Behandling av personopplysninger i Advokatfirmaet Legalis AS

Advokatfirmaet Legalis AS (heretter «Legalis») er ansvarlig for behandling av personopplysninger som omtalt nedenfor.

Kontaktopplysninger for behandlingsansvarlig:

Adresse: Postboks 444 Sentrum, 0103 Oslo

E-post: post@legalis.no

Telefon: 22 40 23 00

Organisasjonsnr.: 974 675 366

For spørsmål du måtte ha om vår behandling av dine personopplysninger kan du kontakte daglig leder Tonje Hovde Skjelbostad (ths@legalis.no) eller personvernansvarlig Frode Elton Haug, (feh@legalis.no).

Denne personvernerklæringen retter seg mot vår behandling av personopplysninger om følgende personer:

• Privatpersoner som er klienter hos Legalis
• Kontaktpersoner hos virksomheter som er klienter hos Legalis
• Kontaktpersoner hos våre leverandører og samarbeidspartnere
• Personer som er involvert i saker vi bistår i
• Andre personer som er omtalt i saksdokumenter vi får tilgang til
• Jobbsøkere til stillinger hos oss
• Besøkende på vår nettside og personer som benytter advokatchat, timebooking-tjenesten og vår tjeneste for å generere juridiske dokumenter

Vi samler inn og bruker dine personopplysninger til ulike formål avhengig av hvem du er og hvordan vi kommer i kontakt med deg.

All behandling av personopplysninger skjer i overensstemmelse med de til enhver tid gjeldende personvernregler, herunder personopplysningsloven og personvernforordningen (GDPR).

Med «personopplysninger» menes alle opplysninger som kan knyttes til en fysisk person (sistnevnte omtales som «registrert»).

Med «behandling» menes alt som foretas med personopplysninger, som innsamling, registrering, organisering, strukturering, lagring, tilpasning eller endring, gjenfinning, konsultering, bruk, utlevering ved overføring, spredning eller alle andre former for tilgjengeliggjøring, sammenstilling eller samkjøring, begrensning, sletting eller tilintetgjøring.

Vi samler inn følgende personopplysninger til formålene angitt her:

Besvare henvendelser og etablere klientforhold. Vi mottar henvendelser på telefon, per e-post/brev, i vår advokatchat, vår timebooking-tjeneste og tjeneste for å generere juridiske dokumenter. Ved henvendelse til oss registreres kontaktopplysninger som navn, telefonnummer, e-postadresse og fagforeningstilhørighet. Registreringen av kontaktopplysninger er for privatkunder nødvendig for å kunne inngå avtale med vedkommende, jf. GDPR artikkel 6 nr. 1 bokstav b. For virkssomhetskunder bygger registreringen av kontaktopplysninger på en interesseavveining, jf. GDPR artikkel 6 nr. 1 bokstav f. Om henvendelsen inneholder særlig kategorier av personopplysninger (sensitive personopplysninger), slik som fagforeningstilhørighet, er behandlingsgrunnlaget GDPR artikkel 9 nr. 2 bokstav f) i det behandlingen er nødvendig for å fastsette, gjøre gjeldende eller forsvare et rettskrav, jf. personopplysningsloven § 11.

I tilknytning til etableringen av et klientforhold vil vi foreta en kundekontroll i samsvar med reglene i hvitvaskingsloven. Opplysningene som behandles er navn, fødselsnummer, adresse, telefon, e-post og informasjon om klient er en politisk eksponert person (PEP) eller er nært tilknyttet en person som er PEP. Kundekontrollen er nødvendig for å oppfylle våre rettslige forpliktelser etter hvitvaskingsloven, jf. GDPR artikkel 6 nr. 1 bokstav c. Vi lagrer opplysninger i kundekontrollen i 5 år etter avslutning av sak.

