Sikker dokumentdeling handler om mer enn IT-sikkerhet. For en advokat er det en del av taushetsplikten. Vanlig e-post oppfyller sjelden kravene som stilles når du håndterer klientopplysninger, identitetsdokumenter, kontrakter, helsedata eller andre konfidensielle saksdokumenter.
Hva er sikker dokumentdeling for advokater?
Med sikker dokumentdeling menes kontrollert utveksling av dokumenter der bare de som faktisk skal ha tilgang, får den. I praksis betyr det kryptering under overføring og lagring, autentisering av mottaker og mulighet til å se og styre hvem som har tilgang til enhver tid. Dette står i kontrast til vanlig e-post, der en fil i realiteten er utenfor din kontroll i det øyeblikket den er sendt.
For et advokatfirma er dette en del av å oppfylle taushetsplikten i praksis, og en måte å vise klienten at firmaet tar informasjonssikkerhet på alvor.
Hvorfor vanlig e-post ikke er godt nok
E-post er som standard ikke kryptert ende til ende. En melding går via flere tekniske knutepunkter før den når mottakeren, og på ethvert av disse punktene kan den i teorien bli lest av andre enn den tiltenkte mottakeren. Datatilsynet omtaler vanlig, ukryptert e-post som en åpen kommunikasjonsform som ikke er egnet for informasjon med krav til konfidensialitet.
De praktiske risikoene er velkjente for de fleste advokatkontorer. E-post sendt til feil mottaker, kompromitterte kontoer, og vedlegg som blir liggende i innbokser og skytjenester lenge etter at saken er avsluttet. I tillegg kommer det rent praktiske: lange e-posttråder med flere versjoner av samme dokument gir dårlig oversikt og øker sjansen for at noen jobber med feil versjon.
Dette sier regelverket om sikker dokumentdeling
Advokater har taushetsplikt etter advokatloven § 32 om alle opplysninger de får tilgang til i forbindelse med et oppdrag. Loven gir også departementet hjemmel til å fastsette forskrift om informasjonssikkerhet i advokatvirksomhet, jf. advokatloven § 36. I tillegg følger taushets- og fortrolighetsplikten av Regler for god advokatskikk punkt 2.3.1 til 2.3.3.
Personvernregelverket kommer i tillegg. Datatilsynet er tydelige på at overføring av sensitive personopplysninger normalt skal krypteres, og at dette gjelder uavhengig av om klienten har samtykket til noe annet. For fødselsnummer sendt på usikret e-post anbefaler Datatilsynet kryptering, men understreker at virksomheten selv må vurdere hva som er tilstrekkelig sikring i den konkrete situasjonen.
Til sammen betyr dette at sikker dokumentdeling ikke er noe et advokatfirma kan velge bort. Det følger både av bransjens egne etiske regler og av det generelle personvernregelverket.
Kryptering eller klientportal, hva er forskjellen?
Du kan i teorien kryptere enkeltfiler manuelt, for eksempel med passordbeskyttede Word- eller PDF-filer. Problemet er at dette er tidkrevende, lett å glemme, og krever at passordet formidles til klienten på en annen og like sikker kanal. I praksis blir det fort en rutine som ikke følges konsekvent.
En klientportal løser dette ved at kryptering og autentisering skjer automatisk, uten at advokaten må tenke på det for hver eneste fil. Dokumentene overføres kryptert, lagres kryptert, og klienten logger seg inn med sikker autentisering for å hente dem. Det gir samme sikkerhetsnivå hver gang, uavhengig av hvem i firmaet som sender.
Slik fungerer sikker dokumentdeling i Advisor247+
I Advisor247+ deles dokumenter direkte fra saken via klientportalen, ikke som løse vedlegg i en e-post. Det gir noen konkrete fordeler i det daglige arbeidet:
- Tilgangsstyring: Kun klienten og de i firmaet som er koblet til saken har tilgang til dokumentene.
