Bortvisning på grundlag af digitale beviser

En bortvisning er arbejdsgiverens skarpeste reaktion, og den bliver ofte prøvet efterfølgende. Når grundlaget er digitalt, fx logs over adgang til systemer, mails sendt til private adresser eller filer kopieret til et USB-drev, skal beviserne kunne holde, når medarbejderen og dennes advokat eller organisation begynder at stille spørgsmål. Det, der virkede overbevisende på bortvisningsdagen, kan se anderledes ud, når en uvildig sagkyndig gennemgår det.

Om forholdet er en væsentlig misligholdelse, og om arbejdsgiveren har reageret hurtigt nok, er advokatens vurdering. Her handler det om de digitale beviser: hvad de kan bære, hvordan de sikres, og hvordan medarbejderens privatliv respekteres undervejs.

Advokaten kommer ofte ind på to tidspunkter

Før bortvisningen: Arbejdsgiveren har en mistanke og spørger, om den er stærk nok. Her er der tid til at sikre korrekt og til at efterprøve de første fund.

Efter bortvisningen: Medarbejderen bestrider grundlaget. Nu skal det vises, hvad arbejdsgiveren vidste, og hvordan det blev fundet. Hvis sikringen ikke er dokumenteret, kan det være svært at genskabe.

Begge situationer stiller de samme krav til beviserne. Den første giver bare bedre muligheder.

Hvad data typisk viser

• Uberettiget adgang til oplysninger · Logs i fagsystemer, CRM, journal- og sagssystemer
• Dataudtræk · Revisionslog i Microsoft 365 eller Google Workspace, downloadlogs, USB-spor
• Mails med fortrolige oplysninger til private adresser · Postkasse, maillogs, regler for videresendelse
• Misbrug af arbejdstid eller udstyr · Loginlogs, aktivitetslogs, browserhistorik
• Illoyal konkurrence · Mails, kalender, filer, kontakt med kunder

Logdata fra fagsystemer er ofte det, en bortvisning bygger på. De rejser særlige spørgsmål om, hvad en logpost faktisk betyder. → Logdata fra fagsystemer i ansættelsessager

Hvad en logpost betyder, og hvad den ikke betyder

Den hyppigste fejl er at læse en log som en forklaring. En logpost siger, at en handling blev udført med en bestemt brugerkonto på et bestemt tidspunkt. Den siger ikke nødvendigvis:

• at det var medarbejderen, der sad ved tastaturet,
• at handlingen var bevidst,
• at handlingen lå uden for arbejdsopgaverne,
• at oplysningerne blev brugt til noget.

Et eksempel: En revisionslog viser, at medarbejderens konto har hentet mange filer fra et fællesdrev på kort tid. Det kan være et udtræk med henblik på at tage data med. Det kan også være en synkroniseringsklient, der henter filer automatisk, når en ny computer kobles på. De to forklaringer efterlader forskellige spor, og en sagkyndig kan ofte skelne. Uden den undersøgelse er bortvisningen bygget på en antagelse.

Spørg derfor altid: Hvilke alternative forklaringer findes, og er de undersøgt?

Det skal sikres, før medarbejderen får besked

1. Logs med kort opbevaringstid: Revisionslogs, loginlogs og firewall-logs kan forsvinde automatisk efter en periode.
2. Medarbejderens postkasse og filer: Sættes på bevarelse, så de ikke slettes ved fratrædelsen.
3. Arbejdscomputer og telefon: Tages ud af brug og opbevares uændret, gerne med en forensisk kopi. De må ikke gives videre eller geninstalleres.
4. Adgang: Lukkes på bortvisningstidspunktet, efter at tilstanden er dokumenteret.

Sikringen bør foretages af en person, der ikke selv er part i forløbet, og den skal dokumenteres: hvad, hvornår, af hvem og hvordan. → Offboarding uden at miste beviser

Hvornår vidste arbejdsgiveren det?

Spørgsmålet om reaktionstid gør arbejdsgiverens egen viden til et bevistema. Medarbejderens side kan påstå, at forholdet var kendt længe før bortvisningen. Også det kan belyses med data:

• Hvornår blev en advarsel fra et overvågningssystem udsendt, og til hvem?
• Hvornår åbnede en leder eller IT-medarbejder den relevante log eller rapport?
• Hvornår blev mistanken første gang nævnt i en mail eller en chat?

