Skabelon: opdrag til en partsindhentet IT‑erklæring

Denne skabelon er et opdragsbrev fra advokaten til en IT-sagkyndig, der skal udarbejde en partsindhentet erklæring om digitale beviser. Den samler afgrænsning, spørgsmål og leverancer i én fast rækkefølge, så intet glemmes. Skabelonen er et teknisk udgangspunkt, ikke juridisk rådgivning, og skal tilpasses sagen af advokaten.

Hvad der kendetegner et neutralt og besvarligt opdrag, er forklaret i Opdraget til den IT-sagkyndige. Forskellen på en partsindhentet erklæring og en skønserklæring står i Partsindhentet erklæring eller skønserklæring?.

Sådan bruger du skabelonen

1. Skriv baggrunden, som om modparten læser med. Opdraget kan blive fremlagt sammen med erklæringen.
2. Udfyld datakilder og periode, før spørgsmålene skrives. Spørgsmålene skal pege på konkrete data.
3. Vælg spørgsmål med omtanke. Eksemplerne er et katalog. Behold kun dem, der er relevante.
4. Aftal leverancer og budget i samme dokument. Det giver én reference, hvis opgaven senere ændres.

Skabelonen

Opdragsbrev

Til: [IT-sagkyndig, firma]

Fra: [advokat, advokatfirma], på vegne af [klientens navn]

Dato: [dato]

Vedrørende: Opdrag om teknisk undersøgelse og erklæring

1. Baggrund

[Klientens navn] har [kort, neutral beskrivelse af forløbet, fx “den [dato] modtaget en henvendelse fra [modpart] om …”]. Der er behov for en teknisk undersøgelse af, hvad de tilgængelige data viser om [emne].

Beskrivelsen er alene til orientering og udgør ikke et grundlag, som erklæringen skal bekræfte.

2. Datakilder

Undersøgelsen omfatter følgende kilder:

1. [Enhed], [model, serienummer], som befinder sig hos [person/sted]. Status: [i brug/taget ud af brug den [dato]/allerede sikret den [dato]].
2. Postkasse tilhørende [brugerkonto], i [Microsoft 365/Google Workspace/andet].
3. Fildeling: [OneDrive/SharePoint/Google Drive/fællesdrev], mappen [sti].
4. [System], logdata for brugerkontoen [konto].

Adgang til kilderne gives via [kontaktperson hos klienten]. Sikring af kilder, der ikke allerede er sikret, indgår i opdraget.

3. Periode

Fra og med [dato] til og med [dato]. Finder den sagkyndige spor uden for perioden, som kan være relevante, bedes det oplyst, før undersøgelsen udvides.

4. Kendte ændringer efter hændelsen

Følgende er sket med data efter [dato for hændelsen]:

• [fx “Computeren har været i brug af [person] fra [dato] til [dato].”]
• [fx “Mailen er videresendt internt til [person] den [dato].”]
• [eller: “Der er ikke kendskab til ændringer.”]

5. Spørgsmål

1. Er der på de undersøgte kilder spor af, at [filnavn/filer fra mappen] er kopieret, uploadet, sendt eller synkroniseret til andre placeringer i perioden? Beskriv i givet fald hvordan, hvornår og hvortil.
2. Hvornår er [dokument] ifølge metadata, filsystem og versionshistorik oprettet og senest ændret, og fra hvilken brugerkonto?
3. Hvilken loginaktivitet fremgår for [brugerkonto] i perioden, herunder fra hvilke enheder og lokationer, i det omfang det er registreret?
4. Er der tekniske uoverensstemmelser i [mailens] header og metadata, som taler for eller imod, at den er afsendt som angivet?
5. Findes der alternative tekniske forklaringer på de fund, der gøres, og hvilke data taler for og imod dem?
6. Er der data, som ville have været relevante, men som ikke findes eller ikke kunne undersøges?

6. Leverancer

1. Sikringsrapport med metode, værktøjer, tidspunkter og hashværdier.
2. Erklæring med svar på spørgsmålene, hvor fakta, vurderinger og forbehold er adskilt.
3. Bilag med relevante udtræk, fx tidslinje eller tabel over hændelser.
4. Foreløbig orientering mundtligt [ja/nej], før erklæringen skrives færdig. Det skal fremgå af erklæringen, hvis konklusionen er ændret siden.

7. Tidsplan og budget

Erklæringen ønskes leveret senest [dato]. Budgetramme: [ramme]. Viser det sig, at rammen ikke kan holdes, eller at nye spørgsmål opstår, kontaktes [advokat], før arbejdet fortsætter.

8. Opbevaring og fortrolighed

De sikrede data opbevares krypteret af den sagkyndige til [dato/sagens afslutning], og udleveres eller slettes derefter efter skriftlig aftale. Oplysninger, der kommer til den sagkyndiges kendskab, behandles fortroligt.

9. Ændringer af opdraget

Ændringer og udvidelser aftales skriftligt med dato og begrundelse som tillæg til dette brev.

Kontaktperson for praktiske spørgsmål: [navn, telefon, mail].

Supplerende eksempelspørgsmål

Spørgsmålene i afsnit 5 passer til sager om filer, mails og logins. Andre sagstyper kræver andre spørgsmål. Vælg og tilpas:

Beskeder på telefon

• Findes der i udtrækningen fra [telefon] beskeder