- Sporbarhet: Du ser til enhver tid hvem som har åpnet eller lastet ned et dokument.
- Reversering: Tilgang kan trekkes tilbake når som helst, uten at du er avhengig av at klienten sletter noe selv.
- Én kilde til sannhet: Dokumentet ligger på saken i systemet, så du unngår at ulike versjoner flyter rundt i e-posttråder.
Dette betyr at sikkerheten ikke er avhengig av at den enkelte advokat eller fullmektig husker å kryptere hver fil manuelt. Rutinen ligger i systemet.
Fordeler ved sikker dokumentdeling gjennom klientportal
Utover selve sikkerheten gir en klientportal noen praktiske gevinster:
Kontroll: Du har full oversikt over hvem som har tilgang, og kan justere dette gjennom hele saksforløpet.
Tidsbruk: Du slipper å bruke tid på å kryptere hver fil for hånd eller lete etter riktig versjon i en lang e-posttråd.
Klientens tillit: Klienten ser at firmaet bruker moderne verktøy for å beskytte deres opplysninger, noe som oppleves som seriøst og profesjonelt.
Fleksibilitet: Portalen dekker kjernen av dokumentflyten i sakene, samtidig som du fortsatt kan velge andre kanaler for informasjon som ikke er sensitiv.
Kom i gang med sikker dokumentdeling i firmaet
Overgangen trenger ikke være stor. Start med å kartlegge hvilke sakstyper som oftest involverer sensitiv informasjon, som personskadesaker, barnefordelingssaker eller transaksjoner med taushetsbelagte vilkår. Sett opp klientportalen for disse sakene først, informer klientene kort om hvorfor dere gjør det, og gjør det til fast rutine at dokumenter deles fra saken i Advisor247+ fremfor som e-postvedlegg. Når rutinen sitter for de mest sensitive sakene, er det enkelt å utvide til resten av porteføljen.
Ofte stilte spørsmål om sikker dokumentdeling
Hva regnes som sensitiv informasjon i en advokatsak?
Det gjelder blant annet fødselsnummer, helseopplysninger, opplysninger om straffbare forhold, økonomiske forhold og andre opplysninger som er underlagt taushetsplikt eller krever særlig beskyttelse etter personvernregelverket.
Er det ulovlig å sende dokumenter på e-post som advokat?
Det er ikke forbudt i seg selv, men når dokumentene inneholder sensitive personopplysninger stiller både advokatloven og personvernregelverket krav til at overføringen sikres, normalt gjennom kryptering. Vanlig, ukryptert e-post oppfyller sjelden dette kravet alene.
Hva sier Datatilsynet om å sende fødselsnummer på e-post?
Datatilsynet anbefaler kryptering ved sending av fødselsnummer på usikret e-post, men presiserer at virksomheten selv må vurdere hva som gir tilstrekkelig informasjonssikkerhet i den konkrete situasjonen.
Hvordan fungerer sikker dokumentdeling i Advisor247+?
Dokumenter deles direkte fra saken via en kryptert klientportal. Klienten logger seg inn for å se eller laste ned dokumentene, og advokaten har full oversikt over og kontroll på tilgangen.
Må klienten installere noe for å bruke klientportalen?
Nei, klienten logger seg inn i portalen i nettleseren og trenger ingen egen installasjon for å se eller laste ned delte dokumenter.
Hva skjer hvis jeg sender sensitiv informasjon til feil mottaker på e-post?
Det regnes som et avvik og kan i verste fall være brudd på taushetsplikten og personvernregelverket. Feilen bør meldes internt etter firmaets rutiner for avvikshåndtering, og i noen tilfeller til Datatilsynet.
Er kryptert e-post et godt nok alternativ til klientportal?
Kryptert e-post kan fungere for enkeltsaker, men krever at avsender husker å kryptere hver gang og at mottaker har riktig verktøy for å åpne filen. En klientportal gir samme sikkerhetsnivå automatisk, uten at det er avhengig av den enkelte ansattes rutiner.
