Når tavshedspligt møder GDPR i advokatkontorets daglige drift
Spændingsfeltet mellem absolut fortrolighed og kravet om gennemsigtighed
Set fra et juridisk perspektiv står advokatkontoret i et komplekst samspil mellem to regelsæt, der begge beskytter borgeren, virksomheden og retssamfundet. Tavshedspligten efter retsplejelovens regler om advokaters fortrolighed betyder, at oplysninger modtaget som led i advokatvirksomheden ikke må videregives uberettiget. Databeskyttelsesforordningen stiller samtidig krav om lovlighed, gennemsigtighed, sikkerhed, dataminimering og dokumentation, når kontoret behandler personoplysninger.
Det ene regelsæt ophæver ikke det andet. Tavshedspligten fritager derfor ikke advokatkontoret fra at kunne forklare, hvorfor oplysninger behandles, hvor længe de opbevares, hvem der har adgang, og hvordan rettigheder håndteres. Først og fremmest kræver det en operationel model, hvor juridisk vurdering, tekniske løsninger og daglige arbejdsgange hænger sammen. Formålet er ikke at vælge mellem fortrolighed og GDPR, men at sikre, at begge hensyn indarbejdes i samme proces.
Afgrænsning af retsgrundlaget for advokatens databehandling
Fortrolighed og personoplysninger er ikke identiske begreber. Tavshedspligten omfatter som udgangspunkt alle oplysninger, advokaten modtager eller bliver bekendt med som led i arbejdet for klienten, uanset om oplysningerne vedrører en identificeret person. Personoplysninger er derimod enhver information, der direkte eller indirekte kan knyttes til en fysisk person. Et navn, en e-mailadresse, en IP-adresse, helbredsoplysninger, økonomiske data og oplysninger i en retssag kan derfor være personoplysninger, selv om de samtidig er fortrolige.
Advokatkontoret skal identificere en behandlingshjemmel efter artikel 6. I klientforhold vil opfyldelse af en aftale, overholdelse af en retlig forpligtelse eller en konkret interesseafvejning ofte være mere relevant end samtykke. Samtykke bør ikke bruges som standardløsning, når behandlingen reelt er nødvendig for at føre sagen, opfylde bogføringskrav, gennemføre kundekendskabsprocedurer eller varetage en legitim juridisk interesse. Ved følsomme oplysninger skal der desuden findes en hjemmel efter artikel 9, eksempelvis fordi behandlingen er nødvendig for at fastlægge, gøre gældende eller forsvare et retskrav.
Det europæiske regelsæt beskrives overskueligt i Wikipedia om GDPR, men den konkrete vurdering skal foretages efter gældende dansk ret, Datatilsynets praksis og advokatens professionelle regler. Retsplejelovens tavshedspligt regulerer, om oplysninger må røbes, mens GDPR blandt andet regulerer, om oplysninger må indsamles, bruges, opbevares og slettes. Et sikkerhedsbrud kan derfor samtidig være et brud på tavshedspligten og et brud på persondatasikkerheden. Enhver hændelse bør vurderes efter begge regelsæt.
| Spørgsmål | Praktisk vurdering |
|---|---|
| Er oplysningen fortrolig? | Vurder relationen til klienten, oplysningens karakter og advokatens rolle. |
| Er oplysningen en personoplysning? | Undersøg, om en fysisk person kan identificeres direkte eller indirekte. |
| Hvorfor behandles oplysningerne? | Fastlæg formål og vælg en konkret hjemmel efter artikel 6 og eventuelt artikel 9. |
| Hvem har adgang? | Begræns adgang efter arbejdsbetinget behov, rolle og sagstilknytning. |
Klientens rettigheder over for advokatens tavshedspligt
Indsigtsanmodninger bliver særligt vanskelige, når den registrerede ikke er klienten, men en modpart, et vidne, en direktør eller en anden person, hvis oplysninger indgår i sagen. En anmodning giver ikke automatisk ret til udlevering af hele sagsmappen. Advokatkontoret skal først fastslå identiteten, afgrænse hvilke oplysninger der vedrører den pågældende, og vurdere, om udlevering vil afsløre klientens fortrolige oplysninger, advokatens juridiske vurderinger eller oplysninger om andre personer.
Databeskyttelseslovens § 22 kan få betydning, når hensynet til den registreredes rettigheder må vige for blandt andet private interesser, retlige krav eller hensynet til retshåndhævelse. Bestemmelsen skal ikke bruges som en generel undtagelse fra GDPR. Den kræver en konkret vurdering og en dokumenteret begrundelse. I praksis bør kontoret derfor udarbejde et internt notat, der forklarer, hvilke oplysninger der er identificeret, hvilke hensyn der taler for og imod udlevering, og hvorfor resultatet er proportionalt.
Klientens ret til berigtigelse kræver også præcision. Faktuelle fejl kan normalt korrigeres, men advokaten skal ikke ændre historiske dokumenter, processkrifter eller bevismateriale, blot fordi klienten er uenig i indholdet. Sagsakter skal kunne dokumentere, hvad der blev modtaget, hvornår det skete, og hvilke vurderinger der blev foretaget. En praktisk løsning kan være at bevare originalen, tilføje en dateret rettelse og registrere klientens indsigelse særskilt.
- Afklar om anmodningen kommer fra klienten, modparten eller en anden registreret.
- Skeln mellem personoplysninger, fortrolige klientoplysninger og advokatens egne vurderinger.
- Kontroller, om udlevering vil skade klientens retlige position eller afsløre oplysninger om tredjemand.
- Dokumenter afgørelsen, herunder eventuelle delvise afslag og anvendte undtagelser.
