Digitale beviser handler sjældent kun om klienten. En eksporteret chat indeholder modpartens beskeder. En logfil indeholder modpartens IP-adresser og logintider. En sikret telefon indeholder billeder og kontakter, der tilhører mange andre. Når materialet lander på advokatkontoret, behandler kontoret personoplysninger om modparten og om tredjemænd, ofte i store mængder.
Hvordan sikring og gennemgang tilrettelægges med dataminimering, er beskrevet i GDPR og bevisførelse. Her er fokus på kontoret selv: hvor modpartens data ender, hvilke regler der især er relevante, og hvad der i praksis skal være styr på.
Kontoret som dataansvarlig
Advokatkontoret er som udgangspunkt selvstændigt dataansvarligt for de oplysninger, det behandler i en sag. Det gælder også oplysninger, kontoret ikke selv har indsamlet, men har modtaget fra klienten, fra modparten eller fra en IT-sagkyndig.
Databeskyttelsesforordningen indeholder flere regler, der er direkte relevante for retssager:
- Behandlingsgrundlag. Artikel 6, stk. 1, litra f, om legitime interesser er ofte relevant. For særlige kategorier, fx helbredsoplysninger, tillader artikel 9, stk. 2, litra f, behandling, når den er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares.
- Oplysningspligt. Artikel 14 pålægger som udgangspunkt den dataansvarlige at oplyse den registrerede, når oplysninger er indsamlet fra andre end den registrerede selv. Efter artikel 14, stk. 5, litra d, gælder pligten ikke, hvis oplysningerne skal forblive fortrolige som følge af lovbestemt tavshedspligt.
- Sletning. Retten til sletning gælder efter artikel 17, stk. 3, litra e, ikke i det omfang behandlingen er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares.
Forordningens tekst findes på EUR-Lex og er også gengivet som bilag til databeskyttelsesloven på retsinformation.dk. Databeskyttelsesloven indeholder desuden danske undtagelser fra blandt andet oplysningspligten. Hvordan reglerne skal anvendes i den enkelte sag, er en juridisk vurdering.
Undtagelserne dækker formålet, ikke mængden. Grundlaget for at behandle oplysninger til en retssag betyder ikke, at alt i en sikret telefon frit kan ligge og flyde i kontorets systemer.
Hvor modpartens data lander
Det er sjældent selve bilaget, der er problemet. Det er alle de steder, en kopi ender undervejs:
- i kontorets mailsystem, når klienten sender skærmbilleder og eksporter som vedhæftede filer,
- i sagssystemet og dets dokumentversioner,
- på delte drev og i medarbejderes downloadmapper,
- i fildelingstjenester, der er brugt til store datasæt,
- i backup af alle ovenstående,
- hos den IT-sagkyndige, der har den fulde kopi.
En eksporteret WhatsApp-samtale eller et udtræk fra en telefon kan rumme flere tusinde billeder og beskeder om personer, der intet har med sagen at gøre. Hvis hele datasættet gemmes i sagssystemet, følger det med i søgninger, backup og eventuelle fremtidige sikkerhedshændelser. → Advokatkontorets håndtering af digitalt bevismateriale
Praktisk afgrænsning på kontoret
En enkel arbejdsdeling hjælper:
- Fuldt datasæt opbevares ét sted, krypteret og med navngiven adgang. Ofte er det mest hensigtsmæssigt, at det bliver hos den IT-sagkyndige.
- Arbejdsmateriale i sagssystemet begrænses til det, der faktisk bruges: udvalgte samtaler, perioder og logs.
- Bilag udarbejdes ud fra arbejdsmaterialet, med sløring af irrelevante tredjemænd, hvor det er relevant.
Når klienten selv sender materiale, bør kontoret anvise én kanal fra starten. Ellers ender kopierne i private mailkonti, beskedapps og personlige skylagre, som kontoret hverken kan styre eller slette.
