Hvem der skal bevise hvad, er et juridisk spørgsmål. Bevisbyrdens placering følger af retsregler og retspraksis, og retten vurderer beviserne frit. Men når bevisbyrden er placeret, bliver spørgsmålet praktisk: Hvilke data kan løfte den, og hvor langt rækker de?
Denne artikel handler om at koble bevistemaerne i en sag til konkrete digitale kilder, så advokaten tidligt kan se, hvor beviset er stærkt, og hvor der er huller.
Fra påstand til bevistema til datakilde
En påstand består typisk af flere led, som hvert skal bevises. Et eksempel: En virksomhed påstår, at en tidligere medarbejder har taget kundelister med og brugt dem hos en konkurrent. Påstanden kan deles op:
- Medarbejderen havde adgang til kundelisterne.
- Kundelisterne blev kopieret.
- Kopieringen skete fra medarbejderens konto eller udstyr.
- Kopierne blev taget med ud af virksomheden.
- Oplysningerne blev brugt bagefter.
For hvert led kan der stilles to spørgsmål: Hvem har bevisbyrden, og hvilke data kan belyse det? Det første er advokatens. Det andet kan en IT-sagkyndig hjælpe med.
- Adgang · Mulige datakilder: Rettighedsstyring, brugerkonti, IT-politik · Typisk styrke: Ofte stærk
- Kopiering · Mulige datakilder: Revisionslog, filsystemspor, synkroniseringslog · Typisk styrke: Afhænger af, om logs findes
- Fra hvilken konto eller enhed · Mulige datakilder: Login-spor, enhedsoplysninger · Typisk styrke: Stærk for kontoen, svagere for personen
- Taget med ud · Mulige datakilder: USB-spor, uploads til privat cloud, mails til privat adresse · Typisk styrke: Varierer
- Brugt bagefter · Mulige datakilder: Data hos modparten, kunders henvendelser · Typisk styrke: Kræver ofte edition
Tabellen gør det tydeligt, at et bevis sjældent er stærkt hele vejen. Ofte er de første led godt dokumenteret i klientens egne systemer, mens de sidste kræver data, som modparten har. → Editionsbegæring set fra IT-siden
Hvad data kan løfte, og hvad det ikke kan
Digitale spor er gode til at vise, at noget er sket, hvornår og fra hvilken konto. De er dårligere til at vise hensigt, viden og hvem der fysisk udførte en handling.
Data kan typisk vise:
- at en fil eksisterede på et bestemt tidspunkt,
- at en konto åbnede, ændrede, kopierede eller slettede noget,
- at en mail blev sendt og modtaget,
- at en enhed var forbundet til et netværk eller en anden enhed.
Data kan typisk ikke alene vise:
- hvorfor en handling blev foretaget,
- at en person har læst og forstået et dokument,
- at det var en bestemt person og ikke en anden med adgang til kontoen,
- at noget ikke er sket, hvis logningen var mangelfuld.
Det sidste punkt er vigtigt. Fravær af spor er ikke det samme som bevis for, at noget ikke skete. Hvis en log ikke registrerede kopiering til et bestemt medie, kan det skyldes, at kopieringen ikke fandt sted, eller at loggen slet ikke kunne registrere den. → Hvad er et digitalt bevis?
Når klienten skal bevise et negativt forhold
Nogle gange skal klienten vise, at noget ikke skete: at en mail ikke blev modtaget, at en fil ikke blev ændret, eller at klienten ikke havde adgang. Det er teknisk svært. Det kræver, at man kan vise, at systemet ville have registreret handlingen, hvis den var sket.
Spørg derfor:
- Hvad logger systemet faktisk, og hvad logger det ikke?
- Var logningen slået til i hele perioden?
- Findes der andre kilder, der ville vise handlingen, fx modtagerens postkasse eller en backup?
Uden svar på de spørgsmål kan et bevis for et negativt forhold let blive afvist som udtryk for manglende data.
Kæden af små beviser
Ofte er det ikke ét bevis, der løfter bevisbyrden, men flere svage spor, der peger samme vej. Et eksempel: Et login fra medarbejderens konto, en USB-enhed tilsluttet medarbejderens computer et par minutter senere og en kalender, der viser, at medarbejderen var på kontoret. Hvert spor kan forklares. Sammen er de sværere at forklare væk.
Det stiller krav til præsentationen. En tidslinje, der samler sporene fra forskellige kilder, gør det lettere for retten at se sammenhængen. Men tidspunkterne skal være korrekt omregnet til samme tidszone, og hvert spor skal kunne føres tilbage til sin kilde. → Tidslinjeanalyse
Modpartens forklaringer
Når klienten har løftet en del af bevisbyrden, vil modparten ofte komme med en alternativ forklaring. Typiske eksempler:
- “Kontoen var delt med andre.”
- “Filerne blev synkroniseret automatisk.”
- “USB-nøglen var til backup af private billeder.”
- “Mailen var en del af en almindelig arbejdsopgave.”
Mange af disse forklaringer kan undersøges teknisk. Automatisk synkronisering efterlader andre spor end manuel kopiering. En delt konto kan ofte modsiges af login-mønstre. Det er derfor nyttigt at forudse forklaringerne og spørge den IT-sagkyndige, om de kan efterprøves. → Modpartens IT-sagkyndige
Sikringens kvalitet påvirker vægten
To parter kan fremlægge de samme data og alligevel stå forskelligt. Hvis den ene part har sikret dataene dokumenteret, med hashværdier og en beskrivelse af metoden, og den anden har kopieret filerne til en USB-nøgle, vil det første materiale normalt være lettere at forsvare mod indsigelser om ændringer.
For den part, der har bevisbyrden, betyder det, at sikringen bør tilrettelægges med henblik på, at den kan forklares i retten:
- Hvem foretog sikringen, og hvornår?
- Hvilke værktøjer og metoder blev brugt?
- Kan det vises, at dataene ikke er ændret siden?
- Hvor har materialet været opbevaret, og hvem har haft adgang?
Hvordan sikringens kvalitet indgår i bevisbedømmelsen, er rettens vurdering. Men en svag eller udokumenteret sikring giver modparten et lettere spil, når beviset skal angribes, og den kan sjældent forbedres bagefter. → Kæde af ansvar
Gode og dårlige spørgsmål
- “Kan data bevise, at medarbejderen stjal kundelisten?” · “Hvilke spor findes der efter kopiering af filen X fra kontoen Y i perioden, og hvad kan de vise om, hvordan kopieringen skete?”
- “Kan du bevise, at klienten aldrig fik mailen?” · “Findes der spor af mailen i klientens postkasse, spamfilter eller mailserverens log, og registrerer systemet modtagne mails i hele perioden?”
- “Hvad viser loggen?” · “Hvad registrerer loggen, hvad registrerer den ikke, og hvor længe gemmes den?”
Tjekliste før sagen anlægges
- ☐ Påstanden er delt op i led, og bevisbyrden for hvert led er vurderet.
- ☐ For hvert led er de mulige datakilder identificeret.
- ☐ Kilderne er sikret eller bevaret.
- ☐ Huller er beskrevet, og det er vurderet, om de kan lukkes ved edition eller skøn.
- ☐ Modpartens forventelige forklaringer er noteret, og det er undersøgt, om de kan efterprøves.
→ Send en sag · Tlf. 70 13 63 23 · IT-sagkyndig bistand til advokater hos Nielco IT
