Beviser i cloud uden for EU

Data i en udenlandsk cloudtjeneste er oftest lettest at få fat i gennem den, der har adgang til kontoen, ikke gennem udbyderen. Det kan være din egen klient som administrator, en medarbejder med login eller modparten efter et editionspålæg. At gå direkte til en udbyder uden for EU er langsomt, usikkert og ofte uden resultat i en civil sag. Derfor skal sporene vælges i den rigtige rækkefølge.

Hvorfor er det svært?

Jurisdiktion: Udbyderen er ikke underlagt danske domstole på samme måde som en dansk part.
Udbyderens politik: Mange store udbydere udleverer ikke indhold til private parter, kun til myndigheder eller efter retsanmodning i hjemlandet.
Lovgivning i hjemlandet: Fx kan amerikansk lovgivning begrænse udlevering af indhold af kommunikation.
Tid: Opbevaringsperioder kan udløbe, før en anmodning er behandlet. → Hvor længe gemmes data?

Kortlæg tjenester og konti først

Før vejen vælges, skal det stå klart, hvilke tjenester der er i spil, og hvem der ejer kontiene. Det er ofte mindre oplagt, end det ser ud. Spørg klienten:

Hvilke tjenester bruges til mail, filer, chat, regnskab, kundedata og projektstyring?
Er kontoen oprettet af virksomheden, eller af en medarbejder i eget navn?
Hvem er registreret som administrator eller ejer hos udbyderen?
Betaler virksomheden for tjenesten, og hvem står på fakturaen?
Bruges der private konti til arbejde, for eksempel en gratis fildelingstjeneste?

Svarene afgør, om klienten selv kan sikre dataene, eller om det kræver modpartens medvirken. → Hvem ejer domænet og kontoen?

Vælg den rigtige vej

Klientens egen adgang som kontoindehaver eller administrator · Hvornår: Klienten ejer kontoen eller organisationen · Hastighed: Hurtig
Eksport via administratorværktøjer eller API · Hvornår: Virksomhedskonti i Microsoft 365, Google Workspace, Slack · Hastighed: Hurtig
Pålæg til modparten om fremlæggelse · Hvornår: Modparten har adgang til kontoen · Hastighed: Middel
Henvendelse til udbyderen · Hvornår: Kontooplysninger, logdata eller bevarelse · Hastighed: Langsom og usikker
Retsanmodning til udlandet · Hvornår: Når de andre veje er udtømt · Hastighed: Meget langsom

→ Cloud-forensic: sikring via API og administratoreksport

Flere veje kan bruges samtidig. Det er for eksempel ofte fornuftigt at sikre klientens egne data med det samme og parallelt bede modparten om bevarelse, mens editionsspørgsmålet afklares.

Når klienten selv har adgang

Det er den mest almindelige situation. En virksomhed har sine data i en amerikansk cloudtjeneste, men den har selv administratorrettigheder. Så kan dataene sikres direkte og dokumenteres korrekt, uanset hvor serverne står.

Vigtigt:

Sikringen skal dokumenteres med kæde af ansvar og hashværdier. → Kæde af ansvar
Logdata og revisionslog skal eksporteres, før de udløber. → Unified Audit Log i Microsoft 365
Adgangen skal være lovlig, også over for medarbejdere. → Medarbejderens private data på arbejdsudstyr

Hvad en eksport kan og ikke kan vise

En administratoreksport giver typisk indholdet og de metadata, tjenesten selv gemmer. Den viser ikke nødvendigvis alt:

Slettet indhold er kun med, hvis tjenesten stadig opbevarer det, for eksempel i en papirkurv eller under et hold.
Loginlog og IP-adresser opbevares ofte kortere end indholdet og kan kræve en særskilt eksport. → Sessioner, tokens og loginlogs
Filversioner er ikke altid med i en standardeksport.
Delinger og links til eksterne personer kan ligge i revisionsloggen frem for i selve filerne.

