For advokater og revisorer gør tavshedspligten valget af IT-leverandør til en del af det faglige ansvar, fordi klientens oplysninger ligger hos leverandøren. Reglerne nævner hverken cloud eller IT-leverandører. De stiller krav om fortrolighed, og I skal kunne forklare, at jeres valg lever op til, også når det gælder, hvem der ejer leverandøren, og hvilke landes myndigheder der kan forlange adgang til oplysningerne.
Søger I på advokat og cloud eller revisor og cloud, finder I mest tekster fra leverandører. Her står de regler, der gælder for jeres fag, gengivet kort, og det er markeret, hvor vi tolker. Teksten er ikke gennemlæst af en advokat og erstatter ikke rådgivning. Et konkret tvivlsspørgsmål hører hjemme hos Advokatsamfundet, FSR eller en kollega med speciale i området.
Advokaternes regler
De advokatetiske regler, som Advokatrådet anvender fra 1. juli 2025, siger i art. 15, at fortrolighed er en betingelse for advokatens virke. Art. 16 siger, at tavshedspligten gælder uden tidsbegrænsning og omfatter alle oplysninger, advokaten modtager under sit virke for klienten. Art. 17, stk. 2, kræver klientens samtykke til deling med eksterne, og art. 19 kræver, at personale og andre i firmaet gøres bekendt med samme tavshedspligt.
Reglerne nævner ikke IT-leverandører, og om en leverandør er “ekstern” i art. 17’s forstand, står ikke i teksten. Det skal I ikke læse ind i reglerne. Det, reglerne siger, er, at fortroligheden er jeres ansvar, og at den skal holde uanset, hvor oplysningerne ligger.
Advokatsamfundets vejledning om advokaters behandling af personoplysninger, revideret marts 2025, er mere direkte om IT. Advokaten er som hovedregel dataansvarlig, og aftaler med leverandører af IT-systemer kan kræve en databehandleraftale. Vejledningen siger, at overførsel til tredjelande sker ofte uagtsomt ved brug af software, særligt cloud. Søgningen har ikke fundet en særskilt vejledning fra Advokatsamfundet om cloud.
Det europæiske advokatråd CCBE udgav i 2012 retningslinjer for advokaters brug af cloud. De er skrevet til advokatsamfund og er ikke danske. Retningslinjerne siger, at advokater bør undersøge, om de efter egne regler må opbevare data uden for firmaet, og om udbyderen er underlagt en jurisdiktion, hvor lovgivning kan pålægge den at udlevere data til myndigheder uden for EU. De nævner ophør, overførsel og sletning af data blandt de punkter, aftalen bør dække. En nyere udgave er omtalt andre steder, men den har vi ikke læst.
Revisorernes regler
Revisorloven, lovbekendtgørelse nr. 206 af 20. februar 2025, siger i § 30, at straffelovens regler om tavshedspligt finder tilsvarende anvendelse på revisorer og deres medarbejdere. Stk. 2 har undtagelser for koncernrevision. Loven siger intet om IT-leverandører. Bogfører I for andre, gælder bogføringslovens krav til systemet også for jer efter § 17.
Hvad det betyder for valget af alternativ
Det er vores læsning, at reglerne gør tre spørgsmål til en del af jeres faglige vurdering, når I vælger leverandør til mail, dokumenter og filer.
Hvem kan få adgang? Hvem hos leverandøren og dens underleverandører kan se data, og under hvilke betingelser? Svaret står i vilkår, databehandleraftale og liste over underdatabehandlere.
Hvem kan tvinge leverandøren til at udlevere? Det afhænger af, hvor leverandøren og dens ejer er hjemmehørende. Serverens placering er en del af svaret og sjældent hele svaret. Et europæisk alternativ kan have en ejer eller en driftsleverandør uden for EU. De fem led, der skal tjekkes, står i artiklen om målestokken for europæisk.
Kan I komme ud igen med alle data? Tavshedspligten gælder uden tidsbegrænsning. Data om afsluttede sager skal kunne flyttes og slettes kontrolleret, når I skifter.
Om overførsel til lande uden for EU er lovlig, er et persondataspørgsmål, som er gennemgået på overførsel til tredjelande. Databehandleraftalen hører også til dér. Jurisdiktion over leverandøren er et andet spørgsmål, som en databehandleraftale ikke løser.
Krypteret mail og fildeling
Mange advokater og revisorer kigger efter tjenester med kryptering, hvor leverandøren ikke selv kan læse indholdet. Det kan reducere, hvad leverandøren kan udlevere. Det ændrer ikke på, at metadata som afsender, modtager og tidspunkt ofte er synlige, og at kryptering kan gøre samarbejdet med klienter sværere. Afprøv det med de klienter og myndigheder, I udveksler mest med.
Fagsystemet bestemmer meget
Sagsstyring, tidsregistrering og revisionsværktøjer er ofte tæt bundet til en bestemt kontorpakke. Et skifte af mail eller dokumenter kan derfor ramme fagsystemet. Spørg leverandøren af fagsystemet, hvad det understøtter, før I vælger. Situationen er gennemgået i fagsystemet kræver Office.
Hvad det kræver, og hvad det koster at lade være
Vurderingen kræver vilkår, databehandleraftale og underleverandørliste for både jeres nuværende og den nye leverandør, og en skriftlig begrundelse for valget, I kan vise en klient. Regn timerne til gennemgang og til afprøvning med fagsystem og klienter, med et lavt og et højt bud.
Lader I være, er tavshedspligten den samme, men I står uden en begrundelse, hvis en klient spørger, hvor deres oplysninger ligger, og hvem der kan få adgang. For en advokat eller revisor er svaret på det spørgsmål en del af tilliden.
Det skal I lade være med
- At læse regler ind i reglerne · de advokatetiske regler nævner ikke IT-leverandører.
- At tro, at serverens placering besvarer jurisdiktionen · ejer og kontraktpart tæller også.
- At vælge mail uden at spørge leverandøren af fagsystemet · sagsstyringen kan gå i stykker.
Det skal valget kunne vise
- ☐ Hvem hos leverandøren og underleverandørerne der kan få adgang.
- ☐ Ejer, kontraktpart og hosting for leverandøren, med dato.
- ☐ Hvordan data om afsluttede sager flyttes og slettes ved ophør.
- ☐ At fagsystemet understøtter alternativet.
- ☐ En skriftlig begrundelse, I kan vise en klient.
Kilder
- Advokatrådet, De advokatetiske regler 2025: kapitel 5, art. 15 til 19.
- Advokatsamfundet, Vejledning om advokatens behandling af personoplysninger, marts 2025: afsnit 4.3 og 5.
- CCBE, Guidelines on the use of cloud computing services by lawyers, 2012.
- Revisorloven, LBK nr. 206 af 20/2 2025: § 30, læst november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find underleverandørlisten for jeres nuværende mail og dokumentlager, og skriv ejer og hjemland ud for hver. Det er grundlaget for at sammenligne med et alternativ.
Læs også: Årsagen er compliance · Kunden kræver europæisk
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
