En advokatbyrå behöver kunna skydda klientens förtroende och samtidigt förklara hur personuppgifter behandlas. Arbetet omfattar klienter, motparter, vittnen, anställda och andra personer som förekommer i ett uppdrag. Deras ställning skiljer sig åt. Ett uppdragsavtal ger inte automatiskt rätt att behandla varje uppgift i akten, och tystnadsplikten innebär inte att alla dataskyddsrättigheter försvinner.
Den här guiden följer ett uppdrag från den första kontakten till arkivering och en eventuell begäran om tillgång. Fokus ligger på svenska advokatbyråers beslut, dokumentation och åtkomstkontroll. Den skiljer mellan dataskyddsförordningen, svenska kompletterande bestämmelser och Advokatsamfundets yrkesetiska regler. En intern rutin behöver avspegla vilka uppdrag byrån faktiskt tar och vilka tjänster den använder, inte bara återge en allmän beskrivning av sekretess.
Klargör ansvar och ändamål redan vid intaget
En byrå som själv bestämmer hur uppgifter ska användas för sin juridiska rådgivning är normalt personuppgiftsansvarig för den behandlingen. Att klienten lämnar instruktioner om uppdragets mål gör inte automatiskt byrån till personuppgiftsbiträde. Bedöm rollen för den konkreta verksamheten och skilj den från exempelvis ett separat administrativt uppdrag. Genomgången av personuppgiftsansvarig och personuppgiftsbiträde hjälper till att formulera den bedömningen.
Vid första kontakten bör byrån samla in det som behövs för att bedöma uppdraget och kontrollera intressekonflikter. Be inte om hela utredningen innan det finns en ordnad och lämpligt skyddad mottagning. Ett kontaktformulär kan förklara att känsliga detaljer inte ska lämnas där och erbjuda en säker fortsättning. Det minskar risken för att material om en motpart eller tredje person hamnar i en brevlåda med för bred åtkomst.
Skilj mellan uppdragsarbete, fakturering, konfliktkontroll och marknadsföring. De har olika syften, mottagare och lagringstider. En kontakt som avböjs kan behöva finnas kvar i en begränsad konfliktkontroll, men det betyder inte att alla bilagor i förfrågan ska bevaras på obestämd tid. Dokumentera vad som faktiskt behövs och vem som får se det. En framtida möjlighet att uppgifterna kan vara intressanta är ingen tillräcklig förklaring.
Rättslig grund måste passa personen och behandlingen
Artikel 6.1 b kan vara relevant när behandlingen är objektivt nödvändig för ett avtal med den registrerade eller för åtgärder på dennes begäran före avtalet. Det gäller inte automatiskt en kontaktperson hos ett klientbolag, eftersom kontaktpersonen normalt inte själv är part i byråns uppdragsavtal. För sådana uppgifter och för uppgifter om motparter behövs en annan tillämplig grund, exempelvis ett dokumenterat berättigat intresse där villkoren är uppfyllda.
En rättslig förpliktelse ska kunna knytas till det regelverk som kräver behandlingen. Ange vilken skyldighet som avses och vilka uppgifter den omfattar. Skyldigheter kring bokföring eller åtgärder mot penningtvätt får inte beskrivas som en generell grund för allt som finns i klientakten. Reglerna om penningtvätt gäller dessutom inom sitt särskilda tillämpningsområde; varje juridiskt uppdrag omfattas inte på samma sätt. Avgränsa kontrollen innan information samlas in rutinmässigt.
Dokumentera valet per ändamål och förklara det i informationen till de registrerade när information ska lämnas. Sidan om rättslig grund enligt GDPR ger stöd för den prövningen. Undvik en standardtext som anger samtycke, avtal och berättigat intresse som utbytbara reservgrunder. Klientens godkännande av uppdragsvillkoren ersätter inte bedömningen och kan inte i sig legitimera behandling av alla andra personers uppgifter.
Skilj känsliga uppgifter från uppgifter om lagöverträdelser
Ett ärende kan innehålla uppgifter om hälsa, religion eller fackligt medlemskap. Då krävs både en grund enligt artikel 6 och ett tillämpligt undantag från förbudet i artikel 9. För uppdragsarbete kan artikel 9.2 f vara relevant när behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk. Bedöm nödvändigheten även för enskilda handlingar; hela medicinska historiken är inte automatiskt relevant för en avgränsad tvist.
