GDPR για δικηγορικά γραφεία: πρακτικός οδηγός

Ο GDPR εφαρμόζεται πλήρως στο δικηγορικό γραφείο: ο δικηγόρος είναι υπεύθυνος επεξεργασίας για τα δεδομένα πελατών, αντιδίκων, μαρτύρων και συνεργατών, και πρέπει να μπορεί να αποδείξει τη συμμόρφωσή του (αρχή της λογοδοσίας, άρθρο 5 παρ. 2 του Κανονισμού 2016/679). Στην πράξη αυτό μεταφράζεται σε λίγα, συγκεκριμένα έγγραφα και συνήθειες. Το άρθρο είναι μέρος του οδηγού Ψηφιακό δικηγορικό γραφείο.

Ποιο είναι το νομικό πλαίσιο

• Κανονισμός (ΕΕ) 2016/679 (GDPR), άμεσα εφαρμοστέος.
• Ν. 4624/2019, με εκτελεστικά μέτρα και ορισμένους περιορισμούς δικαιωμάτων.
• Κώδικας Δικηγόρων (ν. 4194/2013) για το επαγγελματικό απόρρητο, που λειτουργεί παράλληλα και σε ορισμένα σημεία αυστηρότερα.

Η εποπτική αρχή είναι η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ). Οι ρυθμίσεις του ν. 4624/2019 έχουν απασχολήσει την Αρχή ως προς τη συμβατότητά τους με τον Κανονισμό, οπότε σε αμφίβολα σημεία ελέγξτε την τρέχουσα θέση της.

Νόμιμη βάση ανά κατηγορία προσώπου

Για ποινικά δεδομένα ισχύει το άρθρο 10 GDPR και οι σχετικές εθνικές ρυθμίσεις. Αποφύγετε να βασίζετε την επεξεργασία των δεδομένων του πελάτη σε «συγκατάθεση»: αν την ανακαλέσει, δεν μπορείτε ξαφνικά να σταματήσετε να τηρείτε τον φάκελο ή τα φορολογικά βιβλία.

Τα έγγραφα που πρέπει να έχετε

1. Αρχείο δραστηριοτήτων επεξεργασίας (άρθρο 30): ποια δεδομένα, για ποιον σκοπό, πού αποθηκεύονται, σε ποιους διαβιβάζονται, πόσο διατηρούνται. Η εξαίρεση για επιχειρήσεις κάτω των 250 ατόμων δεν ισχύει όταν η επεξεργασία δεν είναι περιστασιακή ή αφορά ειδικές κατηγορίες, οπότε πρακτικά το γραφείο το χρειάζεται.
2. Ενημέρωση υποκειμένων (άρθρα 13-14): σύντομο κείμενο που δίνεται στον πελάτη με την ανάθεση και αναρτάται στον ιστότοπο.
3. Συμβάσεις με εκτελούντες (άρθρο 28): πάροχος λογισμικού, email, λογιστής, εξωτερικός τεχνικός.
4. Πολιτική διατήρησης: πόσο κρατάτε κλειστούς φακέλους και γιατί (π.χ. παραγραφή αξιώσεων αστικής ευθύνης, φορολογικές υποχρεώσεις).
5. Διαδικασία παραβίασης (άρθρα 33-34): ποιος αποφασίζει, πώς καταγράφεται, πότε ενημερώνεται η Αρχή (κατά κανόνα εντός 72 ωρών) και πότε τα υποκείμενα.
6. Δέσμευση εχεμύθειας υπαλλήλων και συνεργατών.

Δικαιώματα υποκειμένων και επαγγελματικό απόρρητο

Ο αντίδικος μπορεί να ασκήσει δικαίωμα πρόσβασης ζητώντας «όλα τα δεδομένα που έχετε για εμένα». Ο GDPR και ο ν. 4624/2019 προβλέπουν περιορισμούς όταν η ικανοποίηση του αιτήματος θα έθιγε την άσκηση ή υπεράσπιση νομικών αξιώσεων ή υποχρεώσεις επαγγελματικού απορρήτου. Η απάντηση πρέπει όμως να δοθεί εμπρόθεσμα (κατά κανόνα εντός ενός μηνός) και να είναι αιτιολογημένη· η σιωπή δεν είναι επιλογή. Κρατήστε πρότυπο απάντησης.

Τεχνικά μέτρα που ζητά ο Κανονισμός

Το άρθρο 32 δεν απαριθμεί συγκεκριμένα προϊόντα· ζητά μέτρα ανάλογα με τον κίνδυνο. Για ένα δικηγορικό γραφείο, ο κίνδυνος είναι υψηλός λόγω της φύσης των δεδομένων, άρα εύλογα αναμένονται: κρυπτογράφηση, έλεγχος ταυτότητας δύο παραγόντων, ατομικοί λογαριασμοί με δικαιώματα ανά ρόλο, αντίγραφα ασφαλείας που δοκιμάζονται, και ιστορικό ενεργειών. Αναλυτική λίστα στο Ασφαλή αντίγραφα και κωδικοί, και για τον πάροχο cloud στο Επαγγελματικό απόρρητο και cloud.

