevens die het kantoor verzamelt — bij intake, in dossierbeheer, bij correspondentie, in de boekhouding. Of die verzameling al dan niet via de website verloopt, is op zichzelf niet doorslaggevend. Een privacyverklaring op de website is een gebruikelijk en transparant kanaal om aan die plicht te voldoen.

Mag een verwerkingsverantwoordelijke een vergoeding vragen voor een inzageverzoek?
Slechts uitzonderlijk. Een eerste inzage is in beginsel kosteloos. Art. 12.5.a) AVG laat enkel een “redelijke vergoeding” toe wanneer een verzoek “kennelijk ongegrond of buitensporig” is. De verwerkingsverantwoordelijke draagt daarvan de bewijslast, en de uitzondering wordt strikt geïnterpreteerd. Een verzoek dat verschillende keren werd herhaald omdat het eerder niet werd ingewilligd, kwalificeert niet als repetitief.

Wat te doen wanneer een inzageverzoek wordt afgewezen wegens twijfel over de identiteit?
Vraag de verwerkingsverantwoordelijke schriftelijk welke aanvullende informatie hij nodig heeft. Reageert hij niet of weigert hij ondanks aangereikte stukken nog steeds, dan kan een klacht worden ingediend bij de Gegevensbeschermingsautoriteit. De Geschillenkamer aanvaardt niet dat een vage identiteitstwijfel als afwijzingsgrond fungeert; van de verwerkingsverantwoordelijke wordt verwacht dat hij de uitoefening van het recht actief faciliteert.

Conclusie

Deze beslissing herinnert eraan dat een advocatenkantoor, zoals elke andere verwerkingsverantwoordelijke, onverkort onderworpen is aan de transparantieplicht en het recht van inzage van zijn cliënten. Het beroepsgeheim, hoe absoluut ook tegenover derden, biedt in België geen verdediging tegen de eigen cliënt die zijn AVG-rechten uitoefent. Voor wie professioneel persoonsgegevens verwerkt — vrije beroepers, KMO’s, zorgverleners — is deze zaak een herinnering dat compliance niet eindigt bij het opstellen van een privacyverklaring, maar in de dagelijkse omgang met betrokkenen wordt waargemaakt.

---