Advocaten in de cloud. De organisatie van het advocatenkantoor op “wolkjes”?

De voorbije jaren hebben cloudcomputing-toepassingen enorm aan populariteit gewonnen. Cloud-technologie kan aan haar gebruikers grote voordelen bieden maar houdt ook enkele intrinsieke risico’s in. Er zijn intussen verschillende cloud-toepassingen op de markt die zich specifiek richten tot advocaten. Wanneer zulke toepassingen gebruikt worden door advocaten bij de organisatie van hun kantoor, moeten de voordelen en risico’s vanuit het licht van de toepasselijke deontologische en

wettelijke verplichtingen bekeken en afgewogen worden. Recent heeft de CCBE 2 bovendien enkele richtlijnen uitgebracht omtrent het gebruik van cloudcomputing door advocaten(kantoren) die wij in deze bijdrage ook kritisch zullen toelichten.

Wat is cloudcomputing?

Cloudcomputing is een computermodel waarbij de gebruiker via het internet toegang krijgt tot toepassingen en gegevens die in de datacenters van de cloud-leverancier zijn ondergebracht. Toepassingen en gegevens bevinden zich in dit model dus niet op een vaste aanwijsbare plek maar ‘ergens’ in de internetwolk. Eigen aan de cloud is dat gegevens in verschillende datacenters van de leverancier over de hele wereld verwerkt kunnen worden. Dit in tegenstelling tot het traditionele computermodel waarbij toepassingen en gegevens worden beheerd op een lokale en specifiek aanwijsbare server.

Voordelen voor de advocaat

Capaciteit en elasticiteit. Afhankelijk van de behoeften van de gebruiker is het mogelijk om de capaciteit van een bepaalde toepassing bij te sturen. Een advocatenkantoor zal altijd een bepaalde (opslag)capaciteit nodig hebben voor de afhandeling van zijn dagelijkse activiteiten, maar kan echter tijdens een beperkte periode, zoals tijdens de jaarafsluiting, extra capaciteit nodig hebben om zijn facturatie te organiseren.

Lagere prijzen en gebruiksgemak. De leveranciers van cloudcomputing bieden aan verschillende klanten een uniforme toepassing. Dat leidt tot schaalvoordelen en meestal ook tot lagere prijzen voor de klant. Bovendien betaalt een klant slechts voor zijn werkelijke gebruik. Daarnaast kunnen advocaten gebruik maken van cloud-oplossingen zonder te moeten investeren in hardware en zonder onderhoudskosten, wat ook weer bijdraagt tot de rationalisering van het ICT-budget.

Beschikbaarheid en flexibilitei. Aangezien cloudcomputing-diensten worden opgezet via het internet, zijn de toepassingen en de data toegankelijk vanop om het even welke locatie. Een eenvoudige internetverbinding volstaat. Deze omnipresente beschikbaarheid is misschien wel het belangrijkste voordeel: het verhoogt de mobiliteit van de advocaat doordat hij zowel op kantoor, thuis als – hopelijk straks – in de rechtszaal zijn dossiers kan raadplegen.

Risico’s voor de advocaat

Beveiliging en bescherming van data. Het gebruik van cloudcomputing-toepassingen door advocaten brengt, naast een aantal voordelen, ook enkele risico’s met zich mee, in de eerste plaats op het vlak van beveiliging en bescherming van data. Deze risico’s bestaan uiteraard ook voor gegevens op lokale dragers (vb. verlies of diefstal van een laptop of USB-stick) maar krijgen een nieuwe dimensie in de cloud. Een advocaat die gebruik wil maken van een cloud-toepassing dient dan ook na te gaan of er voldoende waarborgen geboden worden rond de veilige verwerking, opslag en bewaring van gegevens. Dit kan zowel betrekking hebben op de fysieke beveiliging (vb. de fysieke toegang tot de datacenters) als op logische beveiliging (vb. bescherming tegen hacking). Om gegevensverlies te voorkomen, kan de leverancier de nodige maatregelen voorzien rond brandbeveiliging en elektriciteitspannes in zijn datacenter. Maar nogal wat leveranciers proberen hun aansprakelijkheid voor verlies van data contractueel uit te sluiten. Aangezien vele cloudcomputing-diensten in essentie dataopslag beogen, zou een aansprakelijkheidsuitsluiting hiervoor de verbintenissen van de leverancier echter sterk uithollen.

Beschikbaarheid en continuïteit. Waar de vlotte beschikbaarheid van gegevens hierboven als een voordeel werd aangehaald, waarschuwen we hier voor de nadelen. Ook deze medaille heeft immers een keerzijde. Wanneer een toepassing (tijdelijk) niet beschikbaar blijkt, kan de advocaat zijn taken misschien niet naar behoren uitvoeren. Daarom moet hij bij het aangaan van een overeenkomst erover waken dat de leverancier de nodige continuïteit voor die toepassing kan garanderen.

