Szyfrowanie chroni treść dokumentu, ale o możliwości jego odczytania decyduje dostęp do klucza.
W Bezpiecznej Kancelarii ochrona przechowywanych oryginałów dokumentów nie kończy się na haśle do konta.
Adwokaci i radcowie prawni mają obowiązek zabezpieczać informacje objęte tajemnicą zawodową.
Naczelna Rada Adwokacka zaleca dodatkowe szyfrowanie danych w chmurze, aby dostawca nie mógł poznać ich treści.
Klient przekazuje prawnikowi dokumenty, których często nie pokazałby nawet najbliższym. Historię leczenia, prywatne wiadomości, informacje o majątku, dowody w sprawie karnej. Oczekuje, że kancelaria ochroni ich poufność również wtedy, gdy zamiast papierowej teczki wybierze elektroniczne akta sprawy.
Przy wyborze programu dla kancelarii warto więc zadać pytanie: kto poza uprawnionymi osobami w kancelarii może odczytać przechowywane dokumenty?
W Bezpiecznej Kancelarii komunikujemy zero knowledge w odniesieniu do ochrony przechowywanych oryginałów dokumentów. Co konkretnie chroni zapisane akta? Pliki są zaszyfrowane, a operator platformy, czyli jej administrator techniczny, nie przechowuje własnego, stałego klucza do ich odczytania. Sam dostęp do bazy danych lub magazynu zaszyfrowanych plików nie wystarcza, aby otworzyć dokumenty.
Co oznacza zero knowledge?
W usługach przechowywania plików zero knowledge oznacza model, w którym dostawca nie ma technicznej możliwości odszyfrowania danych użytkownika. Klucze do odczytu pozostają pod kontrolą użytkownika, a dostawca przechowuje zaszyfrowane pliki. Taką zasadę ochrony opisuje między innymi Proton.
To szersza deklaracja niż odporność na kradzież kopii bazy danych. Jej potwierdzenie wymaga sprawdzenia całego sposobu przetwarzania dokumentów i zarządzania kluczami, również poza samym przechowywaniem plików.
Najłatwiej wyobrazić to sobie jako zewnętrzne archiwum. Powierzasz mu szafę z aktami. Firma chroni budynek, pilnuje porządku i dba, żeby szafa nie zaginęła. Osobną sprawą jest jednak to, czy ma także klucz do jej drzwi.
Jeżeli posiada zapasowy klucz, może otworzyć szafę. Zasady, umowy i procedury określają, kiedy wolno jej to zrobić. Jeżeli nie ma klucza, samo wejście do archiwum nie wystarczy do przeczytania dokumentów.
W przypadku cyfrowych akt rolę zamka i klucza pełni szyfrowanie. To ono sprawia, że skopiowany plik pozostaje nieczytelny dla osoby, która nie posiada odpowiedniego klucza.
Dlaczego hasło do programu nie wystarcza?
Hasło służy do zalogowania się na konto. Program sprawdza je i decyduje, czy pokazać użytkownikowi dokumenty. Nie wynika z tego jeszcze, że same pliki są zaszyfrowane ani że osoba administrująca serwerem nie może odczytać ich inną drogą.
Podobnie działa ochrona połączenia internetowego. Szyfrowanie transmisji zabezpiecza drogę między komputerem a serwerem. Nie odpowiada jednak na pytanie, kto może przeczytać dokument po jego zapisaniu.
Nawet informacja „dane są szyfrowane” wymaga doprecyzowania. Jeżeli dostawca przechowuje również klucz pozwalający je odszyfrować, nadal ma techniczną drogę do ich treści. Dlatego przy ochronie akt trzeba sprawdzić zarówno sposób szyfrowania, jak i to, kto kontroluje klucze.
Co zmienia brak takiej ochrony?
Wyobraźmy sobie, że ktoś zdobywa kopię magazynu dokumentów kancelarii. Jeżeli zapisano w nim zwykłe, czytelne pliki, może otworzyć umowy, opinie i skany korespondencji. Hasło do panelu kancelarii nie pomoże, bo napastnik korzysta z kopii, a nie z panelu.