Denna möjlighet ska inte blandas ihop med artikel 10 om fällande domar i brottmål, brott och därmed sammanhängande säkerhetsåtgärder. Artikel 9.2 f ger inte ensam stöd för den kategorin. För andra än myndigheter anger 5 § förordningen 2018:219 att behandling får ske om den är nödvändig för rättsliga anspråk eller för att fullgöra en rättslig förpliktelse enligt lag eller förordning. Artikel 6 behöver fortfarande beaktas.
IMY:s vägledning om uppgifter som rör lagöverträdelser beskriver den svenska regleringen och andra möjliga tillståndsvägar. Hänvisa till den grund som faktiskt används, inte bara till att verksamheten är juridisk. Guiden om känsliga personuppgifter kan användas för artikel 9, medan byråns rutiner bör markera när en separat artikel 10-prövning behövs.
Tystnadsplikt och information behöver bedömas tillsammans
Advokatens tystnadsplikt påverkar vad som kan lämnas ut, till vem och i vilket sammanhang. Den är central för klientrelationen men bör inte användas som ett ospecificerat undantag för varje uppgift. Byrån behöver kunna identifiera det skyddade intresset och den tillämpliga bestämmelsen. Information om behandling som inte röjer skyddade förhållanden kan ofta lämnas även när delar av det bakomliggande materialet inte kan lämnas ut.
I 5 kap. 1 § dataskyddslagen, 2018:218, begränsas artiklarna 13–15 för uppgifter som inte får lämnas ut enligt lag, annan författning eller författningsgrundat beslut. För en personuppgiftsansvarig som inte är myndighet omfattar bestämmelsen också uppgifter som skulle ha varit sekretessbelagda hos en myndighet enligt offentlighets- och sekretesslagen. Bedöm vilka uppgifter som träffas av regeln i det enskilda fallet.
Praktiskt bör en ansvarig jurist kunna granska informationsplikten för motparter och andra personer utan att administrationen själv måste tolka ett komplext sekretessförhållande. Dokumentera vilka delar som kan förklaras öppet och vilka som inte kan det. Om undantag används ska underlaget ange skälen och omfattningen. Att lämna en generell integritetspolicy till klienten besvarar inte automatiskt informationsfrågan för alla personer som omnämns i akten.
Hantera en begäran om tillgång utan att lämna ut hela akten
En begäran enligt artikel 15 gäller tillgång till personuppgifter och den information som artikeln anger. Den är inte identisk med en begäran om att få ut klientens handlingar enligt yrkesreglerna. En person kan förekomma i flera ärenden och roller, vilket gör det nödvändigt att identifiera relevant behandling. Samtidigt ska sökningen inte sprida skyddat material till fler personer än vad handläggningen kräver.
Kontrollera identiteten proportionerligt när det finns rimliga tvivel och begränsa kompletteringar till vad som behövs. Sök därefter i de relevanta systemen och granska om uppgifter om andra personer eller tystnadsplikt påverkar utlämnandet. Artikel 15.4 skyddar andras rättigheter och friheter, men är inte ett automatiskt skäl att vägra allt. Maskning, utdrag eller en begriplig sammanställning kan ibland ge tillgång utan att röja skyddade delar. Sidan om registerutdrag enligt artikel 15 beskriver arbetsgången närmare.
Byrån ska informera om åtgärder utan onödigt dröjsmål och normalt inom en månad från begäran. Vid behov kan fristen förlängas med ytterligare två månader med hänsyn till komplexitet och antal begäranden, men skäl och förlängning ska meddelas inom den första månaden. Om byrån inte vidtar någon åtgärd ska den utan dröjsmål och senast inom en månad förklara skälen samt informera om möjligheten att klaga hos tillsynsmyndigheten och begära rättslig prövning. Ett internt sekretessproblem får inte bara lämna begäran obesvarad.