Sakshåndtering. Enkelte advokatoppdrag innebærer at vi får tilgang til personopplysninger om parter eller andre enkeltpersoner som berøres av en sak. Slike opplysninger kan fremkomme av dokumenter klienten oversender eller annen korrespondanse i saken. Behandlingen vil i hovedsak skje fordi den er nødvendig for å oppfylle en avtale med klienten, etter GDPR artikkel 6 nr. 1 bokstav b). Der den registrerte er andre enn klient, har behandling av personopplysninger grunnlag i en interesseavveining forankret i GDPR artikkel 6 nr. 1 bokstav f).

I noen saker får vi også tilgang til sensitive personopplysninger, f.eks. helseopplysninger eller straffedommer og lovovertredelser. I slike tilfeller har behandlingen av opplysningene hjemmel i GDPR artikkel 9 nr. 2 bokstav f), jf. personopplysningsloven § 11 om rettskrav.

Kunnskapsforvaltning. Juridiske vurderinger utarbeidet av virksomhetens ansatte vil kunne benyttes til kunnskapsforvaltning innad i firmaet. Vi vil også se hen til tidligere saker når vi har gitt råd. Dette gjøres på bakgrunn av en interesseavveining, ettersom effektivisering av arbeidet vil komme både klienter og virksomheten til gode. Behandlingen er forankret i GDPR artikkel 6 nr. 1 bokstav f).

Rekruttering. I forbindelse med søknad på ledige stillinger vil Legalis behandle personopplysninger om jobbsøkerne. Personopplysninger vil kunne inngå i CV, søknad, attester og referanser, og ellers de opplysninger som oppgis i en intervjusituasjon.

Vi bruker jobbsøketjenesten Finn.notil å lagre innsendte søknader, og dette er da vår databehandler. Registrerer du deg hos jobbsøketjenesten med egen profil, vil tjenesten være behandlingsansvarlig, og det vises til dennes personvernerklæring for informasjon om behandling av personopplysninger i tjenesten. Behandling av personopplysninger er basert på samtykke som du har gitt i jobbsøketjenesten (GDPR artikkel 6 (1) a), om slikt blir innhentet, eller grunnlagene som følger nedenfor.

Grunnlag for behandling av personopplysninger ved rekruttering er at behandlingen er nødvendig for å gjennomføre tiltak før en arbeidsavtale med jobbsøker eventuelt inngås (GDPR artikkel 6 (1) b).

Gjøres det undersøkelser av oss ut over å kontakte personer som er oppgitt som referanse, undersøke ved søk om historikk mv., så behandles personopplysninger på grunnlag av vår nødvendige berettigede interesse for å sikre at riktig kandidat til stillingen (GDPR artikkel 6 (1) f). For sistnevnte har vi vurdert at vår berettigede interesse i å rekruttere nye ansatte veier tyngre enn den enkeltes personvern. Vi oppfordrer deg til å ikke legge inn særlige kategorier personopplysninger, som helse, religion, politiske oppfatninger, fagforeningsmedlemskap mv. i din søknad.

Etter avsluttet rekrutteringsprosess slettes personopplysningene til søkere som ikke ansettes. For de som ansettes oppbevares søknad, CV og vitnemål ut ansettelsesforholdet.

Administrasjon av avtaleforhold med leverandører og samarbeidspartnere. Samarbeid med ulike leverandører, organisasjoner og samarbeidspartnere nødvendiggjør til tider behandling av personopplysninger. Da registreres kontaktinformasjon, hovedsakelig kontaktpersoners navn, telefonnummer og e-post. Behandlingen skjer med hjemmel i GDPR artikkel 6 nr. 1 bokstav f) basert på vår interesse av å administrere kontakten med leverandører og samarbeidspartnere.

IT-drift og sikkerhet. Personopplysninger som er lagret i våre IT-systemer vil kunne være tilgjengelige for oss eller for våre leverandører i forbindelse med oppdateringer av systemer, implementering eller oppfølging av sikkerhetstiltak, feilretting eller annet vedlikehold. Behandlingsgrunnlaget er GDPR artikkel 6 nr. 1 f (interesseavveining, jf. vårt ønske om å sikre gode og oppdaterte systemer) og vår rettslig forpliktelse til å ha tilfredsstillende informasjonssikkerhet, jf. GDPR artiklene 32 og 6 nr. 1 bokstav c.

