Bewaartermijnen
De advocaat mag de persoonsgegevens van zijn cliënten, werknemers, leveranciers, … niet langer verwerken dan noodzakelijk. Dat moet hij beoordelen in functie van het doel waarvoor hij die persoonsgegevens gebruikt. Het is dus belangrijk om de doeleinden waarvoor persoonsgegevens worden gebruikt, te identificeren.
Auteur
Arthur Ockerman
Bij het bepalen van de bewaartermijn is het nuttig om rekening te houden met wettelijk vastgelegde bewaartermijnen en wettelijke verjaringstermijnen. In de GDPR-verwerkingsfiches, beschikbaar op onze website, namen we voor elk van de verschillende verwerkingsdoeleinden een voorstel op van de relevante bewaartermijnen.
Wat u moet weten
De advocaat mag de persoonsgegevens van zijn cliënten, werknemers, leveranciers, … niet langer verwerken dan noodzakelijk (Artikel 5.1 c) AVG). Dat moet hij beoordelen in functie van het doel waarvoor hij die persoonsgegevens gebruikt. Het is dus belangrijk om de doeleinden waarvoor persoonsgegevens worden gebruikt, te identificeren.
Bij het bepalen van de bewaartermijn is het nuttig om rekening te houden met wettelijk vastgelegde bewaartermijnen (bijv. artikel 2276bis BW, artikel III.86 WER, artikel 60§1 W. BTW en KB van 28 november 1969) en wettelijke verjaringstermijnen (bijv. artikel 2262 en artikel 2262bis BW). De desbetreffende persoonsgegevens kunnen tenminste gedurende die termijnen worden bewaard. De advocaat draagt de bewijslast in geval van een langere bewaartermijn.
Wat u moet doen
U moet (vooraf) bepalen hoelang u de persoonsgegevens zal bewaren. Dat doet u door na te gaan hoelang u de persoonsgegevens nodig heeft, rekening houdende met eventuele wettelijk vastgelegde bewaartermijnen en verjaringstermijnen. We geven u enkele concrete voorbeelden in de FAQ onderaan deze pagina.
Deze bewaartermijnen neemt u op in uw register. Om te verzekeren dat de persoonsgegevens niet langer gebruikt en/of bewaard worden dan noodzakelijk in functie van het beoogde doel, raden we aan om interne maatregelen te nemen die de bewaartermijnen ook daadwerkelijk in de praktijk implementeren, zoals bijvoorbeeld door een data retention policy op te stellen.
Daarnaast raden we aan om een onderscheid te maken tussen persoonsgegevens (of de bestanden waarin ze bewaard worden) in de actieve gebruiksfase en in de passieve gebruiksfase. Bestanden zijn in de actieve gebruiksfase wanneer u ze nog actief gebruikt en nodig heeft. Bestanden die u niet meer actief gebruikt, maar waarvan de bewaartermijn nog niet is verstreken (omwille van administratieve redenen, wettelijke bewaartermijnen, etc.) bevinden zich in de passieve gebruiksfase. Die bestanden kan u, bijvoorbeeld in het kader van een jaarlijkse audit, archiveren. De archivering houdt ten minste in dat de toegang tot de bestanden beperkt wordt.
Tot slot moet u de persoonsgegevens waarvan de bewaartermijn verstreken is, dat wil zeggen waarvoor er geen verwerkingsdoel meer aanwezig is, anonimiseren of vernietigen. U moet ook bewijs voorzien van dat proces.
Praktische richtsnoeren
Er zijn geen specifieke richtsnoeren van de Gegevensbeschermingsautoriteit of het Europees Comité voor Gegevensbescherming over (het bepalen en implementeren van) de bewaartermijnen.
Voor de verwerking van de persoonsgegevens van cliënten is het afsluiten van het dossier veelal het vertrekpunt voor de bewaartermijn. Lees daarover meer bij de FAQ onderaan deze pagina. Om dat vertrekpunt vast te leggen, kan u gebruiken van het volgende model: brief inzake afsluiting dossier.
Per verwerkingsdoeleinde is een ‘verwerkingsfiche’ beschikbaar. Lees daarover meer. Elke verwerkingsfiche bevat een voorstel van de relevante bewaartermijn. U kunt die bewaartermijn overnemen indien die overeenstemt met hoelang u de persoonsgegevens nodig hebt.
