Clausule voor privacybescherming in berichten aan tegenpartij
De Gegevensbeschermingsautoriteit legde in december een verwerkingsverantwoordelijke, in dit geval een gerechtsdeurwaarder, een hoge boete op wegens een inbreuk op het beginsel van de informatieverplichting.
Welke lessen kunnen we daaruit trekken voor de advocatuur? We hebben, in samenwerking met onze data protection officer, een standaardclausule rond privacybescherming opgesteld die u als advocaat kan overnemen in stukken of berichtgevingen gericht aan de tegenpartij van uw cliënt.
Een gerechtsdeurwaarder krijgt de opdracht om naar een derde partij een ingebrekestelling te versturen naar aanleiding van een onbetaalde parkeerboete. In overeenstemming met de geldende principes uit de AVG beroept die derde partij zich op zijn inzagerechten en vraagt bovendien naar de oorsprong en de rechtsgrond van zijn persoonsgegevens. De verwerkingsverantwoordelijke moet binnen 1 maand op zijn verzoek reageren. Dat werd ook effectief door de gerechtsdeurwaarder nageleefd maar wegens onvoldoende transparante en duidelijke gegevens werd alsnog een klacht ingediend bij de Gegevensbeschermingsautoriteit.
Beslissing Gegevensbeschermingsautoriteit
De Gegevensbeschermingsautoriteit stelt een inbreuk vast op het beginsel van de informatieverplichting die de gerechtsdeurwaarder heeft als verwerkingsverantwoordelijke ten opzichte van elke betrokkene, in dit geval de klager. In zijn eerste communicatiemiddel uitgestuurd naar de betrokkene, namelijk de ingebrekestelling, was namelijk geen clausule rond gegevensbescherming opgenomen. Enkel een verwijzing naar de website van het kantoor via een link waar een privacy policy is opgenomen volstaat niet.
Als gevolg van deze inbreuken tegen de AVG krijgt de gerechtsdeurwaarder een boete van 15.000 euro opgelegd.
Gezien de hoogte van de boetes die de Gegevensbeschermingsautoriteit mag vorderen op grond van de AVG (naargelang de ernst, duur en omvang van de overtreding tot maximaal 20.000.000 euro of 4% van de wereldwijde jaaromzet van een onderneming!) is het wederom belangrijk om de basisprincipes uit de AVG na te leven, zeker in de advocatuur waar enorm veel persoonsgegevens worden verwerkt.
Lessen voor de advocatuur
Na verdere analyse van de beslissing van de Gegevensbeschermingsautoriteit, bespreken we enkele belangrijke principes die blijken uit de informatieverplichting op grond van artikel 14 van de AVG waar de advocaat waakzaam over dient te zijn tijdens zijn berichtgeving naar de tegenpartij.
1. Informatieplicht uit artikel 14 AVG wanneer de persoonsgegevens niet van de betrokkene zijn verkregen
De beslissing bespreekt op welke wijze de informatieplicht moet worden nageleefd ten aanzien van betrokkenen van wie de persoonsgegevens niet rechtstreeks zijn verkregen. Artikel 14, §1 en §2 van de AVG zet uiteen welke informatie van de betrokkene hierbij moet worden meegedeeld. In het geval van een advocaat die bijvoorbeeld een ingebrekestelling verstuurt naar de tegenpartij, zal de advocaat de informatieplicht uit artikel 14 van de AVG moeten naleven aangezien de persoonsgegevens van de tegenpartij verkregen werden door bijvoorbeeld de cliënt of bepaalde overheidsdatabanken.
De relevante passages uit de beslissing van de Gegevensbeschermingsautoriteit daarover vinden we terug in het gedeelte over de eerste verweerster (i.e. de parkeerwachters):
(52) En l’espèce, s’agissant de données qui n’ont pas été recueillies directement auprès de la plaignante, la première défenderesse était tenue de lui fournir une information au regard des traitements de données opérés la concernant dans le contexte de la perception de la redevance due. Quant au contenu de cette information, conformément à la jurisprudence de la Chambre Contentieuse, les éléments listés tant au § 1er qu’au § 2 de l’article 14 devaient lui être communiqués. [….]
