De GDPR is nu al meer dan een half jaar van kracht en sluipt stilletjes binnen in alle sectoren, ook in de advocatuur. De Gegevensbeschermingsautoriteit bespreekt daarom in een van haar laatste artikels de noties van ‘verwerkingsverantwoordelijke’ en ‘verwerker’ in het kader van de advocatuur. De autoriteit probeert zo duidelijkheid te scheppen over verantwoordelijkheden van beide entiteiten.
Kort gesteld is krachtens de GDPR de verwerkingsverantwoordelijke de persoon die alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.
De verwerker is een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt.
Om het onderscheid goed te begrijpen stelt de autoriteit duidelijk dat men elke keer opnieuw de situatie moet analyseren en rekening houdt met de twee volgende aspecten:
“Een feitelijke analyse van elke situatie dringt zich op teneinde voor iedere verwerking van persoonsgegevens uit te maken, wie over de beslissingsbevoegdheid beschikt:
(1) bij het bepalen van het doeleinde waarvoor de gegevens worden verwerkt (concrete en operationele reden waarvoor de gegevens worden verwerkt zoals de samenstelling van een proceduredossier, het versturen van de hiertoe noodzakelijke briefwisseling, enz...) alsook
(2) bij de keuze van de middelen om dit doeleinde te verwezenlijken.”
In de advocatuur rijzen drie interessante verhoudingen op de voorgrond:
1. De verhouding tussen de advocaten zelfstandigen die vaak in team voor een kantoor werken : de advocaten hebben via software en/of cloud toegang tot de persoonsgegevens van andere cliënten. Hoe verhouden de advocaten zich tegenover elkaar?
2. Advocaten treden op in verschillende hoedanigheden, waardoor ze soms de rol van verwerker opnemen, maar vaker ook die van verwerkingsverantwoordelijke. Wanneer is men de ene, wanneer is men de andere?
3. Wat is de positie van de advocaat wanneer hij in opdracht van een andere confrater optreedt in een dossier. Is de confrater hier verwerkingsverantwoordelijke of verwerker? En moet de dominus litis hieromtrent zijn cliënte informeren?
1. De verhouding tussen de advocaten in team werkend op één kantoor
De autoriteit is hier duidelijk over: indien de configuratie van het informaticasysteem zo is ingesteld dat alle dossiers gecentraliseerd zijn en toegankelijk voor iedereen, dan zijn alle advocaten gezamenlijk verwerkingsverantwoordelijke voor die gegevens.
Want ieder van die advocaten kan het doeleinde bepalen van waarom de gegevens worden verwerkt en welke middelen worden toegepast.
Zo stelt de autoriteit dat enkel die organisatie of persoon die geen enkele invloed heeft op de manier waarop de gegevens worden verwerkt niet de hoedanigheid kan verkrijgen van verwerkingsverantwoordelijke.
Het kan wel zijn stelt Werkgroep Artikel 29 dat het belang van het doeleinde en de middelen kan variëren in functie van de context waarin de verwerking plaatsvindt. Zo zijn wij de mening toegedaan dat een advocaat-stagiaire, ook al is hij/zij zelfstandige, vaak werkt voor haar/zijn stage-meester, die alsdan de verantwoordelijkheid behoudt van de dossiers.
2. Wanneer treedt een advocaat op als verwerker en als verwerkingsverantwoordelijke?
Om deze vraag te beantwoorden moet men nagaan welke activiteit de advocaat uitvoert.
Zo geeft de autoriteit twee extreme voorbeelden om het onderscheid tussen de advocaat verwerkingsverantwoordelijk en de advocaat verwerker goed te begrijpen. Indien de advocaat gegevens verwerkt in kader van een procedure, zal de advocaat verwerkingsverantwoordelijke zijn, omdat hij/zij ervoor kiest welke persoonsgegevens worden verwerkt en met welke middelen.
Moet de advocaat enkel gegevens verwerken in het kader van specifieke administratieve taken, die gelijkenissen vertoont met een sociaal secretariaat, dan zal de advocaat verwerker zijn.
3. De advocaat (vervanger) werkend voor een andere advocaat
De advocaat vervanger is in dit geval meestal een verwerker omdat hij/zij in opdracht van een andere advocaat werkt. Het gaat vaak over kleine dossiers waarbij de advocaat vervanger geen beslissingsbevoegdheid heeft in kader van de manier van verwerken en het doeleinde.
Echter, indien het gaat om een groot dossier, waarbij de advocaat vervanger op zelfstandige basis beslist over de middelen en het doeleinde van de verwerking, kan het zijn, dat hij gezamenlijke verwerkingsverantwoordelijke is. In dit geval is het nodig dat de cliënt voorafgaande en geïnformeerde toestemming geeft aan de dominus litis.
Wat er in elk geval van groot belang is, is dat de cliënt door de dominus litis wordt ingelicht over het feit dat zijn of haar persoonsgegevens worden verwerkt.
Voor meer informatie over de GDPR en de advocatuur kunt u contact opnemen met Lucas Lenaerts (lucas.lenaerts@sub-rosa.be).
Sub Rosa Legal biedt ook diensten aan die specifiek voor advocatenkantoren zijn.
Marie-Louise Reedijk
Advocaat Sub Rosa Legal