Modelbrief voor de afsluiting van een dossier
Kopieer en gebruik onderstaande tekst als modelbrief voor de afsluiting van een dossier. U bepaalt vanzelfsprekend zelf wanneer u een dossier afsluit. U bepaalt ook zelf of u dat uitdrukkelijk, door middel van een actieve handeling doet, dan wel een dossier afgesloten ‘acht’ wanneer bijvoorbeeld de laatste handeling gesteld werd. Dat gezegd zijnde, de persoonsgegevens in dossiers mogen dus niet oneindig bewaard worden.
Geachte heer/mevrouw,
Ik verwijs naar het hierboven vermelde dossier.
Middels dit schrijven informeer ik u dat dit dossier zal worden afgesloten.
Ik zal het dossier, inclusief de daarin opgenomen persoonsgegevens, nog [10 jaar plus een verificatieperiode van 1 jaar] bewaren. Na afloop van deze termijn zal het dossier vernietigd worden tenzij dit dossier in de tussentijd opnieuw relevant is geworden, bijv. voor de behandeling van een nieuw dossier.
Indien u hieromtrent of omtrent de verwerking van uw persoonsgegevens enige vragen heeft, kan u steeds met mij contact opnemen.
Hoogachtend,
[Advocaat]
Frequently Asked Questions
Praktijkvoorbeeld: hoelang mag ik de persoonsgegevens van mijn cliënten bewaren?
De advocaten zijn ontlast van hun beroepsaansprakelijkheid en zijn niet meer verantwoordelijk voor de bewaring van de stukken vijf jaar na het beëindigen van hun taak.
De bewaartermijn van 5 jaar voor de dossiers inzake juridisch advies is afgeleid van art. 2276bis van het Burgerlijk Wetboek. (Deze verjaring is echter niet van toepassing indien de advocaat uitdrukkelijk met het bewaren van bepaalde stukken is belast.) Dat kan worden beschouwd als een minimale ondergrens voor het bewaren van persoonsgegevens.
In het kader van het beheer van uw cliëntendossiers, mag u de persoonsgegevens van uw cliënten echter tot zeker 10 jaar na afsluiten van het dossier bewaren. Gedurende die periode kan de cliënt immers nog een contractuele vordering tegen u instellen. Niet alle contractuele vorderingen van de cliënt tegen de advocaat vallen immers noodzakelijk onder de vijfjarige termijn van artikel [aan te vullen].
De bewaartermijn kan bovendien langer zijn dan 10 jaar indien het gerechtvaardigd is om de persoonsgegevens toch langer bij te houden (bijvoorbeeld omdat het in uw vakgebied reëel is dat een cliënt na 10 jaar terugkomt en u zijn dossier dan terug moet kunnen raadplegen). Indien u jaarlijks een audit doet (zie hierboven), kan u verder nog een verificatieperiode van 1 jaar toevoegen.
Tot slot, in het kader van uw geschillenbeheer, mag u de persoonsgegevens van cliënten met wie u bijvoorbeeld een ereloongeschil heeft, bijhouden tot 5 jaar (plus een verificatieperiode) na afloop van de desbetreffende procedures en/of het verstrijken van de laatste termijn tot hogere voorziening. Ook in dergelijk geval moeten de persoonsgegevens dus niet worden gewist na het verstrijken van de termijn van 10 (+ 1) jaar. Er zijn andere uitzonderlijke hypothesen denkbaar die een langere bewaartermijn verantwoorden.
Hoe zorg ik ervoor dat mijn data tijdig wordt gewist?
Bij wijze van voorbeeld, kan u deze technische maatregelen overwegen:
- automatisch vernietigen
- markeren van data na het verstrijken van de bewaartermijn
- zogenaamde 'sticky policies' (voorwaarden en beperkingen die op elektronische wijze aan de persoonsgegevens gehecht worden en beschrijven hoe die persoonsgegevens moeten worden behandeld);
- data fading (waarbij de persoonsgegevens geleidelijk aan worden geaggregeerd naarmate ze niet langer noodzakelijk zijn)
- bewijs van verwijdering door een log of een audit report
We raden aan om bovengenoemde technische maatregelen te bespreken met uw IT-provider om in detail te kunnen nagaan welke maatregelen praktisch en haalbaar zijn voor de goede werking van uw kantoor.
Op vlak van organisatorische maatregelen, kan u een beleid opmaken met een overzicht van de bewaartermijnen en de omgang met e-waste (zowel oude documenten als apparaten die informatie kunnen bevatten).