Vi utleverer ikke personopplysninger i andre tilfeller eller på andre måter enn dem som er beskrevet i denne personvernerklæringen med mindre klienten eksplisitt oppfordrer til eller samtykker til dette eller utleveringen er lovpålagt. Andre parter, som motparter, domstol og offentlige organer, vil kun få tilgang til personopplysningene i den grad dette er nødvendig for oppdraget.

Advokater er underlagt en straffesanksjonert taushetsplikt som følger av straffeloven § 111. Alle opplysninger som blir betrodd oss i forbindelse med et oppdrag blir håndtert konfidensielt. Advokatfirmaets øvrige medarbeidere er underlagt den samme taushets- og fortrolighetsplikt som advokatene.

Legalisbruker databehandlere til å samle inn, lagre eller på annen måte behandle personopplysninger på våre vegne. I slike tilfeller har vi inngått avtaler for å ivareta informasjonssikkerheten i alle ledd av behandlingen. Slike databehandlere er for eksempel leverandører av IT-løsninger. Vi benytter oss av følgende databehandlere per i dag:

• Microsoft – opplysninger om klienter og øvrige personer som er involvert i saker vi behandler lagres og behandles for å levere tjenestene klientene har bedt om.
• Penneo – opplysninger om klienter behandles for å kunne kontrollere klientens identitet
• 24SevenOffice – opplysninger om klienter lagres og behandles for å kunne fakturere klient for tjenester det skal betales for.
• MongoDB Atlas – lagrer opplysninger om kunder og øvrige personer som er involvert i saker hvor våre digitale tjenester Timebooking og Advokatchatten benyttes. Lagring skjer for å kunne levere tjenestene klientene har bedt om.
• Mailgun – behandler opplysninger om kunder som benytter vår digitale tjeneste Timebooking for å kunne sende ut e-post med informasjon om gjennomføring av møte med advokat og eventuell videre oppfølging av henvendelse.
• Finn.no – behandler opplysninger som fremgår av søknader på ledige stillinger hos Legalis.

All behandling av personopplysninger som vi foretar skjer innenfor EU/EØS-området.

Vi lagrer dine personopplysninger hos oss så lenge det er nødvendig for det formål personopplysningene ble samlet inn for, og sletter opplysningene i tråd med krav i regelverket.

Legalis vil, innenfor de rammer som følger av lovverket, oppbevare kopi av saksdokumenter etter avslutning av et klientoppdrag. Vi lagrer saksdokumenter i 10 år etter avslutning av saken.

Personopplysninger som vi behandler på grunnlag av ditt samtykke slettes hvis du trekker ditt samtykke. Personopplysninger vi behandler for å oppfylle øvrige avtaler enn klientoppdrag med deg slettes når avtalen er oppfylt og alle plikter som følger av avtaleforholdet er oppfylt, som f.eks. lovmessige plikter knyttet til regnskapsføring, oppfølging av kundeforholdet knyttet til reklamasjon mv.

Sikkerhet for behandlingen

All behandling av personopplysninger sikres med de påkrevede tekniske og organisatoriske tiltak.

Vi håndterer informasjon slik at den er riktig, tilgjengelig og håndtert i henhold til grad av sensitivitet på opplysningene. Vi benytter også en rekke sikkerhetsteknologier og informasjonssikkerhets-prosedyrer for å beskytte personopplysningene fra uautorisert tilgang, bruk eller formidling. Det gjennomføres risikovurderinger for behandling av personopplysninger.

Vi har inngått databehandleravtaler med alle våre leverandører som behandler personopplysninger, hvor de påtar seg samme grad av sikkerhet som vi har for vår behandling av personopplysninger.

Vi begrenser tilgangen til personopplysninger til det personalet eller de tredjepartene som skal behandle opplysningene på våre vegne. Disse partene er underlagt konfidensialitetsplikt.

Det er etablert rutiner for håndtering av brudd på informasjonssikkerhet og rutiner (personvernbrudd), og vi vil, dersom det foreligger brudd som medfører risiko for personvernet til de personopplysningene gjelder, sende avviksmelding til Datatilsynet så raskt som mulig og senest innen 72 timer etter bruddet ble oppdaget. Medfører bruddet høy sannsynlighet for personvernet til de bruddet gjelder, vil vi også varsle disse.