(53) La Chambre Contentieuse est d’avis qu’à la lumière de la quantité d’informations à fournir à la personne concernée, des responsables du traitement tel les défenderesses devraient adopter une approche à plusieurs niveaux. D’une part, la personne concernée doit d’emblée disposer d’une information claire, accessible sur le fait que des informations sur le traitement de ses données à caractère personnel (politique de confidentialité) existent et du lieu où elle pourra les trouver dans leur intégralité.
(54) D’autre part, sans préjudice de l’accessibilité de la politique de confidentialité dans son intégralité, la personne concernée doit, dès la première communication du responsable de traitement avec elle, être informée des détails de la finalité du traitement concerné, de l’identité du responsable du traitement et des droits dont elle dispose. L‘importance de fournir ces informations en amont découle en particulier du considérant 39 du RGPD. Toute information supplémentaire nécessaire pour permettre à la personne concernée de comprendre, à partir des informations fournies à ce premier niveau, quelles seront pour elle les conséquences du traitement en question devra être ajoutée.
Op basis van overweging 54 is het voldoende dat in de eerste berichtgeving aan een tegenpartij via een privacyclausule volgende gegevens worden opgenomen opdat de gevolgen voor de tegenpartij duidelijk zou zijn:
- de identificatie van de verwerkingsverantwoordelijke
- de vermelding van de doeleinden van de verwerking
- de rechten van de betrokkene meedelen
- voor het overige verwijzen naar de (volledige) privacyverklaring
Op de algemene informatieverplichting uit artikel 14 van de AVG zijn specifiek twee uitzonderingen belangrijk voor advocaten.
Hieronder gaan we verder in op de uitzondering op basis van een wettelijke verplichting en op basis van het beroepsgeheim. We bekijken ook wat dat concreet voor de advocaat inhoudt.
2. Uitzondering op de informatieplicht uit artikel 14 AVG op basis van een wettelijke verplichting
De gerechtsdeurwaarder heeft in zijn verweer getracht zich te beroepen op de uitzondering op de informatieplicht voorzien in artikel 14, §5 (c) van de AVG: de informatieplicht geldt niet wanneer en voor zover “het verkrijgen of verstrekken van de gegevens uitdrukkelijk is voorgeschreven bij Unie- of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is en dat recht voorziet in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen”.
In dit kader verduidelijkt de beslissing dat die uitzondering op de informatieplicht enkel kan gelden als de betrokken wettelijke bepaling minstens volgende informatie bevat:
(101) Cette exception ne peut par ailleurs être invoquée que si des garanties appropriées visant à protéger les intérêts légitimes des personnes concernées sont prévues par ladite règlementation. La Chambre Contentieuse estime qu’en l’espèce, ces garanties doivent consister en un ensemble d’informations minimales relatives aux traitements de données lesquelles doivent figurer dans l’acte réglementaire en exécution duquel la communication des informations a lieu.
(102) La Chambre Contentieuse est d’avis qu’au minimum, les éléments d’information suivants - inspirés de l’article 23.2. du RGPD - auraient dû y figurer : finalité du traitement, catégories de données à caractère personnel traitées, identité du responsable de traitement, durée de conservation et une référence aux droits des personnes concernées.
De wettelijke verplichting waar beroep op wordt gedaan als uitzondering op de informatieverplichting, moet dus uitdrukkelijk het doel van de verwerking, de categorieën van verwerkte persoonsgegevens, de identiteit van de verwerkingsverantwoordelijke, de bewaartermijn en een verwijzing naar de rechten van de betrokkenen omvatten, anders kan de verwerkingsverantwoordelijke zich niet beroepen op die uitzondering.
De uitzondering op de informatieplicht op basis van een wettelijke verplichting is ook van belang bij de professionele beroepsuitoefening van advocaten. Het is dus niet zo dat er geen informatieplicht geldt wanneer de advocaat persoonsgegevens verwerkt op basis van een wettelijke verplichting. De advocaat moet telkens nagaan of de betrokken wetgeving de vereiste informatie bevat anders mag ook de advocaat geen beroep doen op die uitzondering.
