Samymi uprawnieniami można zablokować edycję pola dostępu. Dodatkowo trzeba by stworzyć processing callback w którym ustawialibyśmy domyślną wartość na prywatną, jeżeli użytkownik jest z danej grupy.
Hint:
Utils_RecordBrowserCommon::register_processing_callback('utils_attachment', array('<jakis modul customowy>Common', 'submit_attachment'));
public static function submit_attachment($values, $mode) {
if($mode=='adding' && .......) $values['permission']=2;
return $values;
}