Een cliënt mailt processtukken, het secretariaat zet een aantekening over een aangifte in het dossier, en op je website bekijkt iemand anoniem de pagina over strafrecht. Drie alledaagse momenten op een advocatenkantoor, en alle drie raken ze de AVG. Het beroepsgeheim dekt veel, maar niet dit.
Veel van wat een advocatenkantoor verwerkt valt onder art. 10 AVG: gegevens over verdenkingen, aangiftes, veroordelingen en strafbare feiten. Dat speelt niet alleen in strafzaken. Ook een arbeidsdossier met een ontslag wegens fraude of een familiezaak met een aangifte bevat strafrechtelijke gegevens. Voor rechtsbijstand kent de UAVG een uitzondering die deze verwerking mogelijk maakt, maar die uitzondering ontslaat je niet van de rest: je moet weten in welke dossiers deze gegevens zitten, wie erbij kan en hoe lang ze blijven staan. En waar de meeste ondernemers alleen met de AP te maken hebben, kijkt bij een advocaat ook de deken mee. Concreet: breng in kaart welke dossiers art. 10-gegevens bevatten, beperk de toegang tot behandelaar en secretariaat, en neem dit op in je verwerkingsregister.
art. 10 + art. 30 AVG, UAVGWie jouw pagina over strafrecht of echtscheiding bekijkt, is vaak zelf betrokkene. Draaien daar Google Analytics, een chatwidget of extern geladen lettertypen, dan gaat het IP-adres van die bezoeker naar Amerikaanse servers, gekoppeld aan de bezochte pagina. Een derde partij weet dan dat dit adres zich oriënteert op een strafrechtadvocaat, nog voordat er een dossier bestaat. Voor doorgifte buiten de EER gelden strenge voorwaarden (art. 44 e.v. AVG) en voor het plaatsen van trackers is voorafgaande toestemming nodig (art. 11.7a Telecommunicatiewet). Concreet: host lettertypen op je eigen server, schrap trackers die je niet echt gebruikt, en zorg voor een cookiebanner waarin weigeren net zo makkelijk is als accepteren. Juist op een kantoorsite is dit snel te regelen.
art. 44 e.v. AVG + art. 11.7a TelecommunicatiewetDe beroepsregels verplichten je een dossier een aantal jaren te bewaren, maar in de praktijk wordt daarna zelden opgeruimd. Zaakdossiers van tien jaar geleden staan nog in het documentsysteem, oude cliënten staan nog in het CRM, en de mailbox bevat correspondentie van nog langer terug. De AVG vraagt niet dat je alles direct weggooit; hij vraagt dat je een termijn kiest, vastlegt en naleeft (art. 5 AVG). Bij dossiers vol strafrechtelijke of medische gegevens weegt dat zwaarder: elk jaar dat ze onnodig blijven staan, groeit de schade bij een hack of een verkeerd gedeelde map. Concreet: stel een bewaarschema op per dossiertype, plan een jaarlijkse opruimronde, en vergeet de mailboxen en de oude back-ups niet.
art. 5 AVGEen modern kantoor draait op leveranciers: een dossiersysteem in de cloud, dicteer- of transcriptiesoftware, een mailprovider, soms een AI-tool die stukken samenvat. Elk van die partijen verwerkt cliëntgegevens namens jou, en dus hoort er met elk een verwerkersovereenkomst te liggen (art. 28 AVG) en moet de beveiliging passen bij de gevoeligheid van de inhoud (art. 32 AVG). Bij een advocatenkantoor komt daar het beroepsgeheim bovenop: een leverancier die kan meelezen in processtukken is niet zomaar een ICT-vraag. Concreet: maak een lijst van alle tools waar cliëntgegevens doorheen gaan, controleer per tool of er een verwerkersovereenkomst ligt en waar de data staat, en wees terughoudend met het invoeren van dossierinhoud in AI-tools zolang dat niet contractueel geregeld is.
art. 28 + art. 32 AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanJa. Het beroepsgeheim regelt wat je aan derden mag vertellen, de AVG regelt hoe je gegevens verwerkt, beveiligt en bewaart. Ze bestaan naast elkaar. Een kantoor kan zich keurig aan de geheimhouding houden en toch dossiers te lang bewaren of gegevens onbeveiligd mailen.
Voor rechtsbijstand kent de UAVG een uitzondering op het verbod van art. 10 AVG. Die uitzondering geeft je een basis, geen vrijbrief: je moet nog steeds de toegang beperken, een bewaartermijn hanteren en deze verwerking in je register opnemen.
De beroepsregels kennen minimumtermijnen voor dossiers, en soms geeft de aard van de zaak reden om langer te bewaren. De AVG eist dat je zelf een termijn per dossiertype vastlegt en die ook naleeft (art. 5 AVG). Voor altijd bewaren zonder onderbouwing mag niet.
Alleen met een cookiebanner die vooraf echte toestemming vraagt en een gelijkwaardige weigerknop heeft (art. 11.7a Telecommunicatiewet). Bedenk daarbij dat het bezoek aan een pagina over strafrecht op zichzelf al iets over iemand zegt. Een privacyvriendelijk alternatief zonder doorgifte naar de VS is voor een kantoorsite vaak de eenvoudiger route.
Een FG is verplicht als de kernactiviteit bestaat uit grootschalige verwerking van bijzondere of strafrechtelijke gegevens (art. 37 AVG). Voor een klein kantoor is dat meestal niet het geval, maar leg de afweging vast, zodat je kunt laten zien dat je erover hebt nagedacht.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.