Du har følgende rettigheter:

Informasjon

Du har rett til å få informasjon om de personopplysninger vi behandler om deg. Gjennom denne erklæringen informerer vi deg om vår behandling av personopplysninger. Du kan også kontakte oss om du ønsker mer informasjon.

Innsyn

Du har rett til å kreve innsyn i personopplysningene som behandles om deg. Ta kontakt med oss om du ønsker innsyn.

Endring og sletting

Du kan også be oss om å rette feilaktige opplysninger vi har om deg eller be oss om å slette personopplysninger. Vi vil så langt som mulig imøtekomme en forespørsel om å slette personopplysninger, men vi kan ikke gjøre dette dersom vi fremdeles har behov for opplysningene.

Behandling på grunnlag av samtykke

Behandler vi personopplysninger på grunnlag av ditt samtykke, så kan du til enhver tid trekke tilbake samtykket. Den enkleste måten å gjøre dette på, er å bruke den måte som er opplyst om da du ga samtykket eller kontakte oss.

Rett til å begrense eller protestere mot behandlingen

Du har rett til å få behandlingen begrenset i visse tilfeller, se GDPR artikkel 21, som:

• Du bestrider riktigheten av personopplysningene - behandlingen stanses i en periode som gjør det mulig for oss å kontrollere riktigheten av personopplysningene.
• Behandlingen er ulovlig, og du motsetter seg sletting av personopplysningene og isteden anmoder om at bruken av personopplysningene begrenses.
• Vi ikke lenger trenger personopplysningene til formålet med behandlingen, men du har behov for disse for å fastsette, gjøre gjeldende eller forsvare rettskrav.

Du kan også protestert mot behandling etter GDPR artikkel 21 nr. 1 i påvente av kontrollen av om hvorvidt våre berettigede interesser går foran ditt personvern.

Retten til dataportabilitet

For opplysninger som du har gitt til oss og er nødvendig for å gjennomføre en avtale med oss, og som behandles automatisk (dvs. ikke manuelt av oss) kan du be om å få personopplysningene om deg utlevert eller overført til annen leverandør i et strukturert, alminnelig anvendt og maskinlesbart format (dataportabilitet).

Automatisert behandling, herunder profilering

Det vil ikke bli foretatt automatisert behandling, herunder profilering, basert på dine personopplysninger som har rettsvirkninger eller som i betydelig grad påvirker de som personopplysninger gjelder. Se GDPR artikkel 22 nr. 1 og 4.

For å ta i bruk dine rettigheter må du rette en anmodning til firmaet ved daglig leder Tonje Hovde Skjelbostad eller personvernansvarlig Frode Elton Haug. Vi vil svare på din henvendelse til oss så fort som mulig, og senest innen 30 dager.

Vi vil be deg om å bekrefte identiteten din eller å oppgi ytterligere informasjon før vi lar deg ta i bruk dine rettigheter overfor oss. Dette gjør vi for å være sikre på at vi kun gir tilgang til dine personopplysninger til deg - og ikke noen som gir seg ut for å være deg.

Dersom du mener at vår behandling av personopplysninger ikke stemmer med det vi har beskrevet her eller at vi på andre måter bryter personvernlovgivningen, så kan du klage til Datatilsynet.

Du finner informasjon om hvordan kontakte Datatilsynet på Datatilsynets nettsider: https://www.datatilsynet.no/om-datatilsynet/kontakt-oss/hvordan-kan-jeg-klage-til-datatilsynet/

Hvis det skulle skje endring av våre tjenester eller endringer i regelverket om behandling av personopplysninger, kan det medføre forandring i vår behandling av dine personopplysninger. Har vi dine kontaktopplysninger, vil vi gjøre deg oppmerksom på slike forandringer. Ellers vil oppdatert informasjon alltid finnes lett tilgjengelig på våre nettsider.

Sist endret: Oktober 2022