Digitale bilag rummer ofte langt flere personer end sagens parter. Et udtræk fra et CRM-system kan indeholde hundredvis af kunder. En mailtråd kan have kolleger, leverandører og familiemedlemmer på kopi. Et foto kan vise naboer, og en logfil kan rumme brugernavne på alle virksomhedens medarbejdere. Advokater spørger derfor ofte, om der kan nedlægges navneforbud. I civile sager er svaret som regel, at beskyttelsen skal findes andre steder, og at meget af den ligger i, hvordan bilagene laves.
Navneforbud er en straffesagsregel
Efter retsplejelovens § 31 kan retten forbyde offentlig gengivelse af navn, stilling eller bopæl for personer, der er nævnt under sagen. Bestemmelsen er udtrykkeligt begrænset til straffesager. Det samme gælder referatforbud efter § 30.
I civile sager er der andre værktøjer:
- Dørlukning efter § 29, herunder efter anmodning fra parterne i borgerlige sager, når betingelserne er opfyldt. Dørlukning er behandlet i Lukkede døre og forretningshemmeligheder i retten.
- Begrænsning af aktindsigt. Efter § 41 e, stk. 4, kan den myndighed, der behandler en anmodning om aktindsigt, bestemme, at et dokument anonymiseres, hvis det indeholder oplysninger om enkeltpersoners rent private forhold eller virksomheders erhvervshemmeligheder. Efter § 41 e, stk. 5, er personnummer ikke omfattet af retten til aktindsigt.
- Det, parterne selv fremlægger. Den mest effektive beskyttelse er at undlade at fremlægge oplysninger, der ikke er nødvendige for sagen.
Start med dataminimering
Før spørgsmålet om anonymisering opstår, bør det overvejes, om oplysningerne overhovedet skal med. Det er både et databeskyttelseshensyn og et bevishensyn. Et bilag med 3.000 rækker, hvor kun 40 er relevante, er sværere for retten at bruge. → GDPR: advokatens behandling af modpartens persondata
Spørg i hvert tilfælde:
- Hvilket bevistema skal bilaget belyse?
- Hvilke kolonner, felter eller beskeder er nødvendige for det?
- Kan udtrækket afgrænses til en periode, en konto eller en kunde?
Afgrænsningen skal dokumenteres, så modparten kan se, hvad der er udeladt og hvorfor. Ellers bliver bilaget angrebet som et udvalg. → Modparten fremlægger kun udvalgte beskeder
Anonymisering eller pseudonymisering
De to ord bruges ofte i flæng, men de dækker over noget forskelligt.
- Anonymisering betyder, at personen ikke kan identificeres ud fra bilaget. Navnet fjernes eller erstattes af noget, der ikke kan føres tilbage.
- Pseudonymisering betyder, at navnet erstattes af en kode, for eksempel “Kunde 017”, og at koblingen mellem kode og person gemmes et andet sted.
I retssager er pseudonymisering ofte det mest brugbare. Retten kan følge den samme kunde gennem flere bilag, og hvis identiteten senere bliver relevant, kan nøglen fremlægges eller stilles til rådighed under de rammer, retten fastsætter. Det kræver, at koden er den samme i alle bilag. Kaldes den samme person “Kunde 017” i ét bilag og “K-17” i et andet, opstår der tvivl.
Hvor navnene gemmer sig i digitale filer
Det synlige navn er sjældent det eneste. En korrekt anonymisering skal også tage hånd om:
- Mails: Navne og adresser i header, signatur, citeret tekst i svar og videresendte beskeder samt i vedhæftede filers navne.
- Regneark: Skjulte kolonner og ark, kommentarer, filtre, formler, der henter navne fra andre celler, og gemte versioner.
- Logfiler: Brugernavne, mailadresser, maskinnavne som “PC-JENSEN” og IP-adresser, der kan føres tilbage til en bestemt person.