Bed derfor den sagkyndige beskrive, hvad eksporten omfatter, og hvad den ikke omfatter. Det gør det lettere at forklare et eventuelt hul senere. → Bevissikring i Dropbox og andre cloudlagre

Når modparten har adgang

Ligger dataene i modpartens konto, er udgangspunktet en editionsbegæring mod modparten, ikke mod udbyderen. Modparten kan eksportere sine egne data. Beskriv præcist, hvilken tjeneste, konto, periode og hvilket format. → Editionsbegæring set fra IT-siden

Bed også om, at modparten sætter bevarelse på kontoen, så data ikke slettes undervejs. → Bevarelsespligt og litigation hold

En god anmodning siger for eksempel: “Mails i kontoen med den angivne adresse i perioden fra og med den ene dato til og med den anden, eksporteret i originalformat med headere, og med oplysning om, hvem der har foretaget eksporten og hvordan.” En dårlig anmodning siger blot: “Alle relevante mails fra modpartens cloud.”

Når modpartens eksport modtages

En eksport fra modparten skal kontrolleres, før den bruges. Den IT-sagkyndige kan typisk undersøge:

om filformatet er originalt, eller om data er konverteret, så metadata er gået tabt,
om perioden og kontoen svarer til det, der er bedt om,
om der er huller i tidsforløbet, for eksempel dage uden nogen mails i en ellers aktiv konto,
om hashværdier og eksportlog stemmer overens med det modtagne.

Et hul er ikke i sig selv et tegn på, at noget er fjernet med vilje. Det kan skyldes opbevaringspolitikker, en fejl i eksporten eller at kontoen reelt ikke blev brugt. Det kan dog give anledning til opfølgende spørgsmål om, hvordan eksporten er foretaget. → Opfordring og processuel skadevirkning

Haagerkonventionen om bevisoptagelse

Når en udenlandsk part eller tredjemand skal afgive beviser, kan der være tale om en retsanmodning efter Haagerkonventionen om bevisoptagelse i udlandet i civile sager. Forhold inden for EU følger andre regler, og Danmarks stilling til EU-samarbejdet skal undersøges særskilt.

Set fra IT-siden skal en retsanmodning være lige så præcis som en editionsbegæring:

tjenestens navn og kontoens identifikator, fx e-mailadresse eller bruger-id,
præcis periode,
hvilke datatyper: kontooplysninger, logins, IP-adresser, indhold,
ønsket format og krav om dokumentation for udtrækket.

Vær realistisk om tiden. En retsanmodning kan tage så lang tid, at data er væk, før den er behandlet.

Hvad kan typisk fås fra udbyderen?

Bevarelse af data · Nogle gange, efter anmodning
Kontooplysninger · Sjældent uden retsanmodning
Loginlog og IP-adresser · Sjældent uden retsanmodning
Indhold af mails og filer · Meget sjældent til private parter

Udbydernes vejledninger og formularer ændres løbende. Undersøg den aktuelle fremgangsmåde hos den konkrete udbyder, før der lægges en plan, der afhænger af den.

Tidsforbrug og rækkefølge

Samme dag: Kortlæg tjenester og konti, og stop automatisk sletning, hvor klienten har adgang.
Inden for kort tid: Sikr klientens egne data og eksportér logdata, før de udløber.
Parallelt: Bed modparten om bevarelse, og overvej edition.
Sidst: Henvendelse til udbyderen eller retsanmodning, hvis det stadig er nødvendigt.

→ Tidsfrister og hastesager

Typiske fejl

Man starter med en henvendelse til udbyderen og venter på svar, mens logdata udløber.
Man går ud fra, at kontoen tilhører virksomheden, selv om den er oprettet privat.
Man nøjes med skærmbilleder fra webgrænsefladen i stedet for en dokumenteret eksport.
Man beder om “alt” og får enten ingenting eller en uoverskuelig mængde.