Inzageverzoek AVG bij een advocatenkantoor: zo handelt u het af

Kort samengevat: het recht is het probleem niet. Het inzagerecht staat in artikel 15 AVG en de reactietermijn in artikel 12 lid 3 AVG. Het probleem is de uitvoering op een kantoor van 3 tot 20 fee earners: niemand is aangewezen als coördinator, de persoonsgegevens staan in zes systemen, en de scheiding tussen persoonsgegevens van de verzoeker en de rest van het dossier moet handmatig worden gemaakt terwijl de klok loopt. Dit artikel beschrijft dat proces.

Wat een inzageverzoek is — en wat het niet is

Artikel 15 AVG geeft een betrokkene het recht om te vernemen of u persoonsgegevens over hem verwerkt, en zo ja, om die gegevens in te zien, samen met informatie over onder meer de doelen van de verwerking, de categorieën gegevens, de ontvangers en de bewaartermijn. Het is een recht op inzage in persoonsgegevens, niet een recht op een kopie van uw dossier, uw strategie of uw interne afwegingen.

Dat onderscheid is de kern van de hele afhandeling. Zodra u het verzoek behandelt als "stuur het dossier maar", verstrekt u bijna zeker gegevens van derden mee, geeft u inzicht in juridische analyses die niet onder het inzagerecht vallen, en creëert u een precedent dat het volgende verzoek nog duurder maakt.

De termijn, en hoe u die verlengt

Artikel 12 lid 3 AVG bepaalt dat u de betrokkene binnen één maand na ontvangst informeert over het gevolg dat aan het verzoek is gegeven. Bij complexe of talrijke verzoeken kunt u die termijn met twee maanden verlengen. Twee praktische punten:

• De verlenging is geen stilzwijgende optie. U informeert de verzoeker binnen de eerste maand, schriftelijk, met de reden waarom het verzoek complex of omvangrijk is. Een verlenging die u pas in week zes meldt, is geen verlenging maar een te late reactie.
• De termijn begint bij ontvangst, niet bij het moment waarop iemand intern het verzoek oppakt. Een verzoek dat een week in een algemene mailbox blijft liggen, kost u een kwart van uw termijn. Dit is precies waarom stap één van het stappenplan hieronder over registratie gaat en niet over inhoud.

Identiteitsvaststelling zonder te veel te vragen

U mag redelijke maatregelen nemen om vast te stellen dat de verzoeker is wie hij zegt te zijn — maar het opvragen van een volledige kopie van een identiteitsbewijs is in de regel disproportioneel. Werkbare volgorde:

1. Komt het verzoek van een adres of telefoonnummer dat al bij de cliënt in het dossier staat? Dan is een bevestiging via dat bekende kanaal doorgaans voldoende.
2. Is de verzoeker onbekend, vraag dan gerichte gegevens die u al heeft en die alleen de betrokkene kan kennen — geen nieuwe identiteitsdocumenten.
3. Is er twijfel die u niet kunt wegnemen, vraag dan gemotiveerd aanvullende informatie en leg vast dat u dat heeft gedaan; de termijn loopt intussen door, dus doe dit in de eerste dagen.

Drie typen verzoekers, drie afhandelingen

Het verzoek van een eigen medewerker wordt het vaakst onderschat. Registratiegegevens over declarabiliteit, aanwezigheid en productiviteit zijn persoonsgegevens en vallen binnen de reikwijdte. Kantoren die niet weten welke rapportages zij over medewerkers bewaren, lopen hier vast.

Waar de gegevens feitelijk staan

De laatste rij verdient aandacht. Aantekeningen in notitieblokken, losse documenten op een lokale schijf en berichten in chatapplicaties vallen buiten elke geautomatiseerde zoekopdracht. Een kantoor dat wil kunnen voldoen aan inzageverzoeken, moet die schaduwadministratie terugdringen — dat is dezelfde beweging die u nodig heeft voor bewaartermijnen en archivering.

Afbakening: wat verstrekt u wel en niet

Maak per gevonden document drie stapels:

• Verstrekken. Gegevens die de betrokkene zelf betreffen: NAW, contactgegevens, communicatie met hem, financiële gegevens over zijn zaak, geregistreerde handelingen.
• Bewerken en dan verstrekken. Documenten waarin de betrokkene voorkomt naast anderen. Gegevens van derden worden onleesbaar gemaakt; dat is handwerk en de belangrijkste reden dat een verzoek complex kan zijn.
• Niet verstrekken. Juridische analyses, interne afwegingen, strategie en advies aan uw cliënt. Hier raakt het inzagerecht aan het beroepsgeheim en het verschoningsrecht; raadpleeg de actuele regelgeving en stem bij twijfel af met de NOvA. Zie ook verschoningsrecht en dataopslag voor de vraag waar die gegevens überhaupt mogen staan.

