Ny GDPR-vägledning ger advokatbyråerna praktiskt stöd

Advokatsamfundets styrelse har antagit en ny vägledning för tillämpning av EU:s dataskyddsförordning (GDPR) i advokatverksamhet. Den ersätter den tidigare vägledningen från 2018.

Advokat Caroline Olstedt Carlström ingick i arbetsgruppen som utarbetade vägledningen. Här lyfter hon fram några centrala avsnitt.

– Vi har tagit ett praktiskt grepp och fokuserat på själva rådgivningen, det som är specifikt för byråernas verksamhet. Syftet är att ge advokatbyråer en närmare vägledning i de vanligaste frågorna om hur de bör behandla personuppgifter och hantera kraven på dokumentation och information till dem som är berörda, säger hon.

Den nya vägledningen är indelad i tre delar: Del I omfattar grundläggande åtgärder, del II ger fördjupad information och del III innehåller praktiska frågor och svar.

Caroline Olstedt Carlström föreslår en startpunkt för byråledningens strategiska GDPR-arbete, den organisatoriska frågan: Vem äger dataskyddsfrågorna på byrån? Vem är ansvarig?

– Börja med del I, den praktiska handledningen, och läs sedan igenom Q&A-frågorna i del III för att se om det är någon fråga man särskilt har fastnat på. Sedan kan man djupdyka i en mängd olika frågor i del II, säger Caroline Olstedt Carlström.

Advokatbyrån är personuppgiftsansvarig

Caroline Olstedt Carlström framhåller att den övergripande punkten i GDPR-arbetet är att alla som leder arbetet på en advokatbyrå från början förstår att advokatbyrån är personuppgiftsansvarig.

– Ansvaret faller tillbaka på advokatbyrån, och därmed på delägarna och styrelsen, för att utforma processer eller dokumentation på det sätt som man behöver i verksamheten, säger hon.

GDPR kräver att en personuppgiftsansvarig, det vill säga advokatbyrån, ska kunna visa att den följer gällande regler.

– Det är svårt om man inte har någon dokumentation på plats. Därför är en rekommendation alltid att man bygger upp sitt interna regelverk utifrån de noteringar som finns i vägledningen, eftersom det skyddar verksamheten. Där kan man börja ganska enkelt, säger Caroline Olstedt Carlström.

Avsnitt 2.1 i vägledningens del I beskriver att byrån behöver se över sitt behov och upprätta en dataskyddsorganisation anpassad till byråns storlek och arbetsuppgifter. Större byråer har i allmänhet redan en dataskyddsorganisation.

– Men det ser annorlunda ut på en liten byrå. I det fallet handlar det kanske inte om att upprätta en hel organisation, utan om att utpeka någon som är ansvarig för frågorna internt, säger Caroline Olstedt Carlström.

Nästa steg är att jämföra vägledningen med vad som redan finns på plats. Vilka rutiner fungerar? Vilken dokumentation saknas? En sådan gap-analys ger underlag för fortsatta åtgärder.

Utbilda personalen från början

För att kunna visa att byrån följer reglerna måste personalen utbildas. Enligt avsnitt 2.4 i del I behöver alla som har tillgång till eller behandlar personuppgifter utbildning om reglerna och byråns processer. Vad får skickas med e-post? Vilka uppgifter får användas i olika tjänster? Hur ska ett misstänkt nätfiskemejl hanteras?

Arbetsgruppen föreslår att utbildningen tar utgångspunkt i vägledningen. Utbildningen behöver inte vänta tills alla förberedelser är klara. Arbetet kan starta med en gemensam lunch där ledningen berättar vad som ska göras och varför, föreslår Caroline Olstedt Carlström. Samtidigt kan ledningen påminna om risker och om vart medarbetarna ska vända sig vid en eventuell incident.

Att byrån lägger upp ett internt utbildningsprogram skapar struktur för deltagande och repetition, och dokumentationen blir ett sätt för byrån att visa sin regelefterlevnad. Utbildningen bör återkomma regelbundet.

Byrån kan göra vägledningen tillgänglig på sitt intranät och använda den för gemensamma genomgångar av byråns viktigaste frågor. 

Kartlägg byråns behandling

Avsnitt 2.2 i del I beskriver att byrån behöver inventera och dokumentera vilka personuppgifter byrån behandlar, var de finns och varför de används, samt kartlägga hur uppgifterna samlas in och lämnas ut, vilken information de registrerade får och vilket rättsligt stöd behandlingen har.

