Integritetspolicy - Bridge Legal AB

1. Inledning och personuppgiftsansvarig

Bridge Legal AB ("Bridge Legal", "byrån", "vi") värnar om din personliga integritet. Denna integritetspolicy beskriver hur vi behandlar personuppgifter i vår juridiska verksamhet och i övrigt, vilka rättigheter du har som registrerad samt hur dessa rättigheter i vissa fall begränsas av de lagstadgade och yrkesetiska skyldigheter som gäller för vår verksamhet.

Behandlingen sker i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679 (dataskyddsförordningen, "GDPR"), lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) samt övrig tillämplig lagstiftning.

Personuppgiftsansvarig för all behandling som beskrivs i denna policy är:

Bridge Legal AB Org.nr: 559584-7129, ULLERÅKERSVÄGEN 36 A, 756 43 Uppsala, E-post: info@bridgelegal.se

Bridge Legal har inte utsett något dataskyddsombud, eftersom byråns verksamhet inte når upp till kraven i artikel 37 GDPR. Frågor om dataskydd besvaras av byråns kontaktperson för dataskyddsfrågor via kontaktuppgifterna ovan. (Om byrån senare utser ett dataskyddsombud ska detta avsnitt uppdateras med ombudets kontaktuppgifter.)

2. Vilka registrerade och vilka personuppgifter omfattas?

Denna policy omfattar behandling av personuppgifter om följande kategorier av registrerade:

Klienter och klienters företrädare, verkliga huvudmän och kontaktpersoner

Motparter och motparters ombud

Vittnen, sakkunniga och andra personer som förekommer i ärenden

Anställda och uppdragstagare (kompletteras av en separat intern personalinformation)

Arbetssökande

Webbplatsbesökare och personer som kontaktar byrån utan att ett uppdrag ingås

Leverantörer och samarbetspartners kontaktpersoner

De personuppgifter vi behandlar omfattar bland annat:

Identifierings- och kontaktuppgifter: namn, personnummer eller samordningsnummer, adress, e-postadress, telefonnummer, medborgarskap, ID-handlingar

Ärenderelaterade uppgifter: all information som förekommer i handlingar, korrespondens, inlagor, bevisning och anteckningar i ett ärende

Ekonomiska uppgifter: faktureringsuppgifter, betalningsinformation, uppgifter för klientmedelshantering

Känsliga personuppgifter (artikel 9 GDPR): uppgifter om hälsa, sjukdomstillstånd, facklig tillhörighet, religiös eller filosofisk övertygelse, etniskt ursprung och sexuell läggning, i den utsträckning sådana uppgifter är nödvändiga för handläggningen av ett ärende (förekommer särskilt inom migrationsrätt, asylrätt och familjerätt)

Uppgifter om lagöverträdelser (artikel 10 GDPR): uppgifter om fällande domar i brottmål, misstankar om brott, tvångsmedel och relaterade uppgifter, i den utsträckning de är nödvändiga i ett ärende

Uppgifterna samlas in dels direkt från dig (artikel 13 GDPR), dels från andra källor (artikel 14 GDPR), såsom klienter, motparter, domstolar, Migrationsverket och andra myndigheter, offentliga register (t.ex. folkbokföringen, Bolagsverket), ombud och vittnen. För motparter, vittnen och andra tredje personer sker insamlingen typiskt sett inte direkt från den registrerade utan inom ramen för vårt uppdrag för klient.

3. Ändamål och rättslig grund för behandlingen

3.1 Klienter och klienters företrädare

Känsliga personuppgifter om klienter (t.ex. hälsouppgifter i ett migrations- eller familjerättsärende, facklig tillhörighet i ett arbetsrättsärende) behandlas med stöd av artikel 9.2 f GDPR - behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk. I förekommande fall kan behandlingen även stödjas på artikel 9.2 a (uttryckligt samtycke), exempelvis när klienten själv lämnar hälsouppgifter till stöd för sin sak utanför ett pågående anspråksförfarande.

3.2 Motparter, motparters ombud, vittnen och andra tredje personer

Vid intresseavvägningen enligt artikel 6.1 f har byrån beaktat att behandlingen är en nödvändig och förutsebar del av rättslig ärendehantering, att uppgifterna omfattas av byråns sekretessåtaganden och behörighetsbegränsningar, samt att den registrerades intressen skyddas genom de tekniska och organisatoriska säkerhetsåtgärder som beskrivs i avsnitt 8.

Känsliga personuppgifter om motparter och vittnen behandlas med stöd av artikel 9.2 f GDPR (rättsliga anspråk).

3.3 Uppgifter om lagöverträdelser

Uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden omfattas av artikel 10 GDPR. Sådana uppgifter får som huvudregel endast behandlas under kontroll av myndighet - eller när behandlingen är tillåten enligt unionsrätt eller nationell rätt.

