Opdraget til den IT‑sagkyndige: sådan formuleres det

Opdraget er det dokument, der styrer hele den IT-sagkyndiges arbejde. Det afgør, hvilke data der undersøges, hvilke spørgsmål der besvares, og hvordan resultatet afleveres. Et uklart opdrag giver en uklar erklæring, og et ensidigt opdrag giver en erklæring, som modparten let kan så tvivl om. Denne artikel gennemgår, hvad advokaten bør have med, set fra den sagkyndiges side.

Hvorfor opdraget er så vigtigt

En IT-sagkyndig kan undersøge næsten alt på en computer eller i en cloudkonto. Det er netop problemet. Uden en klar ramme bliver undersøgelsen enten for bred og dyr eller for snæver og overser det afgørende. Opdraget skal derfor gøre tre ting:

afgrænse materialet og perioden,
formulere de spørgsmål, der skal besvares,
fastlægge leverancen, så resultatet kan bruges i sagen.

Opdraget bliver ofte læst af modparten og retten senere. Det bør kunne tåle det.

Afgrænsning: hvad skal undersøges?

Datakilder

Skriv konkret, hvilke kilder der er omfattet. “Klientens IT” er ikke en afgrænsning. Bedre er fx:

den bærbare computer, som medarbejderen afleverede ved fratrædelsen,
postkassen tilhørende den pågældende brugerkonto i virksomhedens mailsystem,
den delte mappe på virksomhedens fildrev med projektmaterialet.

Oplys også, hvor kilderne befinder sig, hvem der har adgang, og om de stadig er i brug. Det har betydning for, hvordan sikringen skal ske.

Periode

Angiv en periode med datoer. Er perioden usikker, så skriv det, og bed den sagkyndige om at vurdere, om spor uden for perioden er relevante. En for snæver periode kan udelukke det afgørende forløb.

Hvad er allerede sket med data?

Den sagkyndige skal vide, om nogen har åbnet, kopieret, videresendt eller slettet noget efter hændelsen. Det er ikke en fejl, der skal skjules. Det er en oplysning, der skal indgå i vurderingen, og som ellers kan dukke op som en overraskelse under krydsforhøret.

Spørgsmålene: neutrale og besvarlige

Spørgsmålene er kernen. De skal være neutrale, tekniske og mulige at besvare ud fra data.

“Bevis, at modparten har ændret dokumentet” · “Er der spor af, at dokumentet [filnavn] er ændret efter [dato]? Beskriv i givet fald, hvornår og fra hvilken brugerkonto”
“Hvem har lækket filen?” · “Er filen [filnavn] blevet sendt, uploadet eller kopieret til eksterne medier fra de undersøgte kilder i perioden?”
“Er mailen falsk?” · “Er der tekniske uoverensstemmelser i mailens header og metadata, som taler for eller imod, at den er afsendt som angivet?”
“Gennemgå alt og find noget” · “Gennemgå loginaktiviteten for brugerkontoen [x] i perioden med fokus på adgang fra ukendte enheder eller lokationer”

To principper hjælper:

Spørg om spor, ikke om skyld. Data kan vise, at en konto gjorde noget. De kan sjældent vise, hvem der sad ved tastaturet, eller hvorfor.
Spørg åbent nok til, at svaret kan blive nej. Et spørgsmål, der kun kan besvares bekræftende, gør erklæringen mindre troværdig.

Bed også den sagkyndige om at beskrive alternative forklaringer, hvis de findes. Det er bedre, at de står i egen erklæring end i modpartens.

Leverancer: hvad skal der komme ud af det?

Aftal leverancen før arbejdet går i gang. Typiske elementer:

Sikringsrapport med beskrivelse af metode, værktøjer og hashværdier.
Erklæring med svar på spørgsmålene, adskilt i fakta, vurderinger og forbehold.
Bilag med de relevante udtræk i et læsbart format, fx tidslinjer eller tabeller.
Opbevaring af de sikrede data og en aftale om, hvor længe de gemmes.

Aftal også, om der skal leveres et kort mundtligt foreløbigt svar, før den skriftlige erklæring udarbejdes. Det kan spare tid, hvis svaret ændrer sagens retning. Men vær opmærksom på, at et foreløbigt svar ikke er det endelige, og at det bør fremgå, hvad der er sket fra det ene til det andet.

Materiale, der skal følge med opdraget

Den sagkyndige arbejder bedst, når der ikke skal gættes. Send derfor sammen med opdraget:

en liste over relevante personer, brugernavne og mailadresser,
kendte filnavne, projektnavne og interne forkortelser,
relevante datoer, fx fratrædelse, ophør af en aftale eller et bestemt møde,
kopi af den korrespondance, der allerede er udvekslet om dataene.

Undlad at sende interne notater om sagens styrke. De hører ikke til i den sagkyndiges grundlag.

Rækkefølgen i et godt opdrag

Kort beskrivelse af baggrunden, neutralt formuleret.
Hvilke datakilder der er omfattet, og hvor de befinder sig.
Perioden.
Kendte ændringer i data efter hændelsen.
Spørgsmålene, nummererede.
Ønsket leverance og tidsplan.
Kontaktperson hos klienten for praktiske spørgsmål.

Typiske fejl

Baggrunden er skrevet som et indlæg. Den sagkyndige skal kende sagen, men opdraget bør ikke indeholde advokatens argumentation.
Spørgsmålene er juridiske. “Har medarbejderen overtrådt sin loyalitetspligt?” kan en IT-sagkyndig ikke svare på. Det er advokatens vurdering.
Opdraget ændres mundtligt undervejs uden at blive skrevet ned. Senere kan ingen redegøre for, hvorfor undersøgelsen tog en bestemt retning.
Der mangler en budgetramme. Uden en ramme eller et stoppunkt kan omfanget vokse. → Omkostninger til IT-sagkyndig bistand
Der mangler en plan for skøn. Hvis en partsindhentet erklæring senere skal følges af syn og skøn, bør spørgsmålene kunne genbruges eller tilpasses. → Partsindhentet erklæring eller skønserklæring?

Når opdraget ændres undervejs

Det er normalt, at en undersøgelse rejser nye spørgsmål. Et eksempel: Den sagkyndige finder spor af en USB-enhed, som ikke var nævnt i opdraget. Så skal advokaten tage stilling til, om opdraget skal udvides.

Gør det skriftligt. Et kort tillæg med nyt spørgsmål, begrundelse og dato er nok. Det gør det muligt bagefter at vise, at undersøgelsen fulgte en plan og ikke blev styret af ønsket resultat.

Når det er et skønstema

Ved syn og skøn er det retten, der udmelder skønsmanden, og begge parter kan stille spørgsmål. Mange af de samme principper gælder dog: konkrete datakilder, en klar periode og spørgsmål om tekniske spor frem for juridiske konklusioner. → Syn og skøn i IT-sager

En partsindhentet undersøgelse kan være et godt grundlag for at formulere et præcist skønstema, fordi man ved, hvilke data der findes.