- Klienten har krav på konfidensialitet og integritet
- Advokater og rettshjelperes bruk av Internett utgjør en sikkerhetstrussel
- Overføring av opplysninger ved bruk av Internett kan innebære brudd på taushetsplikten
- Informasjonssikkerheten må være tilfredsstillende og sensitive personopplysinger som oversendes ved bruk av Internett må være kryptert
- Direkte eller indirekte oppfordring til overføring av personopplysninger omfattes av personopplysningsloven
Internett (web og e-post) er i bruk i de fleste bransjer, også i advokat- og rettshjelpbransjen. Den delen av bransjen som tilbyr juridiske tjenester ved bruk av Internett har økt betydelig. Men også tradisjonelle advokatvirksomheter benytter elektronisk overføring av dokumenter i økende omfang.
Internett som overføringsmekanisme, uten spesielle sikkerhetstiltak, innebærer at opplysningene i prinsippet er tilgjengelige for alle. Bruk av Internett fra informasjonssystemer hvor sensitive personopplysninger behandles, innebærer dermed en betydelig sikkerhetstrussel. Sikkerhetstrusselen gjelder informasjonssystemet til både avgiver og mottaker, og selve overføringen av opplysninger. Klientens grunnleggende krav på konfidensialitet og integritet kan ikke oppfylles dersom uvedkommende har mulighet til å lese, kopiere, endre og slette opplysningene.
Datatilsynet ønsker å rette søkelyset mot problemer som gjelder overføring av sensitive opplysninger ved bruk av Internett. De øvrige sikkerhetsmessige problemer som Internett-tilgang medfører, vil bare i liten grad bli behandlet her.
Det er Datatilsynets inntrykk at hovedtyngden av opplysninger som kommer på avveie i forbindelse med bruk av Internett ikke skyldes bevisste handlinger, men menneskelige feil. Et eksempel på problemer som manglende sikkerhet ved bruk av Internett innebærer, er tilfeller der prosesskriv, inneholdende svært sensitive opplysninger, er sendt til feil e-postadresse. Andre hyppig forekommende situasjoner er e-post forsendelser med feil vedlegg.
De samme sikkerhetsrelaterte problemene gjør seg i stor grad også gjeldende ved bruk av telefaks. Det følgende gjelder også for den måten å overføre personopplysninger på.
Sensitive opplysninger
Advokater og rettshjelpere arbeider i stor utstrekning med opplysninger av sensitiv karakter. Sensitive personopplysninger er (i relasjon til personopplysningsloven) opplysninger om en person har vært siktet, tiltalt eller dømt for straffbar handling. Det er også opplysninger om helseforhold (f.eks. misbruk av rusmidler), rasemessig eller etnisk bakgrunn, seksuelle forhold, politisk eller religiøs oppfatning og fagforeningstilhørighet, se personopplysningsloven § 2-8. Det er Datatilsynets inntrykk at sensitive opplysninger overføres elektronisk i stadig større utstrekning. Det vil kunne medføre uopprettelige skader for den enkelte dersom opplysninger av denne karakter gjøres tilgjengelig for uvedkommende, og tilliten til advokater generelt kan svekkes.
Krav om kryptering
Under forutsetning av at virksomhetens informasjonssikkerhet i sin helhet er tilfredsstillende, aksepterer Datatilsynet at sensitive opplysninger overføres ved bruk av Internett. Informasjonen skal være kryptert eller sikret på annen måte. Det presiseres at kravet også gjelder oversendelse av sensitive opplysninger ved bruk av telefaks.
Personopplysningsloven
Det følger av forskrift til personopplysningsloven § 7-21 at behandling av personopplysninger i forbindelse med virksomhet som nevnt i lov 13. august 1915 nr 5 (domstolloven), kapittel 11 om advokater, er unntatt konsesjonsplikten etter personopplysningsloven § 33. Unntaket fra konsesjonsplikt gjelder bare dersom behandlingen foregår innen rammen av lovgivningen på området. Behandlingen er meldepliktig etter personopplysningslovens § 31.
For dokumenter som overføres avidentifisert, slik at uvedkommende på grunnlag av oversendelsen ikke kan finne direkte tilbake til de omhandlede personer, vil den personvernmessige trusselen være atskillig mindre. Det vil likevel være overføring av personopplysninger i personopplysningslovens forstand. Avidentifisering er vanskelig praktisk gjennomførbart i forhold til oversendelser til/fra klienten. Dette fordi det gjennomgående vil forekomme opplysninger som knytter klienten til den "adressen" overføringen er rettet til/fra.
Uoppfordret overføring
Bruk av privat pc i egenskap av privatperson faller etter hovedregelen utenfor lovens virkeområde. I hvilken grad loven likevel kommer til anvendelse på slike forhold er, etter Datatilsynets oppfatning, avhengig av om opplysningene overføres fra klienten uoppfordret, eller om virksomheten direkte eller indirekte har oppfordret til slik overføring. Med oppfordring til overføring i denne sammenheng forstås også tilfeller der "systemet" og/eller den informasjon klienten mottar fra virksomheten, bidrar til å gi inntrykk av at slike overføringer kan aksepteres og skje betryggende. Uoppfordrede oversendelser fra privatperson vil først falle innenfor lovens virkeområde når de er mottatt av virksomheten.
Det sentrale vurderingstema er om opplysningene kan sies å være oversendt uoppfordret. Datatilsynet er innforstått med at virksomheter som arbeider med sensitive opplysninger og gjør bruk av Internett vanskelig kan gardere seg fullstendig mot at sensitive opplysninger tidvis blir oversendt fra klienter uoppfordret. Hvilken informasjon som gis til klienten, herunder hvordan "hjemmesiden" framstår for klienten, er sentralt i vurderingen om overføringen fremstår som uoppfordret. Det må i denne sammenheng kunne kreves av advokater/rettshjelpere som benytter Internett som arbeidsverktøy, at det klart blir gjort oppmerksom på at overføring av ikke-krypterte opplysninger på Internett kan medføre at uvedkommende får tilgang til materialet.
Taushetsplikt
Forholdet har også en side mot taushetsplikten. Advokaten/rettshjelperen har et særskilt ansvar i forhold til at klientopplysninger ikke kommer på avveie. Når informasjonssikkerheten ikke er tilfredsstillende ivaretatt ved bruk av Internett, blir opplysningene tilgjengelige for utenforstående, noe som kan utgjøre brudd på taushetsplikten.