Motiveer wat u niet verstrekt. Een verstrekking zonder toelichting op de weglatingen roept een vervolgverzoek op; een verstrekking met een korte, zakelijke motivering per categorie sluit de zaak meestal af.

Stappenplan in acht stappen

1. Registreer bij ontvangst. Datum, verzoeker, kanaal, coördinator. Zet de reactiedatum in de agenda van de coördinator, niet in een mailbox.
2. Kwalificeer het verzoek. Is dit een inzageverzoek, een verzoek om verwijdering, of een dossierverzoek van een cliënt? De drie lopen door elkaar en vragen een andere afhandeling.
3. Stel de identiteit vast volgens de proportionele volgorde hierboven, binnen de eerste dagen.
4. Bepaal de reikwijdte. Welke periode, welke dossiers, welke systemen. Vraag zo nodig gericht om verduidelijking bij een zeer breed verzoek.
5. Verzamel per bron volgens de brontabel, met een korte aantekening per bron over wat er is doorzocht en met welke zoektermen.
6. Beoordeel en bewerk. Drie stapels, gegevens van derden onleesbaar, motivering per weglating.
7. Verstrek via een beveiligd kanaal, met een begeleidende brief die de verplichte informatie bevat: doelen, categorieën gegevens, ontvangers, bewaartermijn, en de rechten van de betrokkene.
8. Leg de afhandeling vast. Wat is verstrekt, wat niet en waarom, wanneer en door wie. Zonder dit dossier kunt u later niet aantonen dat u tijdig en zorgvuldig heeft gehandeld.

Wat dit kost, en hoe u dat zichtbaar houdt

Een inzageverzoek van enige omvang kost een office manager en één fee earner samen al snel een werkdag, vooral in stap 5 en 6. Schrijf die tijd weg op een vaste niet-declarabele categorie "AVG-verzoeken", zodat u aan het eind van het jaar ziet hoeveel verzoeken er waren en wat ze kostten. Kantoren die dit niet registreren, zien de kosten wel in hun declarabiliteit terug maar kunnen ze niet verklaren.

Veelgemaakte fouten

• Het volledige dossier kopiëren en versturen. Te veel, te risicovol, en vrijwel altijd met gegevens van derden erin.
• Te laat reageren doordat het verzoek in een algemene mailbox bleef liggen, of doordat de verlenging pas na de eerste maand is gemeld.
• Geen registratie van de afhandeling, waardoor u bij een klacht niets kunt laten zien.
• Gegevens van derden onbewerkt meesturen — in de praktijk het grootste risico op een datalek. Gaat het mis, volg dan de route uit AVG-datalek op een advocatenkantoor.
• Per verzoek opnieuw het wiel uitvinden, in plaats van één vaste procedure met een vaste coördinator.

Hoe LegalTime dit ondersteunt

Urenregistratie en facturatie zijn volwaardige bronnen van persoonsgegevens: tijdregels bevatten omschrijvingen met namen, declaraties bevatten financiële gegevens, en rapportages bevatten prestatiegegevens over medewerkers. In LegalTime kunt u per cliënt en per gebruiker exporteren wat er is vastgelegd, zodat stap 5 van het stappenplan geen zoektocht is.

Daarnaast geldt binnen het platform dat elke mutatie op tijdregels, declaraties en tariefafspraken een record in de audit-trail oplevert: wie, wanneer, wat er veranderde. Dat betekent dat u bij een inzageverzoek of een klacht niet alleen de huidige stand kunt tonen, maar ook de historie ervan. De gegevens worden binnen de EU gehost; meer over de inrichting leest u op de pagina over veiligheid.

Veelgestelde vragen

Dit artikel is algemene informatie en geen juridisch of fiscaal advies; controleer de actuele regels en stem af met uw accountant of de NOvA.

Lees ook

• AVG en datalekken op een advocatenkantoor
• Bewaartermijn dossier advocaat
• Verschoningsrecht en dataopslag
• Veiligheid en gegevensbescherming