Deling av sensitive dokumenter med eksterne parter — e-post er ikke et arkiv

Advokatfirmaer og regnskapsbyråer deler klientdokumenter med motparter, revisorer og myndigheter hver eneste dag — oftest per e-post. Her er hvorfor det er en risiko for både taushetsplikt og etterprøvbarhet, og hva som er alternativet.

En advokat sender et utkast til avtale til klienten for gjennomgang. Klienten videresender til sin økonomisjef, som videresender til en ekstern rådgiver. Tre uker senere finnes dokumentet i minst seks innbokser, to nedlastingsmapper og én privat Dropbox — og ingen vet hvilken versjon som er gjeldende, eller hvem som faktisk har lest hva.

For virksomheter under taushetsplikt — advokater etter advokatloven, regnskapsførere og revisorer etter sine profesjonsregler — er dette ikke en teoretisk bekymring. E-post er bygget for å levere meldinger, ikke for å kontrollere dokumenter. I det øyeblikket vedlegget forlater utboksen, er all kontroll borte: ingen tilgangsstyring, ingen tilbakekalling, ingen oversikt over videresending, ingen versjonskontroll.

Fire problemer e-postdeling ikke kan løse

• Kontroll: du kan ikke trekke tilbake, tidsbegrense eller begrense tilgang til et vedlegg som allerede er sendt. Feilsendinger — den vanligste GDPR-avvikstypen — er irreversible.
• Versjoner: «hvilket utkast kommenterte motparten på?» har ikke noe pålitelig svar når dokumentet lever i parallelle tråder.
• Etterprøvbarhet: hvem åpnet dokumentet, når, og godkjente hvem hva? E-posten vet det ikke, og i en klagesak eller et erstatningskrav er «vi sendte det nok over» ikke dokumentasjon.
• Arkivering: saksdokumentasjonen ender i personlige innbokser som ryddes, slettes eller forsvinner med ansatte — i strid med både arkivplikt og internkontrollkrav.

«Men vi bruker jo kryptert e-post»

Transportkryptering (TLS) beskytter meldingen på veien — den gjør ingenting med problemene over. Dokumentet er fortsatt ute av kontroll når det er levert. Passordbeskyttede vedlegg hjelper marginalt og straffer mottakeren med friksjon. Problemet er ikke krypteringen, men modellen: kopier som distribueres, i stedet for ett dokument som deles.

Alternativet: inviter inn, i stedet for å sende ut

Modellen som faktisk løser dette, snur retningen: dokumentet blir liggende i et sikkert, tilgangsstyrt arbeidsrom — og den eksterne parten inviteres inn. Tilgangen er personlig, rollestyrt og kan trekkes tilbake. Det finnes én gjeldende versjon, med full historikk. Og hver handling — åpnet, kommentert, godkjent — logges automatisk med tidsstempel.

• Klienten ser sine saker og dokumenter — og bare sine.
• Motpart eller revisor får tidsavgrenset tilgang til akkurat de dokumentene gjennomgangen krever.
• Godkjenninger skjer strukturert: «godkjent av Hansen 12. mars kl. 14:02» er et loggfaktum, ikke en e-postpåstand.
• Når saken avsluttes, er arkivet komplett — ikke spredt over innbokser som skal «ryddes en dag».

Taushetsplikten og dokumentasjonskravene forsvinner ikke. Spørsmålet er om verktøyene deres er bygget for dem — eller om firmaet hver dag håper at ingenting går galt på veien mellom utboks og innboks.