Forretningshemmeligheder: bevis for rimelige beskyttelsesforanstaltninger

I sager om forretningshemmeligheder fokuserer klienten ofte på det, modparten har taget. Men før det spørgsmål bliver relevant, skal klienten typisk vise, at oplysningerne overhovedet er en forretningshemmelighed. Et af kravene er, at der er taget rimelige foranstaltninger til at holde dem hemmelige. Det er et krav, som i høj grad skal dokumenteres med IT-data, og som ofte er sværere at bevise, end klienten regner med.

Kravet i loven

Lov om forretningshemmeligheder § 2, nr. 1 definerer en forretningshemmelighed som oplysninger, der er hemmelige, har handelsværdi, fordi de er hemmelige, og som “under de givne omstændigheder” er blevet underkastet rimelige foranstaltninger til hemmeligholdelse af den, der lovligt kontrollerer dem.

Hvad der er rimeligt, afhænger af oplysningernes art, virksomhedens størrelse og den konkrete situation. Det er en juridisk vurdering. IT-siden kan bidrage med at dokumentere, hvilke foranstaltninger der faktisk var på plads, og hvornår.

Det afgørende tidspunkt

Foranstaltningerne skal som udgangspunkt have eksisteret, da oplysningerne blev taget eller brugt. En politik, der blev skrevet efter hændelsen, eller en adgangsbegrænsning, der blev indført, da mistanken opstod, siger ikke meget om situationen før.

Det betyder, at bevisførelsen ofte handler om historiske indstillinger. Mange systemer viser kun den nuværende opsætning. Ændringer i rettigheder og politikker kan være logget, men logs har en begrænset levetid. Jo længere tid der går, jo sværere bliver det at vise, hvordan det så ud på det relevante tidspunkt.

Hvilke foranstaltninger kan dokumenteres

Foranstaltningerne falder typisk i tre grupper. Advokaten bør afklare, hvad klienten kan dokumentere inden for hver.

Tekniske

Adgangsstyring. Hvem havde adgang til mappen, systemet eller databasen? Var adgangen begrænset til en snæver kreds, eller kunne alle medarbejdere læse med?
Godkendelse. Krævede adgang personlige konti og flere faktorer, eller blev der brugt fælles logins?
Logning og overvågning. Blev adgang og download registreret? Var der advarsler ved usædvanlig aktivitet?
Begrænsning af kopiering. Var USB-porte, private cloudtjenester eller videresendelse til private mails spærret eller overvåget?
Kryptering og mærkning. Var dokumenterne mærket som fortrolige, eventuelt med automatisk beskyttelse knyttet til mærkningen?

Organisatoriske

Skriftlige politikker for fortrolige oplysninger.
Klassificering af, hvilke oplysninger der er fortrolige.
Procedurer ved fratrædelse, herunder lukning af adgange.
Undervisning og påmindelser til medarbejdere.

Kontraktuelle

Fortrolighedsbestemmelser i ansættelseskontrakter.
Fortrolighedsaftaler med samarbejdspartnere og leverandører.
Vilkår i aftaler med kunder, der får adgang til oplysningerne.

De organisatoriske og kontraktuelle dele dokumenteres med almindelige dokumenter. Her er IT-sidens bidrag især at vise, hvornår dokumenterne blev oprettet og ændret, og om de faktisk blev sendt til eller accepteret af medarbejderne.

Det tekniske bevis i praksis

En påstand om, at “kun ledelsen havde adgang”, er svær at bære uden data. Det, der typisk kan bruges, er:

Udtræk af rettigheder for de relevante mapper, sites og systemer, helst med dato og angivelse af, hvem der har lavet udtrækket.
Ændringslogs for rettigheder, der viser, om adgangen har været den samme i hele perioden.
Konfiguration af sikkerhedspolitikker, fx for mærkning, datatabsforebyggelse og spærring af eksterne lagringsmedier.
Adgangslogs, der viser, hvem der faktisk har åbnet eller hentet materialet.
Fratrædelsesforløb, der viser, hvornår en tidligere medarbejders konto blev lukket.

Udtræk fra et administrationspanel viser ofte kun dags dato. Spørg derfor altid, om udtrækket afspejler den relevante periode. Hvis ikke, bør det fremgå tydeligt af bilaget. Se også Sådan læser du en logfil.

Når beviset vender sig mod klienten

Indsamlingen kan afsløre svagheder. Det kan vise sig, at mange flere havde adgang end antaget, at en fælles konto blev brugt, eller at logningen var slået fra. Den slags oplysninger kan modparten bruge til at argumentere for, at kravet om rimelige foranstaltninger ikke er opfyldt.