Jeżeli pliki są zaszyfrowane, znaczenie ma kolejny szczegół: czy razem z nimi można zdobyć klucze do ich odczytania? Oddzielenie kluczy od przechowywanych danych ogranicza skutki takiej kradzieży. Sama kopia archiwum nie wystarcza wówczas do poznania treści akt.
To samo pytanie dotyczy dostawcy. Jeżeli ma własny klucz do dokumentów, ochrona przed jego nieuprawnionym użyciem zależy także od zabezpieczeń kont administracyjnych, uprawnień personelu i przestrzegania procedur. Nie oznacza to, że ktoś czyta dokumenty. Oznacza, że taka możliwość wymaga kontroli.
Dla kancelarii stawką jest poufność konkretnych informacji: stanowiska negocjacyjnego klienta, dowodów, prywatnej korespondencji czy przygotowanej linii obrony.
Jak Bezpieczna Kancelaria chroni przechowywane akta?
W Bezpiecznej Kancelarii każda wersja dokumentu jest szyfrowana odrębnym kluczem. Poszczególne kancelarie mają własne zestawy kluczy, dzięki czemu klucz jednej organizacji nie otwiera dokumentów innej.
Klucze potrzebne do odczytu oryginalnych plików nie są przechowywane obok nich w postaci, którą operator mógłby po prostu pobrać i wykorzystać. Ich trwałe kopie również podlegają szyfrowaniu. Operator nie posiada własnego, stałego klucza do archiwum kancelarii.
Dla zapisanych oryginałów dokumentów daje to konkretną ochronę: odczyt bazy danych albo skopiowanie magazynu zaszyfrowanych plików nie otwiera akt.
Rozdzielamy również odzyskanie konta i odzyskanie zaszyfrowanych dokumentów. Sam reset dostępu do konta nie zastępuje kluczy. Mechanizm odzyskiwania dokumentów wykorzystuje frazę odzyskiwania, którą przechowuje kancelaria. To zestaw słów generowany przy rejestracji. System prosi wtedy o jego zapisanie.
Chroni to przed sytuacją, w której pomoc techniczna mogłaby otworzyć całe archiwum wyłącznie przez zmianę hasła.
Ochrona akt jest obowiązkiem prawnika
Tajemnica zawodowa obejmuje także dokumenty zapisane na komputerze i w systemie kancelarii. Przeniesienie akt do chmury nie zwalnia adwokata ani radcy prawnego z obowiązku ich zabezpieczenia. Wynika to z przepisów ustawowych oraz zasad wykonywania zawodu.
Podstawa - Obowiązek w praktyce
- Art. 6 ust. 1 Prawa o adwokaturze i art. 3 ust. 3 ustawy o radcach prawnych: Zachować w tajemnicy informacje uzyskane w związku z udzielaniem pomocy prawnej. Prawo o adwokaturze, ustawa o radcach prawnych.
- § 19 ust. 1-6 Kodeksu Etyki Adwokackiej: Zabezpieczać informacje przed ujawnieniem, chronić dane elektroniczne, zobowiązać personel do poufności i ostrożnie przesyłać informacje. Kodeks Etyki Adwokackiej.
- Art. 23 Kodeksu Etyki Radcy Prawnego oraz §§ 3-5 Regulaminu wykonywania zawodu: Dobrać zabezpieczenia do ryzyka, chronić dokumenty przed utratą i zmianą oraz kontrolować dostęp do nich. Kodeks i regulamin.
- Art. 25 i 32 RODO: Uwzględnić ochronę danych przy organizowaniu przetwarzania, dobrać zabezpieczenia do ryzyka i sprawdzać ich skuteczność. Szyfrowanie jest jednym ze wskazanych środków. RODO.
- Art. 28 RODO: Powierzać przetwarzanie dostawcy zapewniającemu odpowiednie gwarancje i uregulować je umową. RODO.
