Medarbejderens private data på arbejdsudstyr

En arbejdscomputer eller en firmatelefon er sjældent kun brugt til arbejde. Der ligger private mails, billeder, netbank, beskeder til familie og måske helbredsoplysninger. Når udstyret skal bevissikres i en civil sag, skal de private data håndteres, så medarbejderens privatliv respekteres, og så beviset ikke svækkes af, at der er set på mere end nødvendigt.

Hvad må arbejdsgiveren?

Det afhænger af blandt andet virksomhedens IT-politik, om medarbejderen er orienteret, formålet og proportionaliteten. Den juridiske vurdering skal være på plads før gennemgangen. Denne artikel handler om de tekniske muligheder.

Spørgsmål før gennemgangen

Bed klienten om svar på disse spørgsmål, før den IT-sagkyndige går i gang:

Hvilken IT-politik har medarbejderen fået, og hvad står der om privat brug?
Er medarbejderen orienteret om, at udstyret kan blive undersøgt, og hvordan er det sket?
Hvad er mistanken konkret, og hvilken periode drejer det sig om?
Er udstyret stadig i brug, eller er det taget ud af drift?
Har nogen hos klienten allerede kigget på udstyret, og i så fald hvad og hvornår?

Det sidste spørgsmål er vigtigt. En leder, der selv har bladret i en medarbejders filer, kan have ændret metadata og skabt spørgsmål om, hvad der er set. Det skal frem tidligt, så det kan beskrives ærligt. → IT-politik og orientering af medarbejdere

Hvor ligger de private data?

Computer · Mappen “Privat”, downloads, billeder, browserhistorik
Browser · Private mailkonti, sociale medier, gemte adgangskoder
Telefon · Billeder, private apps, beskeder, sundhedsdata
Cloud · Private Dropbox, Google Drive eller iCloud synkroniseret til arbejdsenheden
Mail · Private mails i arbejdspostkassen

Sikring og gennemgang er to forskellige ting

En forensisk kopi af udstyret indeholder også de private data. Det er normalt nødvendigt for at sikre beviset korrekt. Det afgørende er, hvad der derefter gennemgås. → GDPR og bevisførelse

Adskillelsen giver også en praktisk fordel. Er kopien sikret korrekt, kan afgrænsningen af gennemgangen justeres senere, uden at der skal sikres igen.

Tekniske greb til adskillelse

Afgrænsning på mapper: Mapper med navne som “Privat” eller “Personligt” udelades.
Afgrænsning på søgeord: Der søges kun på arbejdsrelaterede ord som kundenavne og projektnavne.
Afgrænsning på filtyper: For eksempel kun dokumenter og regneark, ikke billeder.
Afgrænsning på konti: Kun arbejdskonti, ikke private mailkonti i browseren.
Metadata før indhold: Ofte kan sagen afklares ud fra metadata, for eksempel at en fil er kopieret til et USB-drev, uden at private filer åbnes.

Hvad metadata kan og ikke kan vise

Metadata og systemspor kan ofte besvare spørgsmålet uden at private filer åbnes. Et eksempel: Spørgsmålet er, om kundelister er kopieret til et eksternt drev. Systemspor kan vise, at et bestemt drev har været tilsluttet, og hvilke filnavne der er åbnet fra det. → Windows-artefakter: LNK, jumplists, shellbags og USB

Begrænsningerne skal dog med:

Metadata viser, at noget er sket på enheden, ikke nødvendigvis hvem der gjorde det.
Filnavne kan i sig selv være private og bør behandles med samme varsomhed som indhold.
Browserhistorik blander ofte arbejde og privatliv og bør afgrænses på domæner eller perioder. → Browserhistorik som bevis

Når private data er relevante

Nogle gange er det netop private konti, der er relevante, for eksempel hvis arbejdsfiler er sendt til en privat mailkonto. Her kan det ofte konstateres ud fra arbejdssystemerne (afsendte mails, revisionslog), uden at den private konto skal åbnes. Adgang til private konti kræver særskilt vurdering.

En gemt adgangskode eller en åben session i browseren betyder ikke, at det er i orden at logge ind på medarbejderens private konto. Det bør den sagkyndige ikke gøre uden en klar juridisk vurdering.

Medarbejderens tilstedeværelse og samtykke

Det kan være en fordel at tilbyde medarbejderen at være til stede ved gennemgangen, eller at markere private filer på forhånd. Det styrker processen og mindsker risikoen for indsigelser.

Hvis den IT-sagkyndige støder på noget privat

Aftal på forhånd:

at private data ikke åbnes, når de identificeres,
at fund af private data noteres uden indhold,
hvem der beslutter, hvis der opstår tvivl.

Gode og dårlige formuleringer i opdraget

“Se om der er noget mistænkeligt på computeren” · “Undersøg, om filer fra de angivne kundemapper er kopieret eller sendt ud af virksomheden i den angivne periode”
“Vi stoler på, at du sorterer det private fra” · “Mapper og konti, der fremstår private, udelades. Er der tvivl, kontaktes advokaten, før indholdet åbnes”
“Send os det, du finder” · “Udlevér en rapport med fund og metode. Private data udleveres ikke”

Indsigelser, advokaten kan forvente

Når medarbejderen eller medarbejderens advokat ser resultatet af en gennemgang, kommer der ofte indsigelser, der handler om processen frem for fundene. Det er en fordel at have svarene klar på forhånd:

“Arbejdsgiveren har læst mine private beskeder.” Svaret ligger i den dokumenterede afgrænsning: hvilke mapper, konti og søgeord der er brugt, og hvad der er udeladt.
“Filerne er plantet eller ændret efter fratrædelsen.” Her er det afgørende, hvornår udstyret blev taget ud af brug, hvem der har haft det, og at der findes hashværdier fra sikringen. → Kæde af ansvar
“Det var ikke mig, der brugte computeren.” Metadata viser brugerkontoen, ikke personen. Den IT-sagkyndige kan undersøge, om andre har haft adgang, om kontoen var logget ind fra andre steder, og om aktiviteten passer med for eksempel ferie eller sygdom.
“Filen var min egen.” Om et dokument er privat eller arbejdsrelateret, kan ofte belyses ud fra oprettelsessted, filsti og indhold i metadata, men den endelige vurdering er ikke teknisk.

En gennemgang, der er afgrænset og dokumenteret fra starten, gør de fleste af disse indsigelser lette at besvare. En gennemgang, hvor nogen har kigget først og sikret bagefter, gør dem svære. → Indsigelse mod et digitalt bevis’ ægthed