Informatiemanagement
De advocaat werkt per definitie met vervangende informatie. We vertellen u hieronder u moet voldoen om de informatie voldoende te beveiligen.
Beveiligingsmaatregelen
Norm: De advocaat werkt per definitie met vertrouwelijke informatie. Gegevens waarover u beschikt, zowel die van uzelf als die van uw cliënten, moeten afgeschermd worden van derden en onbevoegden.
Cybercriminaliteit neemt alsmaar toe, in diverse vormen:
- besmetting met ransomware (zoals cryptolockers), waarbij ‘losgeld’ moet betaald worden om opnieuw toegang te krijgen tot de ‘gegijzelde’ systemen of informatie
- datadiefstal
- wachtwoorddiefstal (voor bemachtiging of doorverkopen van data)
- manipulatie van financiële transacties
- afluisteren
- het toegankelijk maken van het systeem voor vervolgaanvallen
- verstoring van technologie
Veiligheidssoftware en controles (zoals antivirus) op alle IT-systemen en hardware is aanwezig en steeds up to date.
Een systeem van toegangscontrole voor bedienden en andere personen die toegang hebben tot gevoelige data is aanwezig.
De advocaat neemt volgende beveiligingsmaatregelen:
- Het netwerk, de servers en alle computers binnen kantoor zijn beveiligd, en informatie wordt beveiligd opgeslagen.
- Onbevoegden hebben geen toegang tot vertrouwelijke gegevens. De toegang tot software en bestanden is geregeld met het gebruik van een sterk persoonsgebonden gebruikersnaam en wachtwoord.
- Het kantoor houdt de geïnstalleerde software zo goed mogelijk up-to-date en geeft prioriteit aan beveiligingsupdates.
- Het kantoor installeert geen onnodige software en maakt geen gebruik van kwetsbare software, zoals Flash (in webbrowsers). Bij Adobe Acrobat PDF reader wordt altijd gebruik gemaakt van de meest recente update.
- Indien het kantoor werkt via cloud computing, neemt het kantoor de richtlijnen van de CCBE in acht. Lees hier de CCBE Guidelines on the use of cloud computing services by lawyers
Back up en recovery procedures zijn aanwezig voor de systemen, data en informatie die nodig zijn voor de kantoorwerking.
Het kantoor maakt elke dag een back-up en op iedere laatste dag van de maand een maandback-up. In veel gevallen wordt de back-up automatisch gemaakt en ontvangt de interne automatiseringsverantwoordelijke per e-mail een rapport van de back-up.
De back-ups worden brandvrij opgeborgen in de daarvoor bestemde kast (kluis). De interne automatiseringsverantwoordelijke bewaart de back-ups van andere dagen van de week buiten het kantoor en neemt die op de dag waarop de tape weer nodig is, mee naar kantoor.
Ook de maandback-up wordt (bij voorkeur buiten kantoor) in een brandvrije kast bewaard.
De interne automatiseringsverantwoordelijke test periodiek het terugzetten van de back-up.
Indien het kantoor werkt met een extern IT-bedrijf of met cloud computing, moet het duidelijk zijn welk back-upregime het kantoor hanteert.
- Er zijn specifieke maatregelen genomen om apparaten als smartphones en tablets veilig te maken. De advocaten en medewerkers gebruiken altijd ten minste een pincode of wachtwoord om een computer of smartphone te ontgrendelen. De apparaten kunnen alleen via een sterke authenticatie contact maken met het bedrijfsnetwerk, en worden volledig gescand voordat ze met het netwerk worden verbonden.
- Het kantoor gaat zorgvuldig om met het gebruik van draadloze netwerken binnen of buiten kantoor, om het risico van afluisteren of ‘hacking’ zo beperkt mogelijk te houden.
- Buiten kantoor gebruikt de advocaat geen internetverbinding of netwerk van derden, maar wel bijvoorbeeld de eigen telefoon om de laptop aan internet te koppelen (‘tethering’). Bij voorkeur via een VPN-verbinding, omdat mobiele datanetwerken niet per definitie veilig zijn.
- Het kantoor gebruikt geen privécomponenten (zoals USB-sticks, extern geheugen, privé tablet of privé smartphone) in het zakelijke netwerk.
- Het kantoor monitort het internetverkeer om aanvallen op de kantoorsystemen te kunnen detecteren.
