PDF's voor advocaten: dossiers ordenen zonder iets te uploaden

Een nieuwe zaak belandt op je bureau en binnen een week zijn het veertig PDF’s. De getekende opdrachtbevestiging, een gescand identiteitsbewijs, een contract dat iemand schuin heeft gefotografeerd, drie rondes correspondentie, een deskundigenrapport, bewijsstukken die de cliënt in de verkeerde volgorde mailde. Voordat iets ervan bruikbaar is, moet je het tot één opgeruimd bundel kneden: de stukken samenvoegen, de pagina’s in de juiste volgorde zetten, tekenen waar getekend moet worden.

Het werk zelf is saai. Wat eronder ligt niet. Elk van die bestanden hoort bij een cliënt die je dingen heeft verteld die hij aan niemand anders zou vertellen, en je plicht om dat vertrouwelijk te houden pauzeert niet omdat je haast hebt om een dossier samen te stellen.

Vertrouwelijkheid is geen instelling, het is het werk

Het verschoningsrecht en de geheimhoudingsplicht zijn ouder dan het internet en kennen geen uitzondering voor “ik combineerde gewoon even wat PDF’s.” De gedragsregels van de balie in de EU, het VK en de VS zeggen allemaal grofweg hetzelfde: informatie die een cliënt met je deelt blijft tussen jullie, en je neemt redelijke maatregelen om die te beschermen. Dat laatste deel is waar gratis online tools stilletjes een probleem worden.

De meeste PDF-sites werken door je bestand naar een server te uploaden, de bewerking daar uit te voeren en het resultaat terug te sturen. Voor een vakantiefoto maakt het niet uit. Voor de scheidingspapieren van een cliënt, een conceptschikking of een getuigenverklaring heb je zojuist een derde partij een kopie van geprivilegieerd materiaal gegeven. Je wilde het niet delen. Je wilde het samenvoegen. Maar het bestand heeft het pand verlaten, en nu hangt de veiligheid ervan af van een bedrijf waar je nooit mee hebt gesproken en een privacybeleid dat je niet hebt gelezen.

De geruststellende zin op die sites, “bestanden na een uur verwijderd”, klinkt prima totdat je erop probeert te vertrouwen. Je kunt het niet verifiëren. Logs en back-ups kunnen kopieën langer bewaren dan de deadline. De server kan gehackt worden. En als dat gebeurt, is de persoon van wie het dossier lekte jouw cliënt, wat het jouw probleem maakt onder elke gedragscode die op je van toepassing is.

Hoe “redelijke maatregelen” er echt uitzien

Toezichthouders zijn hier specifiek over geworden. De AVG verwacht passende technische maatregelen voor persoonsgegevens, en een dossier staat van rand tot rand vol persoonsgegevens: namen, adressen, gezondheidsdetails, financiële gegevens, soms strafrechtelijke beschuldigingen. Als je dat door een willekeurige webtool duwt, heb je een verwerker aan je keten toegevoegd die je nooit hebt getoetst en waarmee je geen contract hebt. (Ik schreef meer over die blootstelling in de AVG-risico’s van het uploaden van PDF’s als je de details wilt.)

De schoonste manier om redelijke maatregelen te nemen, is ervoor zorgen dat er om te beginnen niets te lekken valt. Een bestand dat je laptop nooit verlaat, kan niet ergens anders bij een datalek worden blootgesteld. Dat is het hele idee achter tools die in de browser draaien in plaats van op een server.

Een dossier bouwen zonder te uploaden

Zo verloopt het saaie deel wanneer het bestand op je machine blijft. Alles hieronder draait lokaal in je browser. De PDF wordt in het geheugen van je computer ingelezen, de bewerking gebeurt daar, en het afgewerkte bestand wordt rechtstreeks terug naar jou opgeslagen. Er wordt niets ergens naartoe gestuurd.

De stukken samenvoegen. Je hebt de opdrachtbevestiging, het contract, de correspondentie en de bewijsstukken als losse bestanden. Sleep ze in de gewenste volgorde naar de tool PDF’s samenvoegen en je krijgt één bundel. De rechtbank wil één geïndexeerd document, geen elf bijlagen, en zo kom je daar zonder iets naar een conversiesite te mailen.

Zet de volgorde goed. Scans komen nooit netjes binnen. Pagina 7 staat ondersteboven, de bewijsstukken zijn omgekeerd, de handtekeningpagina is naar voren gedreven. Open de bundel in de tool PDF herordenen, sleep pagina’s in de volgorde die je nodig hebt, laat de lege scan-artefactpagina vallen, en exporteer. Hetzelfde idee als papier op een bureau verschuiven, behalve dat het papier het vertrouwelijke dossier van de cliënt is en het niet via de server van een vreemde gaat om gesorteerd te worden.

Teken wat getekend moet worden. Opdrachtbevestigingen, machtigingsformulieren, begeleidende brieven, routinegoedkeuringen. Open de tool PDF ondertekenen, teken je handtekening met een trackpad of je vinger, plaats hem op de lijn, download. Voor alledaagse documenten houdt dit soort handtekening juridisch stand in de EU en het grootste deel van de wereld. Wanneer een document specifiek om een gekwalificeerde elektronische handtekening vraagt, een notariële akte of bepaalde indieningen, gebruik dan een op certificaten gebaseerde dienst die daarvoor is gebouwd, want een getekende handtekening voldoet dan niet aan die eis. Voor de dagelijkse stapel is het precies genoeg.

Drie stappen, één opgeruimd bundel, en het bestand stond de hele tijd op je apparaat.

Controleer het zelf in een minuut

Je hoeft me niet op mijn woord te geloven dat er niets wordt geüpload. Open de samenvoegtool, druk op F12 om DevTools te openen, schakel naar het tabblad Network, vink “Preserve log” aan, en bouw een bundel van begin tot eind. Kijk wat er gebeurt: de pagina laadt vooraf, en daarna beweegt er niets terwijl je samenvoegt en downloadt. Als je bestand nooit opduikt in de body van een verzoek, is het nooit verzonden.

Wil je een zwaardere test? Laad de tool, zet je laptop in vliegtuigmodus, en stel de bundel samen met het netwerk volledig uit. Het werkt nog steeds, omdat er om te beginnen nooit een serverstap was. Probeer dat op een tool die uploadt en je krijgt een foutmelding op het moment dat je op start drukt. Dat verschil is waar je geheimhoudingsplicht om geeft.

Een gewoonte die het bewaren waard is

Je gaat geen privacybeleid lezen elke keer dat je om 18.00 uur twee PDF’s combineert vlak voor een indieningsdeadline. Niemand doet dat. Maak de veilige optie dus de standaard. Kies een tool die in de browser verwerkt, sla hem op als bladwijzer, en stop met het sturen van cliëntbestanden naar servers die je niet kunt zien. Het is sowieso sneller, want er is geen heen-en-weer van upload en download, en het blijft werken wanneer de wifi van het kantoor uitvalt, wat altijd gebeurt op de dag dat er iets af moet.

Het samenstellen en ondertekenen van een dossier is het minst interessante wat je de hele week doet. De enige echte vraag is of de documenten van de cliënt op kantoor blijven terwijl je het doet, en voor geprivilegieerd materiaal heeft die vraag één juist antwoord.