Det er en grund til at få et teknisk overblik tidligt, før påstande formuleres i et påkrav eller en stævning. Det er lettere at afstemme påstanden efter beviserne end omvendt. → Er de digitale beviser stærke nok til en retssag?

Modpartens vinkel

Repræsenterer advokaten den part, der beskyldes for at have taget oplysningerne, er de samme data relevante. Spørgsmålene kan være:

Var oplysningerne frit tilgængelige for en bred kreds af medarbejdere?
Var der faktisk nogen mærkning eller klassificering?
Er politikkerne oprettet eller ændret efter hændelsen? Dokumentets metadata kan give et fingerpeg.
Bygger modpartens beskrivelse af foranstaltningerne på dagens opsætning?

En editionsbegæring kan rettes mod udtræk og ændringslogs for den relevante periode. → Editionsbegæring set fra IT-siden

Samspillet med selve krænkelsen

Bevis for foranstaltningerne og bevis for krænkelsen hænger ofte sammen. De samme adgangslogs, der viser, at kun få havde adgang, kan vise, at en bestemt konto hentede materialet. Det er derfor praktisk at sikre data samlet og med én metode. Hvordan tabet derefter opgøres, er beskrevet i Opgørelse af tab ved datatyveri. Spørgsmål om klausuler, der grænser op til samme sag, er behandlet i Konkurrenceklausuler: hvad retten typisk efterspørger.

Fortrolighed i selve retssagen

Bevisførelsen kan i sig selv afsløre oplysningerne. Rettighedsudtræk og konfigurationer kan vise, hvor oplysningerne ligger, og hvordan de er beskyttet. Overvej, hvad der er nødvendigt at fremlægge, og om der skal fremlægges i en form, hvor selve hemmeligheden ikke fremgår.

Spørgsmål til klienten

Hvilke oplysninger mener I er hemmelige, og hvor ligger de?
Hvem havde adgang, og hvordan blev adgangen tildelt?
Hvilke politikker fandtes, og hvornår blev de indført?
Blev der logget adgang og download, og hvor længe gemmes logs?
Hvornår blev den relevante medarbejders adgange lukket?
Er der ændret i rettigheder eller politikker, efter at mistanken opstod?

Praktisk rækkefølge ved sikring

Når mistanken opstår, er det fristende straks at lukke adgange og stramme politikker. Rækkefølgen bør være en anden:

Afgræns oplysningerne. Beskriv konkret, hvilke filer, mapper eller systemer sagen handler om.
Sikr den eksisterende opsætning. Tag udtræk af rettigheder, politikker og konfigurationer, før noget ændres, med dato og angivelse af, hvem der har lavet udtrækket.
Sikr logs. Find ud af, hvor længe ændrings- og adgangslogs gemmes, og eksportér dem for hele den relevante periode.
Sikr dokumentationen for politikker og aftaler. Det gælder også spor, der viser, hvornår medarbejderne modtog eller accepterede dem.
Stram derefter. Når opsætningen er dokumenteret, kan adgange lukkes og politikker ændres. Notér, hvad der ændres og hvornår.

Ændres opsætningen først, blandes den historiske beskyttelse med den nye, og det kan blive svært at vise, hvordan det så ud på det relevante tidspunkt. Modparten vil typisk spørge netop til det.

Typiske fejl

At dokumentere dagens opsætning i stedet for opsætningen på det relevante tidspunkt.
At stramme adgangene, før den eksisterende opsætning er sikret.
At fremlægge politikker uden at kunne vise, at medarbejderne kendte dem.
At lade logs blive overskrevet, mens sagen forberedes.
At beskrive foranstaltningerne bredere, end dataene kan bære.

Tjekliste

☐ De hemmelige oplysninger er afgrænset konkret
☐ Rettigheder og politikker er sikret med dato og metode
☐ Ændringslogs for perioden er sikret, før de udløber
☐ Det er afklaret, om udtrækket viser fortid eller nutid
☐ Politikker og aftaler kan knyttes til de relevante medarbejdere
☐ Svagheder i beskyttelsen er kendt, før påstanden formuleres

En IT-sagkyndig bør inddrages, når foranstaltningerne skal dokumenteres for en periode, der ligger tilbage i tiden, eller når modparten bestrider, at de fandtes.

→ Send en sag · Tlf. 70 13 63 23 · IT-sagkyndig bistand til advokater hos Nielco IT