Właściciel kancelarii powinien zatem ustalić, jak wybrana usługa chroni dokumenty i kto ma do nich dostęp. Sama ogólna deklaracja bezpieczeństwa nie zastępuje oceny dostawcy. UODO wskazywał już na odpowiedzialność zarówno administratora danych, jak i jego usługodawcy, gdy zabrakło odpowiednich zabezpieczeń oraz weryfikacji podmiotu przetwarzającego. Stanowisko UODO z 27 lipca 2026 r.
NRA zaleca szyfrowanie chroniące także przed dostępem dostawcy
Naczelna Rada Adwokacka w drugim wydaniu „Dobrych praktyk dotyczących cyberbezpieczeństwa w działalności kancelarii adwokackich i pracy adwokata” zaleca dodatkowe, własne szyfrowanie danych przekazywanych i przechowywanych w chmurze. Wskazuje przy tym jego cel:
„w celu uniemożliwienia dostawcy zapoznania się z treścią danych”
Zalecenie znajduje się na stronie 36 publikacji, czyli stronie 42 pliku PDF. Na stronie 45 publikacji NRA odradza ponadto przetwarzanie w usługach online danych objętych tajemnicą obrończą bez dodatkowego szyfrowania, które wyklucza ich odczyt przez dostawcę. Dobre praktyki NRA, wydanie II, s. 36 i 45
To zalecenia samorządu zawodowego, a nie ustawowy nakaz kupowania systemu z określoną nazwą technologii. Pokazują jednak, dlaczego pytanie o możliwość odczytu danych przez dostawcę jest zasadne przy ochronie tajemnicy adwokackiej.
Dlaczego komunikujemy zero knowledge wprost?
Porównaliśmy wybrane publiczne opisy bezpieczeństwa konkurencyjnych systemów dla kancelarii. W materiałach sprawdzonych 13 września 2026 r. nie znaleźliśmy określenia „zero knowledge”.
Wśród porównanych systemów jako jedyni komunikujemy wprost zero knowledge dla przechowywanych oryginałów dokumentów. Wniosek dotyczy sposobu opisywania ochrony w sprawdzonych materiałach.
Jeden z konkurentów deklaruje szyfrowanie danych podczas przesyłania i przechowywania. Osobno opisuje szyfrowanie end-to-end danych określonych jako najbardziej wrażliwe oraz ich niedostępność dla personelu. Jako przykład danych chronionych end-to-end wskazuje hasła użytkowników. Nie określa jednak pełnego zakresu tej kategorii ani nie wskazuje jednoznacznie, że obejmuje ona treść dokumentów i załączników kancelarii. Ten opis nie potwierdza więc, że dostawca nie może odczytać akt.
Informacja o korzystaniu z AWS czy szyfrowaniu połączenia również nie rozstrzyga, kto kontroluje klucze do dokumentów. Do oceny ochrony akt potrzebna jest konkretna odpowiedź: które pliki są objęte ochroną i kto może je odszyfrować.
W Bezpiecznej Kancelarii opisujemy konkretny mechanizm ochrony zapisanych akt. Prawnik może dzięki temu zapytać o sposób szyfrowania dokumentów i zarządzania kluczami, zamiast poprzestawać na ogólnym zapewnieniu o bezpieczeństwie.
O co zapytać przed powierzeniem systemowi akt?
Rozmowę z dostawcą warto zacząć od kilku pytań:
- Czy szyfrowane są wszystkie dokumenty i ich kopie zapasowe, czy jedynie połączenie z programem?
- Kto posiada klucze do odczytania przechowywanych plików?
- Czy dostęp administratora do bazy danych wystarcza do poznania treści akt?
- Jakie materiały obejmuje deklarowana ochrona: całe dokumenty, wybrane dane czy tylko hasła?
- Czy odzyskanie konta przez pomoc techniczną daje jej również możliwość otwarcia dokumentów?
Odpowiedzi pozwalają ocenić, co faktycznie chroni poufność akt. Wybierając program do zarządzania kancelarią, prawnik wybiera również sposób przechowywania informacji powierzonych mu przez klientów.
Źródła do odpowiedzi „Czy polskie prawo wymaga stosowania zero knowledge?”: RODO, art. 32, zalecenia NRA.