Bridge Legal behandlar sådana uppgifter med stöd av 3 kap. 8 § dataskyddslagen samt de föreskrifter och beslut som Integritetsskyddsmyndigheten (IMY) meddelat med stöd av 3 kap. 9 § dataskyddslagen och 5 § förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning, enligt vilka behandling av uppgifter om lagöverträdelser bland annat är tillåten om den är nödvändig för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras, eller för att fullgöra en rättslig förpliktelse. Behandlingen förekommer typiskt sett i asyl- och migrationsärenden, brottmålsanknutna tvister, arbetsrättsliga ärenden och skadeståndsärenden.

3.4 Personer som kontaktar byrån utan att uppdrag ingås

När du kontaktar byrån med en förfrågan behandlar vi dina kontaktuppgifter och uppgifterna i din förfrågan för att kunna genomföra jävskontroll, bedöma förfrågan och besvara dig. Rättslig grund är åtgärder på begäran av den registrerade innan avtal ingås (art. 6.1 b) samt berättigat intresse (art. 6.1 f). Leder förfrågan inte till uppdrag gallras uppgifterna enligt avsnitt 7, med undantag för de minimiuppgifter som behövs för framtida jävskontroll.

3.5 Arbetssökande

Vid rekrytering behandlar vi ansökningshandlingar, CV, betyg, intyg och anteckningar från intervjuer och referenstagning. Rättslig grund är åtgärder innan avtal ingås (art. 6.1 b) och berättigat intresse (art. 6.1 f). Uppgifter som inte leder till anställning sparas enligt avsnitt 7 för att byrån ska kunna försvara sig mot eventuella anspråk enligt diskrimineringslagen (2008:567). Spontanansökningar sparas endast med den sökandes samtycke.

3.6 Marknadsföring och kommunikation

Byrån kan komma att skicka nyhetsbrev, juridisk information och inbjudningar till befintliga och tidigare klienter med stöd av berättigat intresse (art. 6.1 f). Du kan när som helst invända mot direktmarknadsföring, varvid behandlingen för det ändamålet upphör (art. 21.2–3 GDPR).

4. Mottagare av personuppgifter

Bridge Legal lämnar ut personuppgifter till följande kategorier av mottagare, i den utsträckning det är nödvändigt för respektive ändamål:

Självständigt personuppgiftsansvariga mottagare:

Domstolar (t.ex. tingsrätter, förvaltningsrätter, Migrationsöverdomstolen) och myndigheter (t.ex. Migrationsverket, Skatteverket, Polismyndigheten, Kronofogdemyndigheten) - inom ramen för ärendehandläggning eller till följd av lagstadgad skyldighet

Motparter och motparters ombud - inom ramen för skriftväxling, förhandling och process

Försäkringsbolag - vid skadereglering eller anmälan under byråns ansvarsförsäkring

Banker - vid betalningar och klientmedelshantering

Revisorer och redovisningskonsulter - inom ramen för byråns redovisning och revision

Rättshjälpsmyndigheten och domstolar - vid ansökan om rättshjälp eller ersättning till offentligt biträde

Personuppgiftsbiträden (behandlar uppgifter för byråns räkning enligt skriftliga personuppgiftsbiträdesavtal enligt art. 28 GDPR):

Leverantörer av ärendehanteringssystem och dokumenthantering

Leverantörer av IT-drift, molnlagring, e-post och säkerhetskopiering

Leverantörer av telefoni-, videomötes- och kommunikationstjänster

I förekommande fall leverantörer av transkriberings- och översättningstjänster samt auktoriserade tolkar och translatorer (tolkar och translatorer kan beroende på omständigheterna vara biträden eller självständigt ansvariga)

Bridge Legal säljer aldrig personuppgifter.

5. Överföringar till tredjeland

Bridge Legal strävar efter att personuppgifter ska behandlas inom EU/EES. Vissa av byråns IT-leverantörer (t.ex. leverantörer av molntjänster, e-post och ärendehanteringssystem) kan dock, direkt eller via underbiträden, komma att behandla eller ha åtkomst till personuppgifter från länder utanför EU/EES, främst USA.

När personuppgifter överförs till tredjeland säkerställer byrån att överföringen sker i enlighet med kapitel V GDPR genom någon av följande garantier:

Beslut om adekvat skyddsnivå enligt artikel 45 GDPR - för överföringar till USA tillämpas kommissionens beslut om EU-U.S. Data Privacy Framework (DPF) när mottagaren är certifierad under ramverket;

Standardavtalsklausuler (SCC) antagna av EU-kommissionen enligt artikel 46.2 c GDPR, i förekommande fall kompletterade med ytterligare tekniska och organisatoriska skyddsåtgärder (t.ex. kryptering och pseudonymisering) efter en dokumenterad konsekvensbedömning av överföringen (Transfer Impact Assessment); eller

I undantagsfall något av undantagen i artikel 49 GDPR, t.ex. när överföringen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk (art. 49.1 e).