- Het kantoor controleert binnenkomend internetverkeer en e-mailverkeer door firewalls, speciale antivirus- en antispyware software zo goed mogelijk op virussen, spyware, ransomware en soortgelijk ongerief. Bevat een e-mailbericht een virus of spy-/ransomware, dan wordt het automatisch tegengehouden en licht het kantoor de verzender en ontvanger daarover in via het virusprogramma. Het kantoor beschermt gevoelige informatie altijd met een login.
- Het kantoor maakt bij het versturen of ontvangen van persoonsgegevens of bij het inloggen op systemen uitsluitend gebruik van een versleutelde verbinding.
- In alle uitgaande berichten via de e-mail is een disclaimer opgenomen. Daarvoor is een standaard bericht opgesteld dat verschijnt bij het aanmaken van een nieuw bericht:
"De informatie verzonden met dit e-mailbericht is uitsluitend bestemd voor de geadresseerde[n] en kan persoonlijke of vertrouwelijke informatie bevatten, beschermd door een beroepsgeheim. Gebruik van deze informatie door anderen dan de geadresseerde[n] en gebruik door hen die niet gerechtigd zijn van deze informatie kennis te nemen, is verboden. Indien u niet de geadresseerde bent of niet gerechtigd bent tot kennisneming, is openbaarmaking, vermenigvuldiging, verspreiding en/of verstrekking van deze informatie aan derden niet toegestaan en wordt u verzocht dit bericht terug te sturen en het origineel te vernietigen.'' - Het kantoor controleert het beveiligingsbeleid jaarlijks.
Ook in het kader van de GDPR is beveiliging noodzakelijk.
Acties bij een informatiebeveiligingsincident
Dit moet u doet bij een informatiebeveiligingsincident:
- Allereerst – al dan niet via technische ondersteuning – de controle terugwinnen over de systemen, informatie en werkzaamheden
- Onderzoek doen naar wat er heeft plaatsgevonden en passende maatregelen te nemen. Dat kan inhouden dat ik de systemen tijdelijk buiten gebruik stel, om verdere invloed van buitenaf te voorkomen en met meer zekerheid te kunnen vaststellen wat er precies is gebeurd
- Beveiligingsincidenten administreren (als ik niet kunnen aantonen dat ik verantwoord met informatiebeveiliging omga, kan dat invloed hebben op mijn aansprakelijkheid)
- Een crisis- en communicatieplan opstellen om betrokkenen op de hoogte te brengen
- Indien noodzakelijk melding maken van het incident
Per 1 januari 2016 geldt de meldplicht datalekken. Bij een datalek gaat het om toegang tot of vernietiging, wijziging of vrijkomen van persoonsgegevens zonder dat dit de bedoeling is. Onder een datalek valt dus niet alleen het vrijkomen (lekken) van gegevens, maar ook onrechtmatige verwerking van gegevens. Denk daarbij aan een kwijtgeraakte USB-stick met persoonsgegevens, een gestolen laptop of een inbraak in een databestand door een hacker. Aan de betrokkenen (de mensen van wie de persoonsgegevens zijn gelekt, bijvoorbeeld cliënten of werknemers van ons kantoor) moet het lek in beginsel ook worden gemeld. U moet elk datalek melden aan de Gegevensbeschermingsautoriteit, tenzij het onwaarschijnlijk is dat het een risico inhoudt voor de betrokkenen.
Indien een melding aan de Gegevensbeschermingsautoriteit vereist is, moet de melding gebeuren uiterlijk binnen 72 uur nadat u kennis heeft genomen van het datalek.
U moet een datalek verder onverwijld melden aan de betrokkenen zelf wanneer het waarschijnlijk is dat het datalek een hoog risico inhoudt voor die betrokkenen. Er moet geen melding worden gedaan wanneer de corrigerende maatregelen ervoor zorgen dat het waarschijnlijk hoog risico voor de betrokkenen zich niet (langer) kan voordoen.
Ook interessant
Beveiliging
Advocaten moeten passende technische en organisatorische beveiligingsmaatregelen nemen die een beveiligingsniveau waarborgen dat is afgestemd op het risico dat gepaard gaat met hun verwerkingen van persoonsgegevens.
Datalekken
Indien zich een datalek of “inbreuk in verband met de persoonsgegevens” voordoet, hebt u als advocaat een documentatie- en (in bepaalde gevallen) meldplicht aan zowel de Gegevensbeschermingsautoriteit als de betrokkenen. Daarom is het raadzaam om een procedure op te stellen.
