Door Meester Marie-Louise Reedijk, advocaat Sub Rosa Legal.

Voor kleine organisaties, zoals de meeste advocatenkantoren, is GDPR een uitdaging. De investering om iemand op te leiden zodanig dat hij over de GDPR-conformiteit van de organisatie kan waken, moet op een te klein draagvlak terugverdiend worden. Bij gebrek aan concrete en betaalbare hulpmiddelen en ondersteuning, is GDPR-conformiteit voor vele kantoren een te zware opgave.

Volgens een recent artikel in Advocatie zou de meerderheid van de top 50 kantoren in Nederland in overtreding zijn met de Algemene Verordening Gegevensbewerking (AVG). Concreet ging het over het gebruik van cookies en over het informeren van de bezoekers over het exacte gebruik van hun gegevens.

Een, wat bredere, vraag met betrekking tot de situatie in België voorgelegd aan de Orde van Vlaamse Balies werd niet beantwoord, maar er is geen enkele reden om aan te nemen dat de Belgische advocatuur zich beter in regel zou gebracht hebben dan de Nederlandse.

En als de grote kantoren niet in orde zijn met de GDPR-regelgeving, dan is de situatie bij kleinere kantoren, of bij alleen werkende advocaten, hoogstwaarschijnlijk niet beter.

Advocaten hebben geen DPO nodig?

Volgens een nota van Michael Meysman van de studiedienst van de OVB is het voor advocatenkantoren, wellicht, niet noodzakelijk om een DPO (Data Protection Officer) aan te stellen, toch zeker niet voor de kleinere kantoren.

Wellicht voor de meeste advocaten een opluchting. Maar misschien is dat wel juist spijtig. Met de vaststelling dat een DPO niet noodzakelijk is, is de kous immers niet af. En hoe gaat u er zonder DPO zeker van zijn dat u in regel bent met de GDPR-wetgeving?

In een ander recent artikel, verschenen in Today’s Lawyer (GDPR: gelukkig ook van toepassing op advocaten, Today’s Lawyer, 2018, nr. 3, p. 8.), stelt Maarten Stassen, advocaat aan de balie van Brussel: “Er gaat altijd wel iemand moeten analyseren of verwerkingen compliant zijn met GDPR.”

En als die persoon, u zelf misschien, geen expert is ter zake, hoe weet hij of zij dan hoe en waar te beginnen? Het gaat daarenboven niet enkel om een juridische analyse maar ook om een technische.

Liever laat dan nooit

Sinds 25 mei is het geruis rond GDPR grotendeels gaan liggen. Omdat iedereen nu in orde is? Zeker niet, maar nu men toch te laat is, komt het niet meer op een maand meer of minder aan, denkt men. Gevaarlijk, want, zoals meester Stassen het in voormeld artikel stelt: “the proof of the pudding is in the eating”. Het probleem ontstaat wanneer iemand een inbreuk vaststelt. Dan zal men moeten nagaan of de genomen maatregelen voldoende waren.

GDPR vereist een “compliance-proces”

Duizenden advocaten in ons land hebben zich over de teksten gebogen. Vaak was dat omdat hun klanten hen om advies vroegen bij de implementatie van GDPR in hun bedrijven. Maar bij GDPR gaat het om veel meer dan advies. GDPR vereist een “compliance proces”: het organiseren van de passende maatregelen om de persoonsgegevens van onze klanten, en van de klanten van onze klanten, voldoende te beschermen.

Een aantal kantoren hebben de GDPR-regelgeving dan ook vertaald in gestandaardiseerde checklists, en draaiboeken. Noodzakelijk om het proces voor de klanten betaalbaar te houden.

GDPR als kwaliteitsgarantie

Maar zoals hierboven gesteld blijft GDPR-compliance binnen de advocatuur zelf vaak achterwege. Spijtig, want Maarten Stassen heeft uiteraard gelijk als hij, in bovenvermeld artikel, stelt dat wij als advocaten GDPR niet als een onoverkomelijke moeilijkheid mogen zien maar als een opportuniteit voor verbetering, om aldus het vertrouwen in ons beroep te handhaven of te versterken. GDPR en confidentialiteit liggen in elkaars verlengde.

Vanuit de bezorgdheid om onze klanten te informeren en hun gegevens op een correcte manier te verwerken en te beschermen heeft Sub Rosa in eerste instantie het eigen kantoor 100% GDPR conform gemaakt. En, omdat ook de nodige technische maatregelen moeten genomen worden, zijn wij een partnership aangegaan met K-force, een IT-bedrijf dat kon instaan voor het technische deel.

Op vraag van enkele confraters, die zoals zovele andere kantoren het probleem steeds verder voor zich uit duwden, hebben wij onze eigen ervaring uitgewerkt tot een specifiek GDPR-pakket voor advocatenkantoren.

Zo vond bijvoorbeeld een groot internationaal kantoor, met een relatief kleine aanwezigheid in Brussel, dat zij beter onze ervaring kon aanwenden, dan zelf tijd en energie te steken in een eigen leercurve. Dat zij het warm water niet opnieuw moesten uitvinden, zeker nu de GDPR-hype voorbij is, en de kans om zulke kennis en ervaring, in aangepaste vorm, te kunnen aanwenden voor klanten, sterk is afgenomen.

GDPR-pakket voor advocaten door advocaten

De meeste advocatenkantoren zijn kleine organisaties, met daarenboven een zeer specifieke activiteit. De standaard dienstverleningen die men kan aankopen zijn niet aangepast aan onze activiteit.

Dat is de reden waarom wij, samen met onze IT-partner, besloten hebben ons pakket aan te bieden aan de confraters.

Meer informatie over ons GDPR-pakket voor advocaten door advocaten, is terug te vinden op onze website: https://www.sub-rosa.be/nl/diensten/19-gdpr-pakket-voor-advocaten-door-advocaten-nl.html.

Of u kan mij ook steeds bellen op het nummer 02 538 32 50.

Marie-Louise Reedijk

Advocaat Sub Rosa Legal