Bescherming van persoonsgegevens en extra-territorialiteit. Als een advocaat een beroep doet op cloud-toepassingen, zullen er vaak ook persoonsgegevens (van cliënten, van medewerkers, enz.) in de cloud beheerd worden. In dat geval, zal de advocaat volgens de Belgische privacywet als de “verantwoordelijke voor de verwerking” van deze gegevens gekwalificeerd worden. De cloud-leverancier zal in principe een ‘verwerker’ zijn van de persoonsgegevens. Enkele toepassingen in de cloud. Als verwerker, heeft de leverancier de verplichting om de gegevens te verwerken in overeenstemming met de instructies van de advocaat. Aangezien de advocaat ten aanzien van de betrokkenen verantwoordelijk blijft, komt het erop aan om een geschikte leverancier uit te zoeken en afdoende waarborgen contractueel vast te leggen. Doordat de gegevensverwerking vaak simultaan gebeurt in verschillende datacenters, is het bijna onvermijdelijk dat persoonsgegevens in de cloud ook de landsgrenzen overschrijden. Daarbij moeten steeds de regels inzake doorgifte van persoonsgegevens naar derde landen nageleefd worden. Persoonsgegevens mogen immers enkel aan een niet-EER land worden doorgegeven, als dat land “een voldoende niveau van bescherming” biedt voor de gegevens.

Verzoenbaar met onze deontologie?

De plichtenleer van de advocaten bevat nauwelijks verwijzingen naar het gebruik van moderne communicatietechnologieën. Dit verhindert natuurlijk niet dat de algemene deontologische beginselen inzake beroepsgeheim en vertrouwelijkheid alsook de toepasselijke wettelijke verplichtingen, in acht genomen moeten worden wanneer advocaten nieuwe technologieën hanteren bij de organisatie van hun kantoor. Bovendien wordt er geen enkel verbod opgelegd aan de advocaten om bepaalde technologie zoals cloudcomputing te gebruiken. Zeer recent publiceerde de CCBE richtlijnen die advocaten moeten helpen om na te gaan of cloud-technologie bij de organisatie van hun kantoor al dan niet opportuun is.3 In deze richtlijnen, onderkent de CCBE zowel de voordelen als de nadelen van cloudcomputing en spoort zij de nationale balies aan om haar leden bewust te maken van deze risico’s en haar leden de nodige voorzorgen te doen nemen. Hierbij moeten de advocaten volgens de CCBE in eerste instantie de bescherming van de vertrouwelijkheid van de gegevens van cliënten voorop stellen. Het is echter niet duidelijk of de CCBE nu van de nationale balieorganisaties verwacht dat zij op hun beurt richtlijnen uitbrengen of de CCBE richtlijnen letterlijk onderschrijven. Bovendien is het ook onduidelijk welke (nationale) richtlijnen advocatenkantoren zouden moeten volgen als zij vestigingen hebben in verschillende landen.

Een advocaat die overweegt cloudtoepassingen te gebruiken, moet volgens de CCBE in elk geval de leverancier zorgvuldig uitkiezen. Reputatie, ervaring, solvabiliteit en locatie van de gegevens zijn hier van cruciaal belang. De advocaat zou volgens de CCBE tevens moeten nagaan welke beveiligingsmaatregelen de leverancier voorziet en of de leverancier daarbij nationale en internationale IT-standaarden respecteert. Hierbij moet dan ook de vergelijking gemaakt worden met de maatregelen die het kantoor zelf voorziet.

De richtlijnen benadrukken verder ook het belang om de nodige contractuele garanties te voorzien rond thema’s zoals beveiliging, monitoring, audit, licentiemodel, garanties en zelfs escrow. Hier houdt de CCBE echter weinig rekening met het gegeven dat contracten voor cloud-toepassingen vaak eerder eenzijdig zijn en moeilijk onderhandelbaar door de gebruikers. Daarbij komt dat de CCBE de cloud-leveranciers niet geconsulteerd heeft bij het opstellen van haar richtlijnen. Zo is dus volstrekt onduidelijk in hoeverre de cloud-leveranciers bereid zijn om in te gaan op de CCBE richtlijnen. Indien er geen onderhandelingsruimte zou blijken te bestaan, is niet duidelijk of de advocaat moet kiezen voor een andere leverancier dan wel de afwijkende clausules aan zijn balieorganisatie moet voorleggen.

To cloud or not to cloud?

Naargelang het kantoor en de toepassing, kunnen de voordelen van cloudcomputing opwegen tegen de risico’s. Het zal daarbij van groot belang zijn voor de advocaat in hoeverre de nodige contractuele waarborgen voorzien kunnen worden in zijn overeenkomst met de cloud-leverancier. De richtlijnen van de CCBE kunnen de advocaat alvast begeleiden bij het identificeren van elementen waaraan de nodige aandacht besteed moet worden in zulke overeenkomst. Het is echter maar zeer de vraag in hoeverre de cloud-leveranciers hierin zullen meegaan en hun aanbod zullen afstemmen op deze richtlijnen nu zij door de CCBE niet betrokken werden bij het opstellen ervan.

Sofie Costermans and Erik Valgaeren
Advocaten bij de Nederlandstalige Orde van Advocaten bij de balie te Brussel