Inventeringen omfattar klient- och motpartsregister, ärendehantering, tidredovisning, ekonomisystem, e-post och kalendrar. Även enklare filer måste uppmärksammas. Typiska ändamål är jävs- och penningtvättskontroller, klientens rättsliga intressen och administration.

Resultatet behöver dokumenteras i ett behandlingsregister. Registret beskriver behandlingarna som sådana, inte varje enskild persons uppgifter. Likartade behandlingar med ett enhetligt syfte kan anges som en behandling. Registret behöver hållas aktuellt när behandlingar tillkommer, förändras eller upphör. Utse därför en ansvarig för uppdateringen.

Registret hjälper också byrån att informera de registrerade, hantera registerutdrag och se över säkerheten. Vid en incident blir det lättare att förstå vilka uppgifter och personer som berörs.

Formellt sett är organisationer med färre än 250 sysselsatta undantagna från skyldigheten att ha ett behandlingsregister enligt GDPR. Men Advokatsamfundets bedömning är att undantaget inte är tillämpligt på advokatbyråer.

– Oavsett vilket så är man ändå alltid skyldig att ha god ordning internt och att ha kontroll på sina behandlingar. Då kan man lika gärna ha det i ett behandlingsregister som på något annat sätt, säger Caro­line Olstedt Carlström.

Skriv ett integritetsmeddelande

Den som korresponderar med eller på annat sätt lämnar personuppgifter till en advokatbyrå behöver kunna förstå vad som händer med uppgifterna. Avsnitt 2.5 i del I behandlar informationsskyldigheten mot de registrerade. Caroline Olstedt Carlström betonar transparenskravet i GDPR:

– Det är viktigt att man är transparent och tydlig med den behandling som man utför, så att alla registrerade förstår och har möjlighet att ta del av informationen.

Byrån behöver utforma ett integritetsmeddelande med tydlig och lättbegriplig information om bland annat ändamålen med behandlingen, hur länge uppgifterna sparas och eventuella överföringar till tredjeland. 

– Advokater kan få in mycket information som är otroligt känslig för avsändaren, och då är det viktigt för avsändaren att veta: Vad gör ni med min information? 
Vart tar den vägen? I meddelandet ska också ligga information om de registrerades rättigheter: Hur gör jag om jag vill ta del av vilka uppgifter ni behandlar om mig, eller om jag vill begära att ni raderar viss information? säger Caroline Olstedt Carlström.

Informationen kan publiceras på byråns webbplats, men byrån måste också se till att den når fram. Vägledningen anger exempelvis att byrån kan länka till integritetsmeddelandet i uppdragsbekräftelsen och mejlfoten. Informationen bör inte lämnas i byråns allmänna villkor, för då är risken att tydlighetskravet inte uppfylls.

Informationen behöver anpassas till olika kategorier av registrerade. För advokatbyråer är tystnadsplikten avgörande. När uppgifter har hämtats från någon annan än den registrerade och måste förbli konfidentiella på grund av advokatens tystnadsplikt finns undantag från informationsskyldigheten. Byrån ska alltså inte rutinmässigt kontakta exempelvis en motpart eller ett vittne om behandling i ett klientärende. Däremot gäller informationsskyldigheten normalt gentemot klienten när det gäller klientens egna uppgifter.

Förbered för incidenter

Caroline Olstedt Carlström har bistått företag i olika branscher vid personuppgiftsincidenter, även advokatbyråer. Rutinerna måste finnas innan något händer, betonar hon.

– Man behöver ha utbildat all sin personal. Alla behöver veta hur de ska förfara om de råkar ut för en incident: Vad gör jag? Vem ska jag kontakta? Vilka dokument ska jag fylla i? säger Caroline Olstedt Carlström.

Avsnitt 2.7 i del I beskriver rutiner för att upptäcka, rapportera, dokumentera, utreda och hantera incidenter. Rutinen ska visa hur informationen når rätt person och hur teknisk hjälp ordnas. Även leverantörernas rapportering måste fungera och regleras i avtal.

En anmälan till Integritetsskyddsmyndigheten (IMY) ska göras utan onödigt dröjsmål och om möjligt senast 72 timmar efter att byrån har fått vetskap om incidenten. Därför gör helger beredskapen särskilt viktig. Anmälan behöver inte göras om det är osannolikt att incidenten medför risk för registrerades fri- och rättigheter. Vid allvarliga risker ska även de registrerade informeras.