De beslissing bevat ook nog een belangrijke verduidelijking dat, als best practice, de betrokkene in bevestigend geval wel expliciet moet gewezen worden op de wetgeving waar hij de betrokken informatie kan terugvinden:
(107) La Chambre Contentieuse tient par ailleurs à préciser ce qui suit. Dans le cadre de son argumentation, la seconde défenderesse conclut que le RGPD n’impose pas au responsable de traitement de communiquer aux personnes concernées les références de l’acte normatif à l’appui duquel il considère être dispensé de son obligation d’information. Cependant, à défaut de toute information à cet égard, il est illusoire de penser que les personnes concernées chercheront (et trouveront) l’acte normatif en question contenant les garanties requises et leur permettant de s’informer. La Chambre Contentieuse estime qu’il serait, lorsque cette dispense d’information peut être invoquée (quod non en l’espèce), de bonne pratique de communiquer cette référence.
3. Uitzondering op de informatieplicht uit artikel 14 AVG op basis van het beroepsgeheim
De beslissing van de Gegevensbeschermingsautoriteit gaat niet concreet in op de uitzondering op de informatieplicht op basis van het beroepsgeheim zoals omschreven in artikel 14, §5 (d) van de AVG. Maar als we de redenering van de beslissing over de uitzondering op basis van de wettelijke verplichting doortrekken, lijkt het aangewezen dat de privacyclausule ook uitdrukkelijk vermeldt dat de tegenpartij de betrokken informatie niet eerder heeft ontvangen omwille van het beroepsgeheim van de advocaat.
Een clausule voor advocaten
Op basis van de overwegingen uit de beslissing van de Gegevensbeschermingsautoriteit, heeft de OVB een privacyclausule opgesteld die advocaten moeten vermelden op hun eerste stukken en berichtgevingen gericht aan de tegenpartij.
Die clausule omvat enkel de minimale informatiegegevens die moeten worden meegedeeld aan de tegenpartij en betreft dus in feite een korte samenvatting. Een volledig overzicht van de informatieverplichtingen moet via een privacyverklaring aan de betrokkene kenbaar worden gemaakt, bijvoorbeeld via de website.
De clausule:
Privacy: Het advocatenkantoor [NAAM – ADRES - ONDERNEMINGSNUMMER] heeft uw persoonsgegevens ontvangen in het kader van de juridische dienstverlening aan zijn cliënt. Uw persoonsgegevens worden enkel verwerkt in de mate dat en zolang dit noodzakelijk is voor de behartiging van de belangen van de cliënt. U kan ons altijd contacteren voor de uitoefening van de volgende rechten: een verzoek om toegang of rectificatie van uw persoonsgegevens; een verzoek om wissing van uw persoonsgegevens; een verzoek om beperking van de verwerking van uw persoonsgegevens; een bezwaar tegen de verwerking van uw gegevens; een verzoek tot overdracht van uw gegevens; een klacht als u van mening bent dat we niet handelen in overeenstemming met de toepasselijke wetgeving inzake gegevensbescherming. U kan ook een klacht indienen bij de Belgische Gegevensbeschermingsautoriteit. U kunt uw verzoeken richten aan [NAAM] via [CONTACTGEGEVENS]. Wij respecteren alle rechten met betrekking tot uw persoonsgegevens waarop u volgens de toepasselijke wetgeving recht hebt.
U kan onze volledige privacyverklaring terugvinden op: [LINK WEBSITE]. Wij hebben u deze informatie niet eerder bezorgd omdat wij ten aanzien van de cliënt gebonden zijn door een beroepsgeheim overeenkomstig artikel 458 van het Strafwetboek.
Ook interessant
GDPR-wijzer geactualiseerd
De GDPR-wijzer is een volledige toolkit voor u als advocaat over de praktische implementatie van de GDPR. De GDPR is geen statisch document. De interpretatie ervan en de concrete to do’s die daaruit volgen hebben daarom soms nood aan een herziening met een frisse blik. Om die reden zijn er recent tien GDPR-wijzeronderwerpen geüpdatet en is één extra onderwerp toegevoegd. Elk onderwerp bestaat uit een beknopte toelichting, concrete to do’s, praktische modellen en antwoorden op uw veelgestelde vragen.
Herziene modelovereenkomst en informatieformulieren voor advocaten en cliënten
We actualiseerden de modelovereenkomst tussen advocaat en private cliënt (consument). Daarnaast stellen we een bijgewerkte versie ter beschikking van diverse formulieren om te voldoen aan uw informatieverplichtingen die voortvloeien uit het Wetboek van Economisch Recht, de GDPR, de witwaspreventiewet, de Codex Deontologie en het Gerechtelijk Wetboek.