Verschoningsrecht advocaat: waar mag data staan?

Het verschoningsrecht is geen privilege van de advocaat maar een recht van de cliënt: hij moet vrijuit kunnen spreken zonder dat wat hij vertelt later tegen hem kan worden gebruikt. Zolang dossiers in een kast op kantoor lagen, was de fysieke kant van dat recht eenvoudig te organiseren. Nu de dossiers in datacenters staan, verspreid over documentbeheer, e-mail, urenregistratie, e-discovery-tools en back-ups, is de vraag "waar staat onze data en wie kan erbij" een kernvraag van de praktijkvoering geworden.

Geheimhoudingsplicht en verschoningsrecht: twee kanten

De geheimhoudingsplicht is de norm die op u rust: wat u in de uitoefening van uw beroep verneemt, houdt u geheim. Het verschoningsrecht is het processuele spiegelbeeld: u kunt zich tegenover rechter, opsporingsambtenaar of toezichthouder verschonen van het geven van informatie. De geheimhouding strekt zich uit tot uw medewerkers en tot degenen die u inschakelt — en daarmee, feitelijk, tot uw leveranciers. Een IT-dienstverlener die toegang heeft tot uw dossiersysteem, raakt aan hetzelfde vertrouwelijkheidsdomein.

Daaruit volgt de praktische norm die dit hele artikel draagt: elke partij die technisch bij uw gegevens kan, moet contractueel, organisatorisch en technisch zijn ingekaderd — en het aantal partijen dat technisch bij uw gegevens kan, moet u actief zo klein mogelijk houden.

Waar mag de data fysiek staan?

Er bestaat geen absolute regel die zegt dat gegevens van een Nederlands advocatenkantoor de landsgrens niet mogen verlaten. Wat er wél is, is een stapeling van eisen die er in de praktijk toe leidt dat opslag binnen de EU/EER het verstandige uitgangspunt is.

• AVG. Doorgifte naar landen buiten de EER mag alleen op basis van een adequaatheidsbesluit of passende waarborgen, met een aanvullende toets op de rechtsorde van het ontvangende land.
• Toegang door buitenlandse autoriteiten. Wetgeving zoals de Amerikaanse CLOUD Act kan aanbieders die onder Amerikaanse jurisdictie vallen verplichten gegevens te verstrekken, ook als die gegevens fysiek in Europa staan. Vestigingsplaats van de moederonderneming is dus net zo relevant als de locatie van het datacenter.
• Geheimhouding. Onbevoegde kennisname door een derde — ook door een overheid — is vanuit het verschoningsrecht bezien niet acceptabel, ongeacht of het volgens buitenlands recht rechtmatig zou zijn.

Praktisch betekent dit: kies bij voorkeur een verwerker met verwerking én opslag binnen de EU, wees expliciet over de locatie van back-ups en van de logging (die wordt vaak vergeten en bevat metadata die veel prijsgeeft), en leg vast dat sublocaties niet zonder melding wijzigen. Vraag ook hoe supportmedewerkers werken: een keurig Europees datacenter helpt weinig als de tweedelijnssupport vanuit een derde land meekijkt in productiedata.

Toegangsbeheer: het punt waar het meestal misgaat

Datalekken bij professionele dienstverleners ontstaan zelden door gebroken encryptie. Ze ontstaan doordat iemand ergens bij kon die er niet bij hoefde. Het ontwerpprincipe is daarom "need to know" op dossierniveau, niet op systeemniveau.

• Rolgebaseerde rechten met een zichtbaar onderscheid tussen advocaat, secretariaat, financiële administratie en beheer. De financiële administratie hoort urenregels en bedragen te zien, niet noodzakelijk de dossierinhoud.
• Afscherming op dossierniveau voor gevoelige zaken, met een expliciete lijst van geautoriseerden en een audit-trail van elke toegangsverlening.
• Chinese walls die technisch worden afgedwongen zodra een conflictsituatie is vastgesteld, niet alleen per e-mail worden afgesproken.
• Verplichte tweefactorauthenticatie voor alle gebruikers, inclusief beheeraccounts en inclusief externe partijen.
• Beperkte en gelogde beheerderstoegang aan leverancierszijde: geen structurele leestoegang tot klantdata, alleen tijdelijke toegang na expliciete toestemming, met registratie.
• Uitdiensttredingsproces met een harde koppeling: vertrekt iemand, dan vervallen alle rechten dezelfde dag, in alle systemen.

Controleer het geheel minimaal halfjaarlijks met een toegangsreview: een lijst van alle gebruikers en hun rechten, afgetekend door een verantwoordelijke. Dat is een uur werk en het levert vrijwel altijd verrassingen op — oude stagiaireaccounts, een externe boekhouder met te ruime rechten, een gedeeld inlogaccount dat ooit "tijdelijk" was.

Versleuteling: wat het wel en niet oplost

Versleuteling tijdens transport (TLS) is een minimumeis en tegenwoordig vanzelfsprekend. Versleuteling in rust beschermt tegen fysieke diefstal van opslagmedia en tegen bepaalde vormen van onrechtmatige toegang op infrastructuurniveau. Waar het níet tegen beschermt is een gecompromitteerd gebruikersaccount: dan wordt de data gewoon voor de aanvaller ontsleuteld, precies zoals bedoeld.