Arkivering: den svenska tioårsregeln har ett bestämt innehåll
I Advokatsamfundets vägledande regler med kommentarer, januari 2025, anger regel 7.12.2 att handlingar som samlats under uppdraget ska arkiveras i original eller kopia under tio år, eller längre om uppdragets natur kräver det. Dubbletter, tryckta handlingar och liknande material som enkelt kan tas fram från annat håll omfattas inte på samma sätt. Regeln ska inte förvandlas till en allmän rätt att spara varje arbetskopia för alltid.
Regel 7.12.1 behandlar utlämnande av klientens handlingar när uppdraget har avslutats. Det är en annan fråga än byråns fortsatta arkivering. Klientens originalhandlingar kräver särskild hantering; möjligheten att arkivera andra handlingar som elektroniska eller fotografiska kopior innebär inte att byrån fritt kan ersätta eller förstöra klientens original. Kommentaren till reglerna förklarar arkiveringsskyldigheten, men skilj den från själva regeltexten när ni dokumenterar ert ställningstagande.
Byråns gallringsplan bör därför skilja mellan ärendeakten, tillfälliga arbetskopior, faktureringsmaterial och det begränsade underlaget för framtida konfliktkontroll. Ange vad som utlöser fristen, vem som bedömer behov av längre arkivering och hur ett bevarandebeslut omprövas. En begäran om radering från en klient upphäver inte automatiskt arkiveringsskyldigheten. Förklara vad som måste bevaras och begränsa samtidigt fortsatt användning och åtkomst till det som behövs.
Principen om lagringsminimering och gallring gäller även i ett arkiv. Kontrollera kopior på enskilda datorer, exportsamlingar och avslutade projektplatser. Ett centralt arkiv med begränsade behörigheter är lättare att styra än flera okända kopior. När längre bevarande är motiverat ska beslutet avse relevanta handlingar och ett konkret behov; formuleringen att ett ärende eventuellt kan bli intressant igen är för vag.
Leverantörer och åtkomst måste granskas på ärendenivå
Ett ärendesystem, en molnlagringstjänst eller extern support kan behandla uppgifter för byråns räkning. Då behövs ett skriftligt personuppgiftsbiträdesavtal eller annat bindande rättsligt instrument enligt unionsrätt eller nationell rätt, även i elektronisk form, enligt artikel 28. Säkerställ instruktioner, sekretessåtaganden eller lämplig lagstadgad tystnadsplikt, säkerhet och assistans. Guiden om biträdesavtal enligt artikel 28 kan användas som underlag för avtalsgranskningen.
Kontrollera underbiträden, godkännandeförfarandet och att motsvarande dataskyddsskyldigheter förs vidare. Det ursprungliga biträdet förblir fullt ansvarigt gentemot byrån för underbiträdets fullgörande av sina skyldigheter. Kontrollera också vilka personer som faktiskt får supportåtkomst och hur åtkomsten begränsas. Ett sekretessavtal är viktigt men gör inte en obegränsad administratörsroll nödvändig. Behörigheter behöver följa uppdrag, funktion och jävssituationer.
Kartlägg lagring och fjärråtkomst när leverantörer finns utanför EES. Ett europeiskt datacenter utesluter inte en tredjelandsöverföring genom support. Om ett adekvansbeslut åberopas måste rätt mottagare och behandling omfattas; en amerikansk leverantör omfattas inte automatiskt av ett ramverk bara genom sin etablering i USA. Kontrollera det aktuella överföringsstödet och relevanta kompletterande åtgärder innan byrån lägger in klientmaterial i tjänsten.
Praktiska skydd i det dagliga arbetet
Tillgång till ett ärende bör ges efter behov och tas bort när behovet upphör. Separera administratörskonton från vanliga arbetskonton, använd lämplig flerfaktorsautentisering och följ upp delningslänkar. Vid introduktion och avslut av personal behöver byrån kontrollera klientmappar, e-post och externa samarbetsytor tillsammans. Ett avslutat anställningskonto kan annars lämna aktiva inbjudningar eller delningar i en annan tjänst.