- Overhold svarfrister, men giv ikke afkald på tavshedspligten for at svare hurtigt.
Systematisk fastsættelse af slettefrister og opbevaringsbegrænsning
Opbevaring må ikke bygge på en ubestemt formulering som “så længe det er nødvendigt”. Advokatkontoret skal kunne forklare, hvad nødvendighed betyder for forskellige sagstyper. En afsluttet retssag, en transaktion, en straffesag, en personalesag og en klienthenvendelse uden egentlig sag kan have forskellige opbevaringsbehov. Samtidig kan bevismæssige hensyn, forældelsesregler, bogføringsregler, hvidvaskkrav og forsikringsvilkår tale for længere opbevaring end den aktive sagsperiode.
Forældelseslovens almindelige frist på ti år kan være et relevant udgangspunkt i visse advokatforhold, men den er ikke i sig selv en automatisk tilladelse til at opbevare alle oplysninger i ti år. Dataminimering og opbevaringsbegrænsning kræver en konkret vurdering af formål, risiko og dokumentationsbehov. Praksis fra Datatilsynet om Taxa 4×35 viser, at oplysninger ikke bliver anonymiserede, blot fordi et navn fjernes. Hvis et telefonnummer eller en anden nøgle fortsat gør en person identificerbar, består personoplysningerne.
En slettepolitik skal også omfatte sikkerhedskopier, e-mails, dokumentstyringssystemer, klientportaler og lokale kopier. Det er ikke tilstrækkeligt at have en manuel oversigt, hvis ingen kan kontrollere, om sletningen faktisk er gennemført. Kontoret bør derfor kombinere faste frister med teknisk understøttelse, logning og periodiske stikprøver. Når en sag sættes på hold på grund af en tvist, en klage eller et muligt erstatningskrav, skal en såkaldt legal hold kunne suspendere den normale sletteproces.
- Kortlæg sagstyper, dokumentkategorier, systemer og relevante lovbestemte opbevaringskrav.
- Fastlæg formålsspecifikke frister og angiv, hvilken vurdering der begrunder hver frist.
- Indbyg sletning eller anonymisering i sags- og dokumentstyringen, hvor det er teknisk muligt.
- Opret procedurer for undtagelser, herunder verserende krav, klager, revisioner og legal hold.
- Kontroller resultatet gennem logning, stikprøver og en årlig ledelsesgennemgang.
Tekniske foranstaltninger og overvågning i advokatvirksomheden
Tekniske foranstaltninger skal afspejle den høje risiko ved advokatens informationsbeholdning. Klientkommunikation bør som udgangspunkt beskyttes med kryptering, sikre klientportaler eller andre løsninger, der begrænser risikoen for fejlsendelse og uautoriseret adgang. Multifaktorgodkendelse, rollebaserede adgangsrettigheder, løbende patchning, sikkerhedskopier og central håndtering af bærbare enheder bør være faste elementer. Adgang til en sag bør følge et arbejdsbetinget behov og fjernes hurtigt ved jobskifte, sagsskift eller fratrædelse.
Logning skal gøre det muligt at undersøge, hvem der har tilgået, ændret, downloadet eller delt materiale. Overvågning må dog ikke blive en ukritisk indsamling af medarbejderes adfærd. Når advokatkontorer anvender kameraer ved indgangspartier eller mødelokaler, bør de følge EDPB’s retningslinjer om videoovervågning. Retningslinjerne understreger blandt andet, at kameraovervågning ikke automatisk er nødvendig, hvis mindre indgribende midler kan opfylde formålet. Kontoret skal derfor vurdere nødvendighed, proportionalitet, informationspligt, adgang til optagelser, opbevaringsperiode og sikker sletning.
- Brug kryptering både under overførsel og ved opbevaring af særligt følsomme sagsdata.
- Gennemfør kvartalsvise kontroller af brugeradgange og administratorrettigheder.
- Test sikkerhedskopier og beredskabsplaner, så gendannelse ikke kun findes på papir.
- Indgå databehandleraftaler og kontroller leverandørers underleverandører og overførsler.
- Registrer og risikovurder alle sikkerhedsbrud, også når anmeldelse ikke ender med at være nødvendig.
Vejen til en robust compliancekultur i advokatpraksis
En stærk compliancekultur opstår ikke gennem en enkelt privatlivspolitik eller et årligt kursus. Den opstår, når tavshedspligt og GDPR indgår i den måde, sager oprettes, dokumenter deles, møder afholdes, rettigheder besvares og sager afsluttes på. Klientens tillid styrkes, når alle medarbejdere kan forklare, hvorfor bestemte oplysninger behandles, hvordan de beskyttes, og hvad der sker, hvis noget går galt.
Ledelsen bør etablere faste gennemgange af behandlingsfortegnelser, slettefrister, adgangsprofiler, leverandøraftaler og hændelsesberedskab. Uddannelsen skal omfatte både advokater, fuldmægtige, sekretærer, receptionister og it-funktioner, fordi et forkert sendt dokument eller en åben skærm kan skabe samme fortrolighedsproblem som et teknisk angreb. Med lov skal land bygges, og i den digitale advokatpraksis betyder det, at principperne omsættes til dokumenterede, testede og gentagelige arbejdsgange.
- Udpeg en ansvarlig for databeskyttelse og tydeliggør rollefordelingen mellem ledelse, jurister og it.
- Gennemfør en kvartalsvis kontrol af adgang, sletning og leverandørrisici.
- Afhold korte, praksisnære øvelser om indsigtsanmodninger, fejlsendelser og sikkerhedsbrud.
- Revider procedurerne efter nye afgørelser, teknologiske ændringer og erfaringer fra hændelser.