Du kan få information om vilka tredjelandsöverföringar som är aktuella och kopia av tillämpliga skyddsåtgärder genom att kontakta byrån via uppgifterna i avsnitt 1.

6. Sekretess och tystnadsplikt

All personal vid Bridge Legal omfattas av tystnadsplikt avseende klientuppgifter och ärendeinformation. Tystnadsplikten följer av byråns uppdragsvillkor, anställningsavtal och god yrkessed för jurister, samt - för uppdrag som rättegångsombud eller offentligt biträde - av de begränsningar i vittnesplikten som följer av 36 kap. 5 § rättegångsbalken och tillämplig sekretesslagstiftning. Sekretessen består även efter det att ett ärende avslutats och gäller utan begränsning i tiden.

7. Lagring och gallring

Bridge Legal sparar personuppgifter endast så länge det är nödvändigt för de ändamål som anges i denna policy eller så länge det krävs enligt lag. Därefter gallras eller anonymiseras uppgifterna i enlighet med byråns interna gallringsinstruktioner.

7.1 Klientakter - 10 år efter ärendets avslutande

Klientakter, inklusive handlingar, korrespondens och arbetsmaterial, bevaras som huvudregel i tio (10) år från den dag ärendet slutligt avslutades. Bevarandetiden är motiverad av följande:

Preskriptionstiden för skadeståndskrav. Den allmänna preskriptionstiden för fordringar - inklusive skadeståndsanspråk mot byrån på grund av påstådd vårdslös rådgivning - är tio år enligt 2 § preskriptionslagen (1981:130). Byrån måste under hela denna tid kunna rekonstruera handläggningen för att kunna försvara sig mot anspråk (art. 17.3 e GDPR).

Ansvarsförsäkringens villkor. Byråns ansvarsförsäkring förutsätter att akter bevaras så att en skadeanmälan kan utredas och regleras.

God yrkessed och klientens intresse. Klienten kan under lång tid efter ärendets avslutande ha ett legitimt behov av handlingar ur akten, t.ex. domar, avtal, beslut från Migrationsverket eller bouppteckningar, för nya förfaranden (förlängningsansökningar, medborgarskapsärenden, verkställighet m.m.). En bevarandetid som motsvarar preskriptionstiden är etablerad branschpraxis och följer av god yrkessed.

Vissa handlingar kan bevaras längre än tio år när det finns särskilda skäl, t.ex. originalhandlingar som tillhör klienten, testamenten, avtal med längre löptid eller ärenden med minderåriga parter där preskriptionsfrister börjar löpa senare.

7.2 Övriga lagringstider (huvudregler)

8. Säkerhet

Bridge Legal vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR för att skydda personuppgifter mot obehörig åtkomst, förlust, förstöring och ändring. Åtgärderna omfattar bland annat behörighetsstyrning och åtkomstbegränsning i ärendehanteringssystemet, kryptering av lagring och kommunikation, flerfaktorsautentisering, säkerhetskopiering, sekretessavtal med personal och biträden samt rutiner för hantering av personuppgiftsincidenter. Incidenter som medför risk för registrerades rättigheter anmäls till IMY inom 72 timmar i enlighet med artikel 33 GDPR.

9. Dina rättigheter - och hur de begränsas av byråns sekretess- och arkiveringsskyldigheter

Som registrerad har du enligt GDPR följande rättigheter. Begäran framställs via kontaktuppgifterna i avsnitt 1. Vi besvarar din begäran utan onödigt dröjsmål och senast inom en månad. För att skydda ärendesekretessen kommer vi att säkerställa din identitet innan uppgifter lämnas ut.

9.1 Rätt till tillgång (registerutdrag) - artikel 15

Du har rätt att få besked om huruvida vi behandlar personuppgifter om dig och i så fall få tillgång till uppgifterna samt information om behandlingen.

Begränsning: Rätten till tillgång får enligt artikel 15.4 GDPR och 5 kap. 1 § dataskyddslagen inte inverka menligt på andras rättigheter och friheter, och gäller inte uppgifter som den personuppgiftsansvarige enligt lag eller annan författning eller enligt beslut med stöd av författning inte får lämna ut till den registrerade. Detta innebär i praktiken att en motpart, ett vittne eller annan tredje person inte genom ett registerutdrag kan få tillgång till innehållet i en klientakt. Byråns tystnadsplikt och skyldigheten att tillvarata klientens intressen medför att registerutdrag till andra än klienten typiskt sett begränsas till en bekräftelse av att uppgifter förekommer i ett ärende och information om behandlingen på den nivå som denna policy anger - inte till utlämnande av ärendeinnehåll. Även gentemot klienten kan visst arbetsmaterial och uppgifter som röjer tredje persons skyddade uppgifter undantas.