Om byrån använder Microsoft 365 behöver säkerhetsinställningarna anpassas till den faktiska miljön, exempelvis extern delning och kontoåtkomst. Mobila enheter kräver också styrning; genomgången av MDM och personuppgifter hjälper till att pröva fjärradering, uppdateringar och separation av arbetsinformation. Dessa åtgärder ska bedömas utifrån risk, inte införas som ett påstått universellt myndighetskrav för varje telefon.
För en byrå med flera system kan ett stöd för dokumentation göra det lättare att hålla ihop beslut och uppföljning. Använd kriterier för att jämföra GDPR-programvara för att kontrollera behörigheter, export och ansvarsfördelning. Ett verktyg bör kunna visa vilka uppgifter som saknas och vem som ska granska dem. Inköpet ersätter varken den juridiska bedömningen eller kontrollen av att medarbetarna faktiskt följer rutinen.
Kontrollera avslut och överlämning med ett konkret ärende
När ett ärende avslutas bör ansvarig jurist och administration gemensamt kontrollera vad som ska återlämnas, vad som ska arkiveras och vilka arbetskopior som kan tas bort. En överlämning till en annan byrå kräver också en bedömning av mottagare, behörighet och säker kanal. Skicka inte hela materialet till en ny kontakt enbart därför att personen uppger sig företräda klienten. Kontrollera uppdraget och avgränsa överföringen till det som ska lämnas vidare.
Använd ett avslutat ärende för att pröva om rutinen fungerar genom hela systemmiljön. Finns samma handlingar i e-post, på en lokal dator och i en extern projektmapp? Har en tidigare konsult fortfarande åtkomst? Har klientens original återlämnats eller finns ett särskilt överenskommet fortsatt förvar? Svaren ger ett bättre underlag för förbättringar än enbart en bekräftelse på att byrån har en arkivpolicy. Undvik att göra övningen till en onödig ny samling av klientmaterial.
Vid förändringar i ägande, bemanning eller system behöver arkivansvaret förbli tydligt. Ett leverantörsbyte får inte innebära att ingen längre kan läsa äldre akter eller verkställa beslut om åtkomst och gallring. Planera format, index och behörigheter före flytten, kontrollera att överföringen blivit fullständig och hantera kvarvarande kopior enligt tillämpliga skyldigheter. Dokumentera vem som godkänner resultatet och vem som tar hand om upptäckta fel efter övergången.
Fördelning av ansvar och vanliga frågor
En registerförteckning enligt GDPR bör ge överblick över uppdragsarbete och andra behandlingar. Färre än 250 anställda innebär inte ett generellt undantag: undantaget i artikel 30.5 bedöms för behandlingar och begränsas bland annat av att behandlingen inte är tillfällig, sannolikt medför risk eller avser uppgifter enligt artikel 9 eller 10. Återkommande klientarbete måste därför bedömas utifrån sina faktiska egenskaper.
Måste varje advokatbyrå ha ett dataskyddsombud?
Nej, yrkestiteln avgör inte detta ensam. Artikel 37 omfattar bland annat kärnverksamhet med regelbunden och systematisk övervakning i stor omfattning samt kärnverksamhet med behandling i stor omfattning av uppgifter enligt artikel 9 eller 10. Bedöm uppdragens art och omfattning. Guiden om när dataskyddsombud krävs hjälper till att skilja den prövningen från behovet av en intern person som samordnar dataskyddsarbetet.
Kan tystnadsplikten motivera att en motparts begäran ignoreras?
Nej. Begäran behöver tas emot, bedömas och besvaras enligt tillämpliga regler. Vissa uppgifter kan vara undantagna från tillgång, men skälet och omfattningen behöver prövas. Låt en jurist med rätt insyn granska materialet och skydda andra personers uppgifter. En motparts ställning innebär varken fri tillgång till klientakten eller att alla dataskyddsrättigheter automatiskt saknas.
Kan klienten kräva att hela akten raderas när uppdraget slutar?
Inte utan prövning av bevarandeskyldigheter och andra tillämpliga grunder. För handlingar som omfattas av arkiveringsregeln gäller tio år eller den längre tid som uppdragets natur kräver. Övrigt material ska inte hållas kvar slentrianmässigt. Förklara skillnaden för klienten, återlämna handlingar när det ska ske och se till att det kvarvarande arkivet inte används för nya, oförenliga ändamål.