Advokatsamfundets nye og opdaterede vejledning om advokatens behandling af personoplysninger, som blev offentliggjort den 20. marts 2025, indeholder en række bud på, hvordan advokater kan arbejde med GDPR i advokatfirmaet. Et godt redskab er en persondatapolitik, som beskriver rammerne for advokatfirmaets behandling af personoplysninger.

En vigtig del af politikken er at etablere et governancesystem for GDPR, hvor bl.a. ansvaret og arbejdet med GDPR i advokatfirmaet fastlægges og placeres hos en eller flere personer. Hvis ansvaret ikke placeres, eller det er uklart, hvem der er ansvarlig, er der risiko for, at ingen mener at have ansvaret, eller at der opstår misforståelser om, hvilke dele og opgaver der haves ansvar for. Alt efter omstændighederne kan personerne blot være ansvarlige for at løse en række bestemte og definerede opgaver, men evt. også have det formelle ansvar for, at advokatfirmaet efterlever GDPR. Det skal blot være klart og dokumenteret, hvem der er ansvarlig og for hvad. Udover den nævnte ansvarsplacering, bør det også gøres klart for alle medarbejderne i advokatfirmaet, at de også har et ansvar for, at GDPR efterleves, og hvad de skal gøre i den forbindelse.

En anden vigtig del er at beskrive, hvordan overholdelse af GDPR mere konkret sikres fx ved udarbejdelse og implementering af retningslinjer og procedurer (fx om opbevaring og sletning, aftaler med databehandlere mv.), og hvordan arbejdet organiseres (herunder fx opstilling af et årshjul) og rapporteres til ledelsen og andre relevante interessenter.

Udover de nævnte emner bør politikken også forholde sig til emner som fx behandlingssikkerhed, sikring af den registreredes rettigheder, håndtering af brud på persondatasikkerheden og krav til databehandlere.

Læs nærmere om persondatapolitikken som redskab i vejledningen her.

Hvis advokatfirmaet endnu ikke har udarbejdet en persondatapolitik og placeret ansvaret for overholdelse af GDPR, anbefales det, at dette gøres.

I de næste artikler kan du blandt andet læse mere om behandlingssikkerhed og advokaters tavshedspligt i forbindelse med behandling af personoplysninger.