9.2 Rätt till rättelse - artikel 16

Du har rätt att få felaktiga personuppgifter rättade och ofullständiga uppgifter kompletterade. I en akt som dokumenterar ett ärendes faktiska handläggning kan rättelse i vissa fall ske genom att en notering om invändningen tillförs akten, snarare än genom ändring av historiska handlingar, eftersom akten ska återge vad som faktiskt förekommit.

9.3 Rätt till radering ("rätten att bli bortglömd") - artikel 17

Du har under vissa förutsättningar rätt att få dina personuppgifter raderade.

Begränsning - detta är en central inskränkning i vår verksamhet: Rätten till radering är inte absolut. Enligt artikel 17.3 GDPR gäller den inte i den utsträckning behandlingen är nödvändig för att

uppfylla en rättslig förpliktelse (art. 17.3 b), t.ex. bevarande av bokföringsmaterial enligt bokföringslagen eller uppgifter enligt penningtvättslagstiftningen, eller för att

fastställa, göra gällande eller försvara rättsliga anspråk (art. 17.3 e).

Detta innebär att varken en klient, en motpart eller ett vittne kan kräva radering av uppgifter som ingår i en pågående eller arkiverad klientakt så länge akten bevaras enligt avsnitt 7. Aktens integritet är nödvändig för klientens rättsliga anspråk, för byråns möjlighet att försvara sig mot ansvarskrav under hela preskriptionstiden och för byråns lagstadgade och yrkesetiska skyldigheter. En begäran om radering som avslås på denna grund besvaras alltid med en motivering och med information om rätten att klaga till IMY.

När bevarandetiden löpt ut gallras uppgifterna i enlighet med byråns gallringsinstruktioner utan att någon begäran behöver framställas.

9.4 Rätt till begränsning av behandling - artikel 18

Du har rätt att begära att behandlingen begränsas, bland annat under den tid vi kontrollerar en invändning eller ett påstående om felaktiga uppgifter. Begränsning innebär att uppgifterna markeras och därefter endast får behandlas för vissa ändamål - bland annat, enligt artikel 18.2 GDPR, för att fastställa, göra gällande eller försvara rättsliga anspråk. En begäran om begränsning hindrar därför inte att uppgifter i en akt fortsatt används inom ramen för det rättsliga förfarande de ingår i.

9.5 Rätt att invända - artikel 21

När behandlingen grundas på berättigat intresse (art. 6.1 f) har du rätt att invända av skäl som hänför sig till din specifika situation. Vi upphör då med behandlingen om vi inte kan visa tvingande berättigade skäl som väger tyngre än dina intressen, eller om behandlingen sker för att fastställa, göra gällande eller försvara rättsliga anspråk (art. 21.1). I ärendehanteringen föreligger regelmässigt sådana skäl. Invändning mot direktmarknadsföring bifalls däremot alltid (art. 21.2–3).

9.6 Rätt till dataportabilitet - artikel 20

Rätten till dataportabilitet gäller uppgifter som du själv tillhandahållit, som behandlas automatiserat och där behandlingen grundas på avtal eller samtycke. Den omfattar inte uppgifter som behandlas med stöd av berättigat intresse eller rättslig förpliktelse och har därför begränsad tillämpning i byråns ärendehantering.

9.7 Rätt att återkalla samtycke

I de fall behandling grundas på samtycke har du rätt att när som helst återkalla det. Återkallelsen påverkar inte lagligheten av behandling som skett dessförinnan.

9.8 Rätt att klaga till tillsynsmyndigheten

Om du anser att vår behandling strider mot GDPR har du rätt att lämna in klagomål till Integritetsskyddsmyndigheten (IMY), Box 8114, 104 20 Stockholm, www.imy.se. Du har även rätt att väcka talan om skadestånd vid allmän domstol.

10. Automatiserat beslutsfattande

Bridge Legal fattar inga beslut som grundas enbart på automatiserad behandling och som har rättsliga följder för dig (art. 22 GDPR).

11. Ändringar av denna policy

Denna policy kan komma att uppdateras, exempelvis vid ändrad lagstiftning, ny praxis eller förändringar i byråns verksamhet. Den senaste versionen finns alltid tillgänglig på bridgelegal.se/integritetspolicy. Vid väsentliga ändringar som rör pågående klientrelationer informeras berörda klienter särskilt.