Kan klientens egen IT-afdeling sikre beviserne?

Når en virksomhed kommer i en tvist, er det naturligt at bede den interne IT-afdeling eller den faste IT-leverandør om at finde og sikre de relevante data. De kender systemerne, de har adgangen, og de er der allerede. I mange sager er deres indsats både nødvendig og tilstrækkelig. Men der er situationer, hvor det kan svække beviset, at det er klientens egne folk, der har sikret det.

Artiklen beskriver, hvad IT-afdelingen godt kan, hvor risikoen ligger, og hvordan samarbejdet med en uvildig IT-sagkyndig kan tilrettelægges.

Hvad IT-afdelingen godt kan

Der er opgaver, som klientens IT bør løse med det samme, uanset om der senere kommer en ekstern sagkyndig ind:

Stoppe automatisk sletning. Opbevaringsregler i mailsystemet, rotation af logfiler og sletning af backup kan fjerne data, mens sagen forberedes. → Bevarelsespligt og litigation hold
Bevare konti og enheder. En fratrådt medarbejders postkasse, bærbare computer og telefon bør ikke slettes, geninstalleres eller gives videre. → Fjernsletning af firmatelefon
Kortlægge systemerne. Hvilke systemer rummer de relevante data, hvor længe gemmes de, og hvem har adgang? → Skabelon: datakort
Eksportere standarddata med log. Mange systemer har indbyggede funktioner til at eksportere postkasser, filer eller logdata. Kører eksporten gennem systemets egne værktøjer, efterlader den ofte selv et spor i systemets log. → Slettet mail i Microsoft 365
Give adgang og oplysninger til en ekstern sagkyndig, når det bliver relevant.

Det vigtigste er, at IT-afdelingen ikke rydder op, flytter rundt eller “undersøger lidt selv” uden en plan. Det er ofte de første, velmente skridt, der ændrer sporene.

Risici ved at lade klientens egne folk sikre

Ændrede metadata

Åbnes en fil, kopieres den med almindelige værktøjer, eller logger en administrator ind som brugeren, kan tidsstempler og logposter ændre sig. Det gør det sværere bagefter at vise, hvad der skete hvornår. Sådanne ændringer er sjældent afgørende i sig selv, men de giver modparten noget at pege på. → Metadata i advokatens dokumenter

Manglende dokumentation

En intern eksport er sjældent beskrevet, så en udenforstående kan følge den. Hvem gjorde hvad, hvornår, med hvilket værktøj, og hvordan kan det vises, at materialet ikke er ændret siden? Uden hashværdier og en skriftlig beskrivelse er det svært at svare præcist, når modparten spørger. → Sporbarhed i advokatens bevisarbejde

Vidnerollen

Den medarbejder, der har sikret data, kan blive indkaldt som vidne. Det er ikke i sig selv et problem, men medarbejderen skal kunne forklare fremgangsmåden under krydsforhør, og det er ikke alle, der er forberedt på det. → Vidneforklaring fra IT-medarbejdere

Habilitet og egen interesse

IT-afdelingen er ansat af klienten, og en ekstern IT-leverandør har et kundeforhold. Det betyder ikke, at de er uærlige, men modparten kan sætte spørgsmålstegn ved, om der er sikret og udvalgt neutralt. Problemet er størst, hvis IT-afdelingen selv er en del af det, sagen handler om, fx ved en tvist om et IT-system, de har drevet, en sikkerhedshændelse, de skulle have forhindret, eller en kollegas adfærd. → IT-leverandørens egen dokumentation og Uvildighed hos IT-sagkyndige

Modpartens indsigelser

Når modparten indvender, at materialet er udvalgt, ufuldstændigt eller ændret, skal klienten kunne svare med dokumentation. Hvis det ikke kan lade sig gøre, kan indsigelsen påvirke den vægt, beviset tillægges. → Indsigelse mod et digitalt bevis’ ægthed

Private data

Interne undersøgelser af medarbejderes postkasser og enheder rejser spørgsmål om privatliv og databeskyttelse. IT-afdelingen bør ikke selv vurdere, hvad der er privat, og hvad der må gennemgås. → Private data på arbejdsudstyr

Hvornår en uvildig IT-sagkyndig bør overtage

En god tommelfingerregel er at lade klientens IT bevare og en uvildig sagkyndig sikre og undersøge, når et eller flere af følgende gælder:

ægtheden eller fuldstændigheden af materialet må forventes bestridt,
sagen handler om slettede data, ændrede filer eller tidspunkter,
IT-afdelingen eller leverandøren er selv involveret i forholdet,
der skal sikres fra enheder, som en medarbejder eller tidligere medarbejder har brugt,
modparten eller retten forventes at stille spørgsmål til metoden,
resultatet skal bruges i en sagkyndig erklæring. → IT-erklæring

Er sagen enkel, og er materialet ikke bestridt, kan en intern eksport med en god beskrivelse være tilstrækkelig. Det er en vurdering, advokaten bør tage tidligt, fordi det er svært at rette op bagefter.

Sådan tilrettelægges samarbejdet

Det bedste resultat opnås typisk, når klientens IT og den eksterne sagkyndige arbejder sammen med klare roller:

Advokaten styrer. Opdraget kommer fra advokaten, og al kommunikation om sagen går gennem advokaten eller med advokatens viden. → Opdraget til den IT-sagkyndige
IT-afdelingen bevarer og giver adgang. De stopper sletning, peger på systemerne og giver den sagkyndige de nødvendige rettigheder.
Den sagkyndige sikrer og dokumenterer. Sikringen sker med beskrevet metode, hashværdier og en log over, hvem der har haft adgang til materialet.
Intern viden skrives ned. IT-afdelingens oplysninger om systemopsætning, opbevaringsregler og ændringer bør beskrives skriftligt, så de kan indgå i dokumentationen.
Gennemgangen afgrænses. Den sagkyndige sorterer efter aftalt afgrænsning, så private og fortrolige oplysninger holdes ude. → Fortrolig korrespondance i digitalt materiale

Er data allerede sikret internt, kan en ekstern sagkyndig ofte stadig hjælpe ved at beskrive, hvad der er gjort, kontrollere det sikrede og supplere med det, der mangler. Det kan styrke materialet, selv om det ikke kan gøre de første skridt om. → Second opinion på en IT-erklæring

Sådan kan Nielco IT bistå

Nielco IT kan hjælpe klientens IT-afdeling eller IT-leverandør med de første bevarende skridt, overtage sikringen, hvor uvildighed og dokumentation er vigtig, og beskrive forløbet, så det kan forklares for modparten og retten. Nielco IT sælger ikke produkter og har ingen leverandørpartnerskaber. Læs mere om IT-sagkyndig bistand for advokater, eller send en sag.