- Fotos: Ansigter og nummerplader i billedet, men også GPS-koordinater og enhedsoplysninger i metadata.
- Dokumenter: Forfatterfelt, revisionshistorik og kommentarer. → Metadata i advokatens egne dokumenter
- Filnavne og mappenavne, der ofte indeholder kundenavne eller sagsnumre.
Hvordan tekst fjernes teknisk korrekt fra en PDF, er beskrevet i Overstregning i bilag: når den sorte boks ikke fjerner teksten.
Bevar beviset, mens navnene fjernes
Anonymisering ændrer bilaget. Derfor gælder de samme principper som for al anden bearbejdning:
- Sikr originalen med hashværdi, før der ændres noget.
- Lav den anonymiserede version som en ny fil.
- Før en log over, hvilke felter der er ændret, med hvilken metode og af hvem.
- Gem nøglen til pseudonymerne adskilt fra bilaget og med begrænset adgang.
Så kan en sagkyndig senere bekræfte, at den anonymiserede version svarer til originalen på alle andre punkter end de fjernede oplysninger.
Når anonymisering skader beviset
Nogle gange er identiteten selve beviset. Hvis sagen handler om, hvem der loggede på en konto, kan brugernavnet ikke fjernes. Hvis det afgørende er, at en mail gik til en bestemt modtager, skal modtageren fremgå. Her må beskyttelsen findes i afgrænsning, i aftaler med modparten om fortrolighed og eventuelt i dørlukning, ikke i anonymisering.
Det er også en god idé at aftale fremgangsmåden med modparten. Ensartet pseudonymisering på begge sider gør sagen lettere at følge og mindsker risikoen for indsigelser.
Regneark og logs i praksis
Pseudonymisering af et regneark eller en log går bedst, når den sker systematisk frem for manuelt. Manuel søg-og-erstat overser stavevarianter, forkortelser og navne, der indgår i mailadresser. En systematisk metode bygger på en liste over de identifikatorer, der skal erstattes: navne, mailadresser, telefonnumre, kundenumre og brugernavne. Listen bruges til at erstatte konsekvent i alle bilag, og den samme liste bliver til nøglen.
Bagefter bør resultatet kontrolleres. Søg i den anonymiserede fil efter de oprindelige værdier, og gennemgå en stikprøve manuelt. Vær særligt opmærksom på fritekstfelter som kommentarer og beskrivelser, hvor navne står i løbende tekst. Kontrollen bør noteres sammen med loggen over ændringer.
Husk også, at sammenhængen kan afsløre en person, selv om navnet er fjernet. En kombination af stilling, afdeling og tidspunkt kan pege entydigt på én medarbejder i en lille virksomhed. Om det er acceptabelt, må vurderes i den konkrete sag. I så fald kan det være nødvendigt også at gøre stillingsbetegnelser og afdelinger mere generelle, så kombinationen ikke peger på én bestemt person.
Typiske fejl
- At regne med, at der kan nedlægges navneforbud i en civil sag.
- At fjerne navnet i teksten, men ikke i metadata, filnavn eller skjulte kolonner.
- At bruge forskellige pseudonymer for samme person i forskellige bilag.
- At anonymisere uden at gemme originalen og en log over ændringerne.
- At anonymisere oplysninger, som er afgørende for bevistemaet.
Tjekliste
- ☐ Det er afklaret, hvilke beskyttelsesregler der faktisk gælder i sagen
- ☐ Bilaget er afgrænset til det, bevistemaet kræver
- ☐ Originalen er sikret med hashværdi
- ☐ Pseudonymer er ensartede på tværs af bilag
- ☐ Metadata, skjulte felter og filnavne er gennemgået
- ☐ Ændringerne er logget, og nøglen opbevares adskilt
- ☐ Fremgangsmåden er drøftet med modparten
→ Haster det? Sådan sikres beviserne nu · Tlf. 70 13 63 23 · Digital bevissikring for advokater hos Nielco IT
