Antedaterede dokumenter: blev det skrevet senere end påstået?

En tillægsaftale dukker op, da tvisten er opstået. Et referat fra et bestyrelsesmøde fremlægges med en dato, som ingen kan huske. En opsigelse eller et samtykke påstås at være givet før en bestemt frist. Mistanken er den samme: Dokumentet er skrevet senere, end datoen i teksten siger. Datoen i selve dokumentet er blot tekst, som enhver kan skrive. Spørgsmålet er, om der findes digitale spor uden for teksten, der kan vise, hvornår dokumentet faktisk blev til.

Tre forskellige tidspunkter

Det hjælper at skille spørgsmålet ad:

1. Datoen i teksten, som forfatteren har skrevet.
2. Tidspunktet, hvor filen blev oprettet og ændret, som systemer registrerer.
3. Tidspunktet, hvor dokumentet kom til andre, fx ved afsendelse, underskrift eller upload.

Det tredje tidspunkt er ofte det stærkeste, fordi det er registreret hos andre end den, der har interesse i datoen. Det første er det svageste.

Spor i selve filen

En Word-fil eller PDF indeholder typisk metadata om oprettelse, seneste ændring, forfatter og det program, der har lavet filen. Hvad de enkelte felter betyder, er beskrevet i metadata i advokatens egne dokumenter.

I en sag om antedatering kan metadata give et første indtryk. Men felterne kan ændres med almindelige værktøjer, og de nulstilles eller bevares på uforudsigelige måder, når filer kopieres, gemmes som ny fil eller konverteres. En oprettelsesdato, der passer med teksten, beviser derfor ikke meget. En oprettelsesdato, der ligger senere, er et signal, men kræver forklaring.

Mere robuste spor i selve filen kan være:

• Programversionen, der har lavet filen. Er den udgivet efter dokumentets dato, er det et stærkt signal.
• Skabeloner, skrifttyper og logoer, der først blev taget i brug senere.
• Indhold, der henviser til senere forhold, fx en adresse, et CVR-nummer eller en medarbejder, der ikke fandtes på datoen.
• Interne revisionsoplysninger i filformatet, der kan vise, at filen er bygget videre på et senere dokument.

Spor uden for filen

De stærkeste spor ligger ofte uden for dokumentet:

• Mailservere registrerer, hvornår en mail med dokumentet blev sendt og modtaget. Hos modtageren og i mailsystemets logs er det svært for afsenderen at ændre. → Hvornår er en mail kommet frem?
• Cloudtjenester og dokumentsystemer som SharePoint, OneDrive og Google Drive gemmer ofte versionshistorik med tidspunkter og brugere.
• Elektroniske signaturer har tidsstempler fra signaturtjenesten. → Digitale signaturer og elektroniske aftaler
• Sikkerhedskopier kan vise, om dokumentet fandtes på et bestemt tidspunkt.
• Printerlogs og scanninger kan vise, hvornår et dokument blev udskrevet eller scannet ind.

Spor hos tredjemand og i systemer, som den interesserede part ikke kontrollerer, vejer typisk tungere end spor på partens egen computer.

Papirdokumenter med en digital forhistorie

Også et underskrevet papirdokument har ofte en digital forhistorie. Teksten er skrevet på en computer, printet og måske scannet ind igen. Printeren eller kopimaskinen kan have en log over udskrifter og scanninger med tidspunkter. Den scannede fil har sine egne metadata fra scanneren eller fra det program, der modtog den. Og den fil, der blev printet fra, kan ligge på en computer eller i en mail.

Når et papirdokuments datering bestrides, er det derfor relevant at spørge, hvor den digitale udgave er, og hvilke enheder dokumentet har været igennem. Svaret kan føre til spor, der ligger uden for den interesserede parts kontrol.

Fravær er ikke bevis

At der ikke findes en ældre version, er ikke i sig selv bevis for antedatering. Filer slettes, computere udskiftes, og mange skriver dokumenter lokalt uden versionshistorik. Det er et svagt argument at sige: “Der er ingen spor af dokumentet før april, altså er det skrevet i april.” Det er et stærkere argument, hvis dokumentet burde have sat spor, fx fordi parten ellers gemte alt i et dokumentsystem med versionshistorik.