Συνηθισμένα λάθη

• Αποστολή φακέλων με προσωπικά email ή εφαρμογές συνομιλίας χωρίς έλεγχο.
• Κοινός κωδικός για όλο το γραφείο, που καθιστά αδύνατο να αποδείξετε ποιος είδε τι.
• Αντίγραφα σε USB που μένει στο συρτάρι χωρίς κρυπτογράφηση.
• Αόριστη διατήρηση «για πάντα» κάθε κλειστού φακέλου.
• Χρήση δημόσιων εργαλείων AI με στοιχεία πελατών (βλ. Τεχνητή νοημοσύνη στη δικηγορία).

Το κλείσιμο του φακέλου είναι η κατάλληλη στιγμή να εφαρμόσετε την πολιτική διατήρησης· δείτε πρακτικά βήματα στο Κλείσιμο και αρχειοθέτηση υπόθεσης.

Πρότυπο ενημέρωσης πελάτη: τι περιλαμβάνει

Η ενημέρωση δεν χρειάζεται να είναι πολυσέλιδη. Ένα σύντομο κείμενο, που επισυνάπτεται στο συμφωνητικό αμοιβής ή στέλνεται με το πρώτο email, πρέπει να αναφέρει:

• Τα στοιχεία του γραφείου ως υπευθύνου επεξεργασίας.
• Τους σκοπούς (χειρισμός της υπόθεσης, τιμολόγηση, τήρηση φορολογικών υποχρεώσεων).
• Τη νόμιμη βάση για κάθε σκοπό.
• Τους αποδέκτες ή κατηγορίες αποδεκτών (δικαστήρια, δικαστικοί επιμελητές, λογιστής, πάροχοι λογισμικού, ΑΑΔΕ μέσω myDATA).
• Αν υπάρχουν διαβιβάσεις εκτός ΕΕ.
• Τον χρόνο διατήρησης ή τα κριτήρια καθορισμού του.
• Τα δικαιώματα του υποκειμένου και το δικαίωμα καταγγελίας στην ΑΠΔΠΧ.

Για τα πρόσωπα από τα οποία δεν συλλέγετε απευθείας τα δεδομένα (αντίδικοι, μάρτυρες), το άρθρο 14 προβλέπει εξαιρέσεις όταν η ενημέρωση θα καθιστούσε αδύνατη ή θα έβλαπτε σοβαρά την επίτευξη του σκοπού, και όταν τα δεδομένα πρέπει να παραμείνουν εμπιστευτικά λόγω υποχρέωσης επαγγελματικού απορρήτου. Τεκμηριώστε γιατί εφαρμόζετε την εξαίρεση.

Ένα παράδειγμα αρχείου δραστηριοτήτων

Το αρχείο αυτό ενημερώνεται όποτε προσθέτετε νέο εργαλείο ή πάροχο. Είναι το πρώτο έγγραφο που θα σας ζητηθεί σε έλεγχο.

Συχνές ερωτήσεις

Χρειάζομαι συγκατάθεση του πελάτη για να επεξεργαστώ τα δεδομένα του;

Κατά κανόνα όχι. Η επεξεργασία στηρίζεται στη σύμβαση εντολής και σε έννομες υποχρεώσεις. Οφείλετε όμως να τον ενημερώσετε κατά τα άρθρα 13-14.

Πρέπει να ορίσω DPO;

Για ατομικά και μικρά γραφεία συνήθως όχι. Ο ορισμός είναι υποχρεωτικός όταν η βασική δραστηριότητα συνίσταται σε μεγάλης κλίμακας επεξεργασία ειδικών κατηγοριών ή ποινικών δεδομένων· η εκτίμηση γίνεται κατά περίπτωση.

Ο πάροχος λογισμικού είναι συνυπεύθυνος;

Συνήθως είναι εκτελών την επεξεργασία: επεξεργάζεται για λογαριασμό σας και κατ’ εντολή σας. Γι’ αυτό απαιτείται σύμβαση κατά το άρθρο 28.

Πόσο πρέπει να κρατώ τους φακέλους;

Δεν υπάρχει ενιαίος χρόνος. Ορίστε τον λαμβάνοντας υπόψη προθεσμίες παραγραφής αξιώσεων εναντίον σας, φορολογικές υποχρεώσεις και τυχόν οδηγίες του Συλλόγου, και τεκμηριώστε τον.

Ένα λογισμικό με ρόλους, ιστορικό ενεργειών, κρυπτογράφηση και σύμβαση επεξεργασίας κάνει τη λογοδοσία πολύ ευκολότερη. Αν θέλετε να το δείτε στην πράξη, μπορείτε να δοκιμάστε δωρεάν το NomikApp.