Klientens egne spor kan altså blive fremlagt. Sørg for, at også de er bevaret, og at advokaten kender dem, før de dukker op i modpartens processkrift. Et klart forløb fra opdagelse over undersøgelse til beslutning står stærkere end en forklaring om, at “det tog lidt tid at få overblik”.

Medarbejderens privatliv

Arbejdsgiverens adgang til at undersøge medarbejderens mail, filer og aktivitet er ikke ubegrænset. Den afhænger blandt andet af, hvad medarbejderne er orienteret om, af reglerne om kontrolforanstaltninger og af databeskyttelsesreglerne. → Medarbejderens private data på arbejdsudstyr

I praksis betyder det:

• Undersøgelsen afgrænses til det konkrete forhold, de relevante systemer og den relevante periode.
• Der søges målrettet, ikke bredt i alt medarbejderens indhold.
• Mapper og beskeder, der tydeligt er private, åbnes ikke, medmindre der er et særligt grundlag.
• Det dokumenteres, hvad der blev undersøgt, og hvad der bevidst blev holdt udenfor.
• Kun de personer, der har brug for det, får adgang til fundene.

En undersøgelse, der går for bredt, kan i sig selv blive et problem i sagen, uanset hvad den fandt. Den kan også skade tilliden hos de øvrige medarbejdere. → GDPR og bevisførelse

Praktisk rækkefølge, når mistanken opstår

1. Notér, hvad der er observeret, af hvem og hvornår, før nogen begynder at undersøge.
2. Sikr logs og data med kort opbevaringstid, og sæt postkasse og filer på bevarelse.
3. Tag arbejdsudstyr ud af brug uden at tænde, rydde op i eller geninstallere det.
4. Lad en uafhængig person eller en IT-sagkyndig foretage sikringen og den første gennemgang inden for en klar afgrænsning.
5. Undersøg alternative forklaringer på fundene, før der træffes beslutning.
6. Saml forløbet fra opdagelse til beslutning i en tidslinje med kildehenvisninger.

Det er fristende at springe direkte til trin 4 eller 5, fordi mistanken føles akut. Men trin 1 til 3 er dem, der ikke kan gøres om. Samtidig dokumenterer en klar rækkefølge, at arbejdsgiveren har handlet uden unødig forsinkelse, hvilket kan få betydning for spørgsmålet om reaktionstid.

Typiske fejl

• Den interne IT-afdeling eller en leder gennemgår medarbejderens computer på egen hånd, uden dokumentation og med risiko for at ændre data.
• Bortvisningen sker, før alternative forklaringer på logposterne er undersøgt.
• Skærmbilleder fra et administrationsværktøj er det eneste bevis.
• Computeren gives til en ny medarbejder, før den er sikret.
• Undersøgelsen omfatter private beskeder eller filer uden afgrænsning.
• Tidsstempler læses i forkert tidszone, så hændelser placeres i forkert periode.
• Fundene præsenteres for medarbejderen i en form, der afslører flere detaljer om undersøgelsen end nødvendigt, før beviserne er sikret hos tredjemand.

Spørgsmål til klienten

• Hvad præcis er observeret, og af hvem?
• Hvilke systemer stammer dataene fra, og hvem har adgang til dem?
• Hvem har allerede kigget på data, og hvad har de gjort?
• Hvilke regler for brug af IT og kontrol er medarbejderne orienteret om?
• Er udstyr og konti sikret, eller er de stadig i brug?
• Kan medarbejderen have haft en arbejdsmæssig grund til handlingen?

Spørgsmål til den sagkyndige

• “Viser de sikrede logs, at filerne er hentet ved en brugerhandling, eller er der spor af automatisk synkronisering?”
• “Er filer fra det angivne fællesdrev i perioden kopieret til eksterne medier eller uploadet til tjenester uden for virksomheden?”
• “Hvilke alternative forklaringer på de registrerede logposter kan ud fra data udelukkes, og hvilke kan ikke?”

Den sagkyndige kan også få brug for at forklare loggenes betydning i retten. Forbered klientens egne IT-folk, hvis de skal afgive forklaring om, hvad de gjorde. → Vidneforklaring fra IT-medarbejdere

→ Send en sag · Tlf. 70 13 63 23 · IT-sagkyndig bistand til advokater hos Nielco IT