Datarådets to sager om advokaters behandling af personoplysninger førte til, at advokat A’s videregivelse blev anset for uberettiget, mens advokat B’s efterfølgende brug af samme oplysninger blev anset for lovlig. Begge vurderinger hviler på GDPR artikel 6 stk. 1 litra f om legitime interesser, og Datatilsynet lagde vægt på Advokatsamfundets udtalelser om god advokatskik. Afgørelserne viser, at lovlighed af videregivelse og lovlighed af brug er selvstændige vurderinger.
Retligt grundlag og afvejning
Efter god advokatskik kan en advokat være forpligtet til at videregive oplysninger efter klientinstruks, når oplysningerne kun vedrører klienten, og tavshedspligten er løftet. Ved oplysninger om andre end klienten begrænses videregivelsen til det nødvendige for at varetage klientens berettigede interesser, afvejet mod et rimeligt hensyn til modparten. Datatilsynet inddrog udtrykkeligt god advokatskik, jf. retsplejeloven § 126.
GDPR kræver, at behandling efter legitime interesser er nødvendig og beror på en konkret interesseafvejning. I A-sagen vejede den registreredes interesser tungere end hensynet til A’s og B’s klienter, hvorfor videregivelsen ikke var lovlig. I B-sagen blev brugen vurderet som led i en berettiget varetagelse af klientens interesser efter samme bestemmelse. Når oplysninger alene vedrører klienten, kan samtykke eller løft af tavshedspligt understøtte videregivelsen.
Praktiske konsekvenser for advokater
Inden videregivelse bør advokaten afklare, hvem oplysningerne angår, og om formålet kan opnås med mindre indgribende midler. Den GDPR-mæssige afvejning skal dokumenteres, og videregivelsen begrænses til det nødvendige.
Som modtager må advokaten foretage en selvstændig vurdering af lovligheden af at bruge de modtagne oplysninger. At en videregivelse er ulovlig, udelukker ikke, at brugen kan være lovlig – og omvendt. Fokus er på varetagelsen af klientens saglige interesser, ikke advokatens egne driftsmæssige hensyn.
Følgende arbejdsgang kan styrke compliance og processtrategi:
- Identificér behandlingsgrundlag og formål, typisk legitime interesser.
- Foretag en konkret interesseafvejning og begrund nødvendighed.
- Begræns datamængden og sikre dokumentation af vurderingen.
- Revurdér løbende relevans og slet eller afskær data, der ikke længere er nødvendige.
Afgørelserne indikerer et robust samspil mellem databeskyttelsesreglerne og de advokatetiske normer, når vurderingen forankres i nødvendighed og proportionalitet. Den praktiske konsekvens er et skærpet krav om selvstændig, dokumenteret interesseafvejning ved hver enkelt videregivelse og anvendelse.