Vraag daarom door op sleutelbeheer. Wie beheert de sleutels, kan de leverancier zelfstandig ontsleutelen, en is er een optie voor klantbeheerde sleutels? Voor de meeste kantoren van drie tot twintig fee earners is een volledig zero-knowledge-architectuur niet realistisch — die maakt zoeken, indexeren en support vrijwel onmogelijk. Realistisch en verdedigbaar is: sterke encryptie in rust en transport, gescheiden sleutelbeheer, aparte versleuteling van secrets en koppelingen, en strikte, gelogde beperking van wie aan leverancierszijde ontsleutelde data kan zien. Op onze veiligheidspagina staat hoe LegalTime dit heeft ingericht.

Verwerkersovereenkomsten en subverwerkers

Elke leverancier die persoonsgegevens namens u verwerkt, heeft een verwerkersovereenkomst nodig. Dat is bekend terrein; de kwaliteit zit in de details die vaak worden overgeslagen.

1. Subverwerkerslijst. Is die actueel, openbaar of op verzoek beschikbaar, en krijgt u vooraf melding van wijzigingen met een bezwaarmogelijkheid?
2. Meldtermijn bij incidenten. "Onverwijld" is te vaag. Leg een concrete termijn vast, zodat u uw eigen 72-uursverplichting kunt halen.
3. Medewerking bij verzoeken van autoriteiten. Legt de leverancier vast dat hij u informeert wanneer een autoriteit gegevens vordert, voor zover dat is toegestaan, en dat hij zich beroept op uw verschoningsrecht?
4. Exit-regeling. In welk formaat krijgt u uw data terug, binnen welke termijn, tegen welke kosten — en wanneer wordt het bij de leverancier aantoonbaar vernietigd, inclusief back-ups?
5. Auditrecht. Mag u zelf toetsen, of uitsluitend vertrouwen op een rapportage van een derde? Beide kan, maar weet wat u tekent.
6. Aansprakelijkheid. Staat de beperking in verhouding tot de gevoeligheid van de gegevens?

Checklist voor leverancierskeuze

Loop deze punten door voordat u praktijksoftware of cloudopslag kiest. Vraag om antwoorden op schrift; een leverancier die dit niet kan leveren, is voor een advocatenkantoor geen geschikte partij.

• Waar staan productiedata, back-ups en logging? Noem het land en de aanbieder.
• Onder welke jurisdictie valt de leverancier en zijn moederonderneming?
• Welke subverwerkers zijn er, en hoe word ik geïnformeerd over wijzigingen?
• Hoe is tenantisolatie technisch geregeld — gedeelde database met scheiding op rijniveau, of gescheiden instanties?
• Is encryptie in rust en in transport standaard, en hoe wordt sleutelbeheer gescheiden?
• Welke toegang hebben supportmedewerkers tot klantdata, en wordt dat gelogd en getoond aan de klant?
• Is er een onwijzigbare audit-trail van inzage en mutaties, en kan ik die zelf raadplegen?
• Is tweefactorauthenticatie verplicht af te dwingen, en is SSO mogelijk?
• Wat is het incidentresponseproces en de meldtermijn?
• Hoe ziet de exit eruit: exportformaat, doorlooptijd, kosten, vernietigingsbewijs?
• Zijn er onafhankelijke beveiligingstoetsen uitgevoerd, en mag ik de samenvatting inzien?
• Hoe wordt omgegaan met AI-functionaliteit: worden gegevens gebruikt voor training, waar draaien modellen, en is uitschakeling mogelijk?

Dat laatste punt verdient bijzondere aandacht. AI-functies in praktijksoftware zijn nuttig, maar ze verplaatsen data soms naar partijen die niet in uw verwerkersovereenkomst staan. Eis expliciet dat cliëntgegevens niet worden gebruikt voor modeltraining en dat verwerking binnen dezelfde geografische en contractuele kaders blijft als de rest van uw gegevens.

Intern beleid maakt het verschil

Techniek zonder beleid houdt geen stand. Leg in een kort document vast welke systemen zijn goedgekeurd voor cliëntgegevens en welke niet — inclusief het expliciete verbod op privé-cloudaccounts, consumentenchats en persoonlijke AI-tools voor dossierinhoud. Regel hoe u veilig bestanden uitwisselt met cliënten en wederpartijen. Spreek af hoe lang dossiers worden bewaard en wat er daarna gebeurt; onbeperkt bewaren vergroot alleen maar de schade van een eventueel incident. En oefen één keer per jaar wat u doet bij een datalek, inclusief de vraag wie de cliënt belt.

Deze onderwerpen raken direct aan uw Wwft-dossiervorming, waar u identificatiedocumenten en risicobeoordelingen bewaart; in ons artikel over Wwft voor advocatenkantoren staat welke gegevens dat zijn en hoe lang die bewaard moeten blijven.

Conclusie

"Waar mag onze data staan" is uiteindelijk geen technische maar een verantwoordingsvraag: kunt u aan uw cliënt, aan de deken en aan uzelf uitleggen wie bij zijn gegevens kan en waarom dat verantwoord is? Kantoren die dat kunnen, hebben geen exotische infrastructuur. Ze hebben Europese verwerking, strak toegangsbeheer, een leesbare verwerkersovereenkomst met bekende subverwerkers, en een audit-trail waarmee ze achteraf kunnen laten zien wat er is gebeurd.