Advocatenkantoor beboet voor schending transparantieplicht en weigering inzagerecht

KORTE SAMENVATTING

Een Belgisch advocatenkantoor werd door de GBA beboet voor het niet informeren van cliënten over de verwerking van hun persoonsgegevens én voor het stelselmatig weigeren gevolg te geven aan een inzageverzoek onder de AVG. De Geschillenkamer legde twee afzonderlijke geldboeten op van respectievelijk 2.520 euro en 2.400 euro, en beval de verweerder alsnog volledig aan het inzageverzoek te voldoen. De beslissing bevestigt dat advocatenkantoren geen bijzondere vrijstelling genieten van de AVG-verplichtingen en dat beroepsgeheim niet kan worden ingeroepen om voormalige cliënten toegang tot hun eigen persoonsgegevens te ontzeggen.

In haar beslissing ten gronde nr. 99/2026 van 8 mei 2026 stelt de Geschillenkamer van de Gegevensbeschermingsautoriteit (GBA) twee afzonderlijke inbreuken op de AVG vast door een Belgisch advocatenkantoor, en legt zij twee administratieve geldboeten op van in totaal 4.920 euro.

Achtergrond en feiten

Een moeder, die tevens haar minderjarige dochter vertegenwoordigt, was van november 2019 tot begin februari 2020 cliënte bij het advocatenkantoor. Een onbetaalde factuur van circa 3.800 euro bleef open staan. Op 20 januari 2023 dienden de klagers een uitgebreid inzageverzoek in op grond van artikel 15 AVG, met betrekking tot de persoonsgegevens van de moeder, haar dochter en haar echtgenoot, en vroegen zij tevens om inzage in het register van verwerkingsactiviteiten en informatie over beveiligingsmaatregelen en rechtsgronden. Dit verzoek moest driemaal worden herhaald (23 februari, 15 maart en 3 april 2023) alvorens een afdoend antwoord te bekomen, dat uitbleef. Op 5 april 2023 maakte het kantoor zijn volledige medewerking afhankelijk van de betaling van 135 euro, met een beroep op artikel 12.5.a) AVG (kennelijk ongegronde of buitensporige verzoeken). Op 5 juni 2024 dienden de klagers een klacht in bij de GBA.

Inbreuk 1: Schending van het transparantiebeginsel (art. 5.1.a), 12.1 en 13 AVG)

De Geschillenkamer stelt vast dat het advocatenkantoor bij aanvang van de contractuele relatie geen enkele informatie verstrekte over de verwerking van persoonsgegevens — niet via het contract, niet via een privacyverklaring en niet via enig ander document. Het verweer dat AVG-naleving inherent is aan het advocatenstatuut, wordt scherp verworpen: een dergelijk formeel argument ontslaat de verwerkingsverantwoordelijke niet van zijn concrete en actieve informatieverplichting jegens individuele betrokkenen. Het argument betreffende de statische HTML-website wordt wel aanvaard (geen gegevensverwerking via de website), maar doet niet af aan de algemene informatieverplichting. De inbreuk wordt als systematisch gekwalificeerd, maar als beëindigd beschouwd: inmiddels heeft het kantoor zijn modelcontracten voorzien van privacyclausules.

Inbreuk 2: Schending van het recht van inzage (art. 12.2, 12.4 en 15 AVG)

De Geschillenkamer verwerpt de drie verweergronden van het advocatenkantoor:

- Identiteitsbewijs: Artikel 12.6 AVG verleent de verwerkingsverantwoordelijke niet het recht een verzoek te weigeren wegens twijfel over de identiteit; het staat hem enkel toe aanvullende informatie te vragen ter verificatie. Het kantoor vroeg dit niet, en reageerde evenmin op de vraag van de moeder hoe zij haar identiteit kon aantonen. Bovendien had het kantoor in een andere procedure zelf verwezen naar het inzageverzoek, wat zijn beweerde twijfel over de identiteit verder ondergraaft.

- Verzoek inzake de dochter en de echtgenoot: De weigering inzake de echtgenoot was terecht (geen volmacht). De weigering inzake de minderjarige dochter was echter onterecht: de moeder oefent van rechtswege het ouderlijk gezag uit over haar minderjarige dochter en was bijgevolg bevoegd om in haar naam het inzagerecht uit te oefenen. Het kantoor was bovendien op de hoogte van de familiale band.

- Vergoeding van 135 euro: De herhalingen van het verzoek waren niet het gevolg van misbruik of kwade trouw, maar van de onrechtmatige weigeringen van het kantoor zelf. Het ging om één en hetzelfde verzoek dat telkens werd herhaald omdat het onrechtmatig werd afgewezen — geen afzonderlijke nieuwe verzoeken. De uitzonderingsregeling van artikel 12.5 AVG moet strikt worden geïnterpreteerd, en het kantoor slaagt er niet in de bewijslast te dragen die de bepaling hem oplegt.

- Beroepsgeheim: Het beroepsgeheim beschermt de cliënt tegen openbaarmaking aan derden; het kan niet worden ingeroepen om de cliënt zelf de toegang tot zijn eigen persoonsgegevens te weigeren.

Samenloop van inbreuken

Het kantoor beriep zich op artikel 83.3 AVG (eenheid van handelingen), wat zou betekenen dat slechts de hoogste geldboete van toepassing is. De Geschillenkamer verwerpt dit: de informatieplicht (art. 13 AVG) heeft een algemeen karakter en speelt bij de initiële gegevensverzameling, terwijl het recht van inzage (art. 15 AVG) een individueel karakter heeft en actualiseert bij een concreet verzoek. Beide inbreuken vloeien voort uit verschillende gedragingen en zijn conceptueel onafhankelijk van elkaar. Zelfs als aan één verplichting was voldaan, zou de andere inbreuk zijn blijven bestaan.

Sancties

De geldboeten worden berekend aan de hand van de vijfstappenmethode uit de EDPB-Richtsnoeren 04/2022. Beide inbreuken vallen onder artikel 83.5 AVG (maximumboete: 20.000.000 euro). De ernst van de inbreuken wordt als gering gekwalificeerd, maar het feit dat een advocatenkantoor geacht wordt het recht grondig te kennen en gevoelige gegevens (gezondheidsgegevens van de minderjarige dochter) verwerkte, wordt in aanmerking genomen. Het uitgangsprocent bedraagt 6% voor inbreuk 1 (systematisch, fundamenteel beginsel) en 4% voor inbreuk 2 (individueel geval). Na aanpassing voor de omvang van de onderneming (jaaromzet 2024: 406.909,53 euro; factor 0,3%) en een verzachtende omstandigheid van -30% voor inbreuk 1 (spontane aanpassing van de contractpraktijk vóór de procedure), bedragen de eindboeten respectievelijk 2.520 euro en 2.400 euro. Samen 4.920 euro — ruim onder het wettelijk maximum.

Naast de geldboeten wordt het advocatenkantoor bevolen om binnen één maand alsnog volledig gevolg te geven aan het inzageverzoek overeenkomstig artikel 15.1.a)–h) AVG en hiervan de GBA per e-mail op de hoogte te stellen.

Precedentwaarde

Deze beslissing bevestigt dat advocatenkantoren als verwerkingsverantwoordelijken volledig onder de AVG vallen, zonder enig privilege voortvloeiend uit hun beroepsstatuut of beroepsgeheim. Zij is tevens een duidelijk signaal aan de vrije beroepensector dat de proactieve informatieplicht bij contractsluiting strikt wordt gehandhaafd en dat het beroepsgeheim niet als schild kan dienen tegen de uitoefening van AVG-rechten door de betrokkenen zelf.