Den deling gør det lettere at svare, hvis nogen senere spørger, hvilke oplysninger kontoret har om dem. Store mængder bør ikke sendes med almindelig mail. → Sikker deling af store datamængder
Oplysninger, der kræver ekstra omhu
Nogle typer oplysninger dukker ofte op i digitale beviser og fortjener særlig opmærksomhed:
- Helbred: sygemeldinger i beskeder, data fra træningsapps, journaludskrifter.
- Billeder og video af personer, der ikke er parter, herunder børn.
- Lokationsdata, der viser bevægelser over lang tid.
- Adgangskoder og loginoplysninger, som kan ligge i klartekst i noter, beskeder eller browserdata.
Adgangskoder hører ikke hjemme i arbejdsmateriale. Fremgår de af et udtræk, bør den IT-sagkyndige som udgangspunkt skjule dem, inden materialet udleveres.
Sikkerhed og brud
Forordningen kræver passende sikkerhed. For et advokatkontor betyder det i praksis kryptering, adgangsstyring, logning af adgang og en plan for bærbare medier.
Går noget galt, fx en mail med en eksporteret chat sendes til en forkert modtager, eller en usikret USB-nøgle bliver væk, kan det være et brud på persondatasikkerheden. Efter artikel 33 skal den dataansvarlige som udgangspunkt anmelde et brud til tilsynsmyndigheden uden unødig forsinkelse og om muligt senest 72 timer efter at være blevet bekendt med det, medmindre bruddet sandsynligvis ikke indebærer en risiko. Datatilsynet har vejledning om brud på datatilsynet.dk. Når anmeldelsen skal laves, er det en fordel, at kontoret ved præcis, hvad der lå hvor. → Sager hos Datatilsynet: dokumentation fra IT-siden
Når modparten beder om indsigt
Modparten kan bruge sin indsigtsret over for kontoret eller over for klienten. Hvad der kan undtages i en verserende tvist, er en juridisk vurdering. Den tekniske udfordring er at kunne finde frem til, hvilke oplysninger der faktisk ligger hvor. Det er næsten umuligt, hvis kopier er spredt i mails og mapper. → Indsigtsanmodning efter GDPR som led i en tvist
Når sagen er slut
Behandlingsgrundlaget knytter sig til retskravet. Når sagen er afsluttet, og eventuelle frister for anke eller genoptagelse er overvejet, bør modpartens data slettes eller tilbageleveres efter en fastlagt plan.
Husk, at sletning skal omfatte alle placeringer fra listen ovenfor, også backup og fildelingstjenester, og at den IT-sagkyndiges kopi skal håndteres efter opdraget. Er sletning en del af et forlig, bør det beskrives præcist. → Sletning og tilbagelevering af data efter forlig eller dom
Typiske fejl
- Hele telefonudtræk gemmes i sagssystemet, selv om kun få samtaler bruges.
- Klienten sender materiale via private mailkonti eller beskedapps, og kopierne bliver liggende.
- Ingen ved, hvilke medarbejdere der har downloadet hvad.
- Oplysninger om tredjemænd fremlægges usløret uden overvejelse.
- Sletning sker i sagssystemet, men ikke i backup, mail og fildeling.
Tjekliste
- ☐ Kontorets rolle som dataansvarlig er afklaret for sagen
- ☐ Det fulde datasæt ligger ét sted med navngiven adgang
- ☐ Arbejdsmateriale er afgrænset til det relevante
- ☐ Særligt følsomme oplysninger er identificeret
- ☐ Der er en plan for brud og for indsigtsanmodninger
- ☐ Sletning efter sagen er planlagt for alle placeringer
Kontorets egen IT-ansvarlige kan løse de fleste punkter, hvis rutinerne er fastlagt før den første sag med store datasæt. En IT-sagkyndig er relevant, når store datasæt skal afgrænses, eller når det skal dokumenteres, hvad der er behandlet og slettet.
→ Send en sag · Tlf. 70 13 63 23 · IT-sagkyndig bistand til advokater hos Nielco IT