Na het implementeren van deze technische en organisatorische maatregelen, is het aangewezen de doeltreffendheid van deze maatregelen ook op gezette tijdstippen te testen, beoordelen en evalueren.
Ook interessant
Beveiliging
Gerelateerd nieuws
Toegang tot DABS beperkt: advocaten vanaf nu afhankelijk van mandaat
Sinds 1 januari 2025 is de toegang van advocaten tot de Databank van de Burgerlijke Stand (DABS) ingeperkt. Dat komt door nieuwe wettelijke bepalingen die een protocol vereisen, dat echter nog niet is opgesteld. Dit maakt het voor advocaten moeilijker om akten van de burgerlijke stand te verkrijgen.
Is uw praktijk klaar voor het digitale tijdperk?
Op 6 december vormt het VBO in Brussel het decor voor de Digital Justice Summit, een conferentie die de juridische wereld samenbrengt rond innovatie en technologie. Het is de ideale kans voor advocaten om de uitdagingen en kansen van digitalisering en justitie met beide handen te grijpen.
GDPR-roadshow: praktijkgerichte infosessies voor advocaten
Na het succes van de sessie FAQ GDPR tijdens het OVB Congres 2024 organiseren we, in samenwerking met onze Commissie GDPR, een GDPR-roadshow. Deze interactieve sessies zijn bedoeld om u te informeren over essentiële GDPR-thema’s en een dialoog aan te gaan over de praktische toepassing van deze regels binnen de advocatuur.
Nieuwe verplichting: inloggen met itsme® wordt standaard voor advocaten
Vanaf nu wordt het voor advocaten sterk aanbevolen om gebruik te maken van sterke authenticatie via itsme® bij het inloggen op alle DPA- en OVB-applicaties, evenals op onze website (www.ordevanvlaamsebalies.be). Inloggen met een gebruikersnaam en wachtwoord blijft alleen mogelijk voor applicaties die nog zwakke authenticatie toestaan, maar de voorkeur gaat duidelijk uit naar veiligere alternatieven.
Nu ook een modelovereenkomst en informatieformulieren voor advocaten en cliënten (niet-consumenten)
We introduceren niet alleen een modelovereenkomst tussen de advocaat en de private cliënt (consument), maar ook een modelovereenkomst voor de samenwerking met de cliënt (niet-consument). Daarnaast bieden we u diverse formulieren aan die specifiek zijn ontworpen om te voldoen aan uw informatieverplichtingen.
DPA schakelt versnelling hoger
Advocaten maken steeds meer gebruik van het DPA-platform, het Digital Platform for Attorneys, opgericht door de OVB en Avocats.be. Sinds de oprichting zo’n zes jaar geleden, werd de operationele werking beheerd door een feitelijke onderneming. Door de gestage groei tot een gezonde onderneming, is besloten om van DPA een volwaardige vennootschap te maken waarin beide communautaire ordes en alle Belgische balies aandeelhouder worden. De oprichtingsakte werd op 12 juni tijdens een uitzonderlijke algemene vergadering bekrachtigd.
Toegang tot notariële registers nu mogelijk via DPA
Notariële authentieke bronnen werden geïntegreerd in het DPA-platform. Vanaf nu kunt zo u het Centraal Register van Testamenten (CRT), het Centraal Register van Huwelijksovereenkomsten (CRH), en het Centraal Erfrechtregister (CER) direct raadplegen via de "Authentic Sources"-applicatie op het DPA-platform. Die functie versnelt het opvragen van informatie aanzienlijk, waarbij de tussenkomst van de Federatie van Notarissen niet meer nodig is.
Digitaliseringswetten I, Ibis en II: een digitale bloemlezing
Tijdens de laatste maanden van deze legislatuur heeft de Kamer nog drie wetsontwerpen van de minister van Justitie goedgekeurd die bijdragen tot de digitalisering van de werking van justitie. We geven u een overzicht van de belangrijkste bepalingen die de advocatuur aanbelangen.
Update werking bewindvoering in het Centraal Inschrijvingsregister
Op 18 maart 2024 is het Centraal Inschrijvingsregister voor kandidaat-huurders van sociale woningen van start gegaan. Dat register stelt kandidaten in staat om hun inschrijving online te starten, te bekijken of aan te passen. Zij kunnen evenwel het inschrijvingsdossier niet definitief indienen of bevestigen. Dat kan alleen u als de bewindvoerder of wettelijke vertegenwoordiger. We geven u een update over de werking van het register.