Knyt säkerheten till verksamheten

Avsnitt 2.12 i del I gäller teknisk säkerhet. Nivån ska bestämmas utifrån behandlingen och riskerna för enskilda. Ju mer integritetskänslig behandling, desto mer omfattande skydd behövs.

– Det är viktigt att byrån arbetar antingen tillsammans med sin egen tekniker, om man har det, eller tillsammans med en extern resurs, och att byrån hanterar informationen på tillräckligt säkert sätt. Säger Caroline Olstedt Carlström.

Vägledningen tar bland annat upp säkerhetskopiering, uppdaterat skydd, kryptering av bärbar utrustning, lösenord och skydd mot obehörig intern åtkomst. En IT-policy kan ange användarregler och behörigheter samt reglera hur olika system får användas.

Granska leverantörer och avtal

Med alla underleverantörer som behandlar personuppgifter för byråns räkning krävs ett skriftligt personuppgiftsbiträdesavtal. Avsnitt 2.9 i del I omfattar exempelvis molntjänster, AI-tjänster, säkerhetskopiering och extern lönehantering. Byråns ansvar kvarstår även när arbetet utförs av någon annan.

Caroline Olstedt Carlström uppmanar byråerna att kontrollera att avtal finns och granska innehållet.

– Om byrån har ett otillräckligt avtal, eller inget avtal alls, och det sker en incident hos en underleverantör, så ställer det till en hel del problem. Dessutom är det då tydligt att organisationen inte har skyddat personuppgifterna för alla sina registrerade tillräckligt, varnar Caroline Olstedt Carlström.

Byrån ska bara anlita biträden som ger tillräckliga garantier för lämpliga tekniska och organisatoriska åtgärder. Det kräver en riskbedömning och granskning av tjänstevillkoren. Vilka underbiträden används? Hur rapporteras incidenter? Kan leverantören stänga av åtkomsten eller använda klientinformation för egna ändamål? Åtkomst från tredjeland behöver också bedömas.

Skapa rutiner för registerutdrag

Registerutdrag kan kräva mycket arbete parallellt med klientuppdragen. Avsnitt 2.11 i del 1 tar upp rutiner för registrerades tillgång, rättelse, radering och andra rättigheter. Förutsättningarna skiljer sig mellan olika kategorier av registrerade.

– När man får en begäran om registerutdrag är det många gånger en stor process internt. Om byrån inte har exakta rutiner, om den inte har ett behandlingsregister och redan vet exakt var den hanterar information, så kan det vara mycket arbetsamt, säger Caroline Olstedt Carlström.

Materialet måste sammanställas med skydd för konfidentiella uppgifter och andra personers rättigheter. Arbetet underlättas om byrån har behandlingsregister och interna instruktioner.

Huvudregeln är att en begäran ska besvaras utan onödigt dröjsmål och senast inom en månad. Byrån måste verifiera mottagaren före utlämnandet. Rätten till tillgång innebär inte en ovillkorlig rätt att få ut hela akten: Tystnadsplikt och andra personers integritet kan begränsa utlämnandet. En begäran om radering behöver också bedömas mot bland annat skyldigheter att bevara material.

Exempel: Ta med dataskyddet på resan

Ett exempel på hur medarbetarna behöver tänka efter när det gäller GDPR är fråga 13 i Q&A-delen, del III i vägledningen: ”Får jag mejla och läsa dokument när jag är ute och reser?” Det är en praktisk fråga som många ställs inför.

– Det går bra att mejla och jobba när du är ute och reser. Men det är viktigt att säkerställa att man har tillräcklig säkerhet på plats, till exempel kryptering, stark autentisering, uppdaterade säkerhetsinställningar, och att undvika öppna nät och osäkra internetanslutningar, säger Caroline Olstedt Carlström.

Caroline Olstedt Carlström berättar om en incident som började med en vd för ett stort bolag som var på tjänsteresa i Sydeuropa.

– Han skulle snabbt ta tag i ett dokument, så han gick in på sitt hotell och var uppkopplad i högst 15 minuter. Men någon hann hitta honom då och lyckades skaffa sig tillgång till hans inbox. Det blev en stor incident för hela bolaget och mycket att hantera.