Czy mogę wrzucić akta sprawy do narzędzia AI, żeby je streściło

Zakres tajemnicy zawodowej a zakres RODO

Radca prawny jest obowiązany zachować w tajemnicy wszystko, o czym dowiedział się w związku z udzieleniem pomocy prawnej (art. 3 ust. 3 ustawy o radcach prawnych). Kodeks Etyki doprecyzowuje ten zakres. Tajemnicą objęte są wszystkie informacje dotyczące klienta i jego spraw, niezależnie od źródła oraz formy i sposobu ich utrwalenia, a także dokumenty tworzone przez radcę i jego korespondencja z klientem oraz osobami uczestniczącymi w prowadzeniu sprawy (art. 15 ust. 1 i 2 KERP). Obowiązek nie może być ograniczony w czasie (art. 17 KERP), a radca ma zabezpieczyć informacje objęte tajemnicą przed niepowołanym ujawnieniem (art. 23 KERP).

Różnica wobec RODO jest w praktyce rozstrzygająca. RODO chroni dane osobowe. Tajemnica obejmuje także to, co danymi osobowymi nie jest, na przykład treść umowy między dwiema spółkami, próg, poniżej którego klient nie pójdzie na ugodę, własna ocena słabych punktów sprawy czy kolejność zgłaszania dowodów. Wycięcie z dokumentu nazwisk nie usuwa z niego żadnej z tych informacji.

Standard zabezpieczenia

Regulamin wykonywania zawodu radcy prawnego wskazuje, czego się oczekuje. Zabezpieczenie ma być adekwatne do charakteru, rodzaju i skali działalności, otoczenia oraz rodzaju informacji i ryzyka ich ujawnienia (§ 3). Dokumenty przechowywane elektronicznie powinny być objęte odpowiednią kontrolą dostępu oraz zabezpieczeniem systemu przed nieuprawnionym dostępem i utratą danych, a radca powinien kontrolować dostęp osób współpracujących (§ 4 ust. 2). Dostęp do informacji objętych tajemnicą ma być ograniczony do osób świadczących pomoc prawną lub współpracujących przy niej, a przed dopuszczeniem takich osób do czynności radca powinien uzyskać ich zobowiązanie do zachowania tajemnicy. Regulamin przewiduje dla niego wzór, a w szczególnych przypadkach dopuszcza formę dokumentową zamiast pisemnej (§ 5).

Poziomy narzędzi i ich skutki

Ogólnodostępny czat na koncie konsumenckim. Wprowadzone treści mogą być wykorzystywane do trenowania modeli, historia jest zapisywana, umowy powierzenia zwykle nie ma, a przetwarzanie odbywa się poza Unią. Do pracy na aktach się nie nadaje ze względu na brak kontroli nad tym, dokąd trafia wprowadzany materiał, niezależnie od jakości odpowiedzi.

Narzędzie z umową powierzenia. Umowa z art. 28 ust. 3 RODO określa przedmiot, czas, charakter i cel przetwarzania oraz obowiązki podmiotu przetwarzającego. Podpowierzenie wymaga zgody administratora (art. 28 ust. 2 RODO). Sama umowa powierzenia nie wyczerpuje jednak tajemnicy zawodowej, bo ta obejmuje więcej niż dane osobowe. Potrzebna jest odrębna klauzula poufności obejmująca wszystkie informacje ze sprawy oraz wskazanie, gdzie fizycznie odbywa się przetwarzanie i co dzieje się z danymi po zakończeniu usługi.

Model działający lokalnie, w infrastrukturze kancelarii. Dane nie opuszczają środowiska, ale obowiązki z § 4 ust. 2 Regulaminu zostają i obejmują kontrolę dostępu, zabezpieczenie kopii, zapisy zdarzeń oraz procedurę przy odejściu współpracownika.

Anonimizacja i jej typowe błędy

Zasady ochrony danych nie mają zastosowania do informacji anonimowych (motyw 26 RODO), ale pseudonimizacja, czyli przetworzenie, po którym dane wciąż da się przypisać osobie przy użyciu dodatkowych informacji (art. 4 pkt 5 RODO), anonimizacją nie jest.

Najczęstsze potknięcia to podmiana nazwisk przy pozostawieniu numeru KRS, NIP, sygnatury akt, dat i kwot; metadane w plikach PDF i DOCX; nagłówki, stopki i pieczęcie na skanach; unikatowy układ faktów, po którym sprawę rozpozna każdy, kto ją zna. Ważniejsze od wszystkich wymienionych potknięć jest to, że anonimizacja odpowiada na pytanie o dane osobowe, a strategia procesowa pozostaje objęta tajemnicą także wtedy, gdy nie ma w niej ani jednego nazwiska.

Przykładowe streszczenie akt sprawy gospodarczej

Spór o karę umowną z umowy o roboty budowlane, akta liczą około 1400 kart i obejmują dziennik budowy, protokoły odbiorów, korespondencję stron oraz opinię prywatną. Radca chce chronologii zdarzeń z okresu spornego.

Najpierw sprawdza umowę z klientem i ustala z nim na piśmie, czy przy prowadzeniu sprawy mogą być używane narzędzia zewnętrzne. Potem wybiera narzędzie, dla którego ma umowę powierzenia, klauzulę poufności, wskazane miejsce przetwarzania, umownie wyłączone uczenie na wprowadzanych treściach i możliwość wyłączenia historii.

Ogranicza materiał wprowadzany do narzędzia do dziennika budowy i korespondencji z okresu spornego, a nie do całych akt, i usuwa dane osób trzecich, które do chronologii nie są potrzebne (pracownicy podwykonawcy, świadkowie zdarzeń niespornych). Zleca zadanie zamknięte, czyli zestawienie zdarzeń z datami i wskazaniem karty akt, bez ocen prawnych.

Wynik sprawdza, biorąc dwadzieścia losowych pozycji zestawienia i porównując je z dokumentami źródłowymi, a osobno sprawdza, czy narzędzie nie dopisało zdarzeń, których w aktach nie ma. W karcie sprawy odnotowuje narzędzie, zakres wprowadzonego materiału, datę i osobę sprawdzającą. Własnej notatki o progu ugodowym i ocenie szans do narzędzia nie wprowadza, bo chronologia tego nie wymaga, a to należy do istoty tajemnicy.

Poleganie na anonimizacji i zapewnieniach dostawcy

Przekonanie, że po usunięciu nazwisk problem znika. Innym błędem jest opieranie decyzji na zapewnieniu ze strony internetowej dostawcy zamiast na umowie, którą da się okazać przy kontroli.

Zagadnienia nierozstrzygnięte

Regulamin mówi o osobach współpracujących z radcą prawnym przy świadczeniu pomocy prawnej, a nie o dostawcy usługi informatycznej, i nie przesądza, czy zobowiązanie z § 5 może zastąpić klauzula poufności w umowie ze spółką. Nie jest znane wiążące stanowisko samorządu, które rozstrzygałoby, czy i na jakich warunkach przekazanie akt dostawcy narzędzia mieści się w granicach tajemnicy zawodowej bez zgody klienta. Nie są też znane opublikowane orzeczenia dyscyplinarne w takich sprawach. Do czasu ich pojawienia się rozsądne jest przyjęcie ostrożniejszego wariantu i uzyskanie zgody klienta.