Peer review
Een peer review is een collegiale toetsing waarbij een advocaat als auditor oordeelt of uw kantoor aan de kwaliteitseisen voldoet. Zo gaat u op een grondige manier na of uw kantoor op de juiste manier werkt en of u uw dienstverlening kunt optimaliseren. U krijgt een gedetailleerd en strikt vertrouwelijk rapport met eventuele verbeterpunten.
Ook interessant
Risicobeheer
Advies onverenigbaarheden nr. 8 bis
Gerelateerd nieuws
GBA beboet advocatenkantoor voor gebrek aan transparantie en inzagerecht
In een recente beslissing van 8 mei 2026 maakt de Geschillenkamer van de GBA duidelijk dat ook advocatenkantoren de AVG strikt moeten naleven. Het beroepsgeheim of een lopend ereloonconflict kan niet ingeroepen worden om de proactieve informatieplicht naast zich neer te leggen of een rechtmatig inzageverzoek te blokkeren.
Tweede editie GDPR-roadshow: praktijkgerichte inzichten voor advocaten
Na het succes van de GDPR-roadshows in 2024 organiseert onze Commissie GDPR dit jaar een tweede editie. Deze interactieve sessies bij elke lokale balie bieden u een update over de belangrijkste ontwikkelingen op het vlak van GDPR en de opmars van artificiële intelligentie (AI).
Meer duidelijkheid over GDPR en bewijsvoering
In een recent arrest van het hof van beroep te Brussel brengt het hof meer duidelijkheid omtrent de verhouding tussen de GDPR en het gebruik van niet-gepseudonimiseerde vonnissen en arresten. In dit arrest oordeelde het hof dat het gebruik van een niet-gepseudonimiseerd vonnis als bewijsstuk in de concrete context van de voorliggende gerechtelijke procedure geen schending van de GDPR vormde.
Praktische IT-audit helpt uw kantoor cyberveilig te blijven
Advocatenkantoren verwerken dagelijks gevoelige informatie. Juist daarom is digitale veiligheid cruciaal, maar het is niet altijd duidelijk waar de risico’s liggen. Dankzij een nieuwe samenwerking met Davinsi Labs kunnen advocatenkantoren nu een gespecialiseerde beveiligingsaudit laten uitvoeren, inclusief een overzichtelijk rapport met praktische aanbevelingen.
Nieuwe aanmeldmogelijkheid met de MyGov.be app vanaf 14 oktober 2025
Vanaf 14 oktober 2025 kunt u zich aanmelden op alle DPA- en OVB-applicaties met de MyGov.be app, naast de bestaande mogelijkheden.
Cyberaanval op Britse Legal Aid Agency
Op 23 april 2025 werd de Legal Aid Agency in het Verenigd Koninkrijk, een uitvoerend agentschap van het Britse ministerie van Justitie en vergelijkbaar met het Bureau voor Juridische Bijstand, getroffen door een grootschalige cyberaanval. Gevoelige persoonsgegevens van aanvragers van juridische bijstand sinds 2010 zijn gelekt.
EU versoepelt GDPR-registerplicht voor middelgrote ondernemingen
De Europese Commissie wil de administratieve lasten voor middelgrote ondernemingen verlichten. Bedrijven met maximaal 750 werknemers en een jaaromzet tot 150 miljoen euro zouden binnenkort vrijgesteld kunnen worden van de GDPR-registerplicht — tenzij hun gegevensverwerking een hoog risico inhoudt voor de rechten en vrijheden van betrokkenen.
GDPR-roadshow: praktijkgerichte infosessies voor advocaten
Na het succes van de sessie FAQ GDPR tijdens het OVB Congres 2024 organiseren we, in samenwerking met onze Commissie GDPR, een GDPR-roadshow. Deze interactieve sessies zijn bedoeld om u te informeren over essentiële GDPR-thema’s en een dialoog aan te gaan over de praktische toepassing van deze regels binnen de advocatuur.
Nieuwe verplichting: inloggen met itsme® wordt standaard voor advocaten
Vanaf nu wordt het voor advocaten sterk aanbevolen om gebruik te maken van sterke authenticatie via itsme® bij het inloggen op alle DPA- en OVB-applicaties, evenals op onze website (www.ordevanvlaamsebalies.be). Inloggen met een gebruikersnaam en wachtwoord blijft alleen mogelijk voor applicaties die nog zwakke authenticatie toestaan, maar de voorkeur gaat duidelijk uit naar veiligere alternatieven.