Indscannede underskrifter og kopier uden original

En underskrevet aftale bliver i dag ofte scannet, sendt som PDF og lagt i et arkiv. Papiret forsvinder i en skuffe eller i makulatoren. Når aftalen senere bliver bestridt, findes kun den scannede fil. Modparten siger måske, at underskriften er kopieret ind fra et andet dokument, eller at siden med underskriften hører til en anden version af aftalen. Denne artikel handler om, hvad en scannet fil kan vise om sin egen oprindelse, og hvor grænsen går.

Elektroniske underskrifter via signeringstjenester og MitID er en anden situation. Den er beskrevet i Digitale signaturer og elektroniske aftaler som bevis.

To spørgsmål, der skal holdes adskilt

Når en scannet underskrift bestrides, er der to spørgsmål:

Er underskriften skrevet af den person, der påstås? Det er et spørgsmål om håndskrift. Det kræver en skriftkyndig, og ofte originalen. En IT-sagkyndig kan ikke afgøre det.
Er filen, som den påstås at være? Er den scannet fra et papir på det oplyste tidspunkt, eller er den sat sammen digitalt? Det er et IT-spørgsmål.

Mange indsigelser handler i virkeligheden om det andet spørgsmål. Påstanden er ikke, at nogen har forfalsket håndskriften, men at et billede af en ægte underskrift er sat ind i et dokument, som underskriveren aldrig så.

Hvad en scannet PDF kan fortælle

En PDF fra en scanner eller en multifunktionsprinter indeholder ofte oplysninger om sig selv:

det program eller den enhed, der har lavet filen,
et oprettelsestidspunkt efter enhedens ur,
opløsning og komprimering af billederne,
om der er lavet tekstgenkendelse (OCR) på siderne,
om filen er ændret efter oprettelsen.

Hvis alle sider er scannet i samme omgang, vil de typisk have samme opløsning, samme farveprofil og samme slags støj fra scanneren. Afviger én side, eller ligger underskriften som et separat billedlag oven på en side, er det et spor, der bør undersøges nærmere. Det er ikke i sig selv bevis for manipulation. Der kan være almindelige forklaringer, fx at siden er scannet om, eller at filen er sat sammen af to scanninger.

Underskriften selv som billede

En håndskrevet underskrift bliver aldrig helt ens to gange. Hvis den samme underskrift optræder på flere dokumenter med præcis samme form, størrelse og placering af hver streg, tyder det på, at den er kopieret digitalt. En sammenligning med andre dokumenter, som parten har underskrevet, kan derfor være nyttig.

Kanterne omkring underskriften kan også sige noget. En underskrift, der er klippet ud og sat ind, kan have en anden baggrund, en anden komprimering eller skarpe kanter, som ikke passer til resten af siden. Teknikken er beslægtet med undersøgelse af redigerede billeder. → Er billedet redigeret?

Fotos med telefonen og kopier af kopier

Ikke alle kopier kommer fra en scanner. En underskrevet side kan være fotograferet med en telefon og sendt i en besked. Så kan billedfilen indeholde oplysninger om telefonens model, tidspunktet for optagelsen og eventuelt position. Det kræver, at den oprindelige billedfil sikres. Når et billede sendes gennem mange beskedtjenester, bliver det komprimeret, og de fleste metadata fjernes.

Jo flere led en kopi har været igennem, jo mindre kan den fortælle. En PDF, der er printet, scannet igen og sendt videre, har mistet det meste af sin forhistorie. Den kan stadig være ægte, men den kan ikke længere selv bidrage til at vise det. Så må beviset hentes andre steder, fx i det første led, hvor filen blev sendt.

Spor uden for filen

Ofte er de stærkeste spor ikke i filen, men omkring den:

Mailen, filen blev sendt med. Hvis scanningen blev sendt som vedhæftet fil, kan mailens header og tidspunkt vise, hvornår filen fandtes. Mailen bør sikres i originalformat.
Scannerens log. Mange multifunktionsprintere i virksomheder registrerer, hvornår der er scannet, af hvem og hvortil. Loggen er ofte kort.
Dokumentsystemet. Hvis filen ligger i et sags- eller arkivsystem, kan systemet vise, hvornår den blev lagt ind, og om den er erstattet.
Andre versioner. Udkast, mails med kommentarer og tidligere versioner kan vise, om den underskrevne tekst svarer til den forhandlede.

Spørgsmålet om, hvornår et dokument blev til, er behandlet mere udførligt i Antedaterede dokumenter.

Når originalen kan findes

Selv om sagen handler om en scanning, er det værd at spørge efter papiret. Måske ligger det hos modparten, hos en revisor eller i et arkiv. Har en part papiroriginalen og nægter at fremlægge den, kan det få betydning. → Opfordring og processuel skadevirkning ved digitale data

Kan originalen ikke findes, bør det dokumenteres, hvad der er gjort for at finde den, og hvad der normalt sker med papiroriginaler hos parten. En fast praksis med at makulere efter scanning er en anden situation end et enkelt bortkommet dokument.

Hvad advokaten bør bede om

Når en scannet underskrift er central, bør advokaten bede om:

den oprindelige fil, ikke en udskrift eller en ny PDF lavet af den,
den mail eller det system, filen kom fra, i originalformat,
oplysning om, hvilken scanner eller hvilket program der lavede filen,
andre dokumenter, der er underskrevet af samme person i samme periode,
papiroriginalen, hvis den findes.

Hvis filen er gemt igen, printet til PDF eller sendt gennem et program, der ændrer den, kan sporene være forsvundet. → Fremlæggelse af digitale beviser: formater og bilag

Indsigelsen i processkriftet

Rejses tvivl om en scannet aftale, bør indsigelsen være konkret. “Vi bestrider ægtheden” er svagt. Det er stærkere at angive, hvad der er påfaldende: en side med afvigende opløsning, en underskrift identisk med en anden, en fil oprettet efter det tidspunkt, aftalen påstås indgået. → Indsigelse mod et digitalt bevis’ ægthed

Omvendt bør advokaten, hvis klientens egen scanning bliver angrebet, sikre de spor, der bekræfter den, før modparten kræver dem.

Hvad en IT-sagkyndig kan konkludere

En undersøgelse af en scannet fil ender sjældent med et rent ja eller nej. Den sagkyndige kan typisk:

beskrive filens opbygning, herunder om siderne er ét samlet billede eller flere lag,
sammenligne opløsning, komprimering og støj på tværs af siderne,
måle, om en underskrift er identisk med en underskrift på et andet dokument,
fastslå, hvilket program eller hvilken enhed der har lavet filen, og om den er gemt igen,
sammenholde filens tidspunkter med mailen, den blev sendt med.

Konklusionen bliver typisk, at der er eller ikke er fundet spor, der er forenelige med en digital sammensætning. Det er ikke det samme som at fastslå, at underskriften er ægte, eller at dokumentet er forfalsket. Fravær af spor kan også skyldes, at filen har været gennem så mange led, at sporene er væk. Bed derfor om, at erklæringen angiver, hvilket materiale der var til rådighed, og hvilke begrænsninger det gav. → Sådan læser du en IT-sagkyndig rapport

Typiske fejl

At sende en IT-sagkyndig ud for at vurdere håndskrift.
At fremlægge en PDF, der er gemt igen, i stedet for den oprindelige fil.
At glemme mailen, scanningen blev sendt med.
At tolke en afvigende side som bevis for manipulation uden at undersøge almindelige forklaringer.
At opgive at finde papiroriginalen.