Hvad advokaten bør bede om

Fremlægger modparten et dokument, hvis datering bestrides, kan følgende efterspørges:

1. Den originale fil i det format, den blev lavet i, ikke kun en PDF eller en papirkopi.
2. Oplysning om, hvor filen har ligget, og på hvilken computer eller i hvilket system den blev lavet.
3. Versionshistorik fra dokumentsystem eller cloudtjeneste.
4. Den mail, dokumentet blev sendt med, med fuld header.
5. Sikkerhedskopier fra perioden, hvis det er proportionalt.

Formuleringen af en opfordring eller en editionsbegæring bør være konkret, så modparten ikke kan svare med en ny PDF. → Editionsbegæring om digitale beviser

Når klientens eget dokument mødes med mistanke

Er det klientens dokument, der bestrides, gælder det modsatte: Sikr originalen og dens omgivelser, før nogen åbner, gemmer eller flytter den. Selve handlingen at åbne og gemme filen kan ændre metadata. Find de uafhængige spor, der understøtter datoen: mails, versioner, signaturer, kalenderaftaler. → Indsigelse mod et digitalt bevis’ ægthed

Skønstemaet

Hvis spørgsmålet skal for en skønsmand, bør temaet ikke være “er dokumentet antedateret?”. Det er et juridisk spørgsmål om troværdighed. Spørg i stedet til de tekniske forhold:

• Hvilke tidspunkter fremgår af filens metadata og interne struktur?
• Hvilken programversion er filen lavet med, og hvornår blev den udgivet?
• Findes der versioner eller kopier i de undersøgte systemer, og med hvilke tidspunkter?
• Er der tegn på, at metadata er ændret efter oprettelsen?

Skønsmanden kan så beskrive sporene. Hvad de betyder for sagen, er rettens vurdering. → Syn og skøn i IT-sager

Praktisk rækkefølge

Når en datering bestrides, er rækkefølgen vigtig, fordi nogle spor forsvinder hurtigt, og fordi forkert håndtering kan ødelægge andre:

1. Sikr de spor, der kan forsvinde. Logs i mailtjenester, versionshistorik i cloudtjenester og printerlogs har ofte kort levetid. Send en anmodning om bevarelse til modparten og eventuelt til tredjemand. → Skabelon: meddelelse om bevarelse af data
2. Kræv originalfilen, før der tages stilling til, om en teknisk undersøgelse er nødvendig.
3. Kortlæg de uafhængige tidspunkter: afsendelse, upload, signatur og udskrift.
4. Læg sporene i en tidslinje sammen med sagens øvrige forløb, så det ses, hvor de passer sammen, og hvor de ikke gør. → Tidslinjer som bevis
5. Vurdér, om en sagkyndig undersøgelse står mål med sagen. Viser mailen med dokumentet allerede, at det fandtes på den påståede dato, er en analyse af filens interne struktur sjældent nødvendig.

Rækkefølgen gælder både, når modpartens dokument mødes med mistanke, og når klientens eget dokument skal forsvares. I begge tilfælde er det de tidlige skridt, der afgør, hvad der senere kan undersøges.

Typiske fejl

• At bruge oprettelsesdatoen i filens egenskaber som afgørende bevis.
• At åbne og gemme originalen, før den er sikret.
• At acceptere en PDF, når den oprindelige fil kunne kræves.
• At bygge sagen på, at der ikke findes ældre spor.
• At spørge skønsmanden om noget juridisk i stedet for noget teknisk.

Tjekliste

• ☐ Datoen i teksten er skilt fra filens og omverdenens tidspunkter
• ☐ Originalfilen er krævet eller sikret
• ☐ Spor hos tredjemand er identificeret: mail, cloud, signatur
• ☐ Programversion og skabeloner er kontrolleret
• ☐ Argumentet bygger ikke alene på fravær af spor
• ☐ Skønstemaet er formuleret teknisk

Hvornår et dokument blev til, kan sjældent afgøres ud fra én kilde. En IT-sagkyndig kan sammenholde sporene og beskrive, hvor sikre de er.

→ Send en sag · Tlf. 70 13 63 23 · IT-sagkyndig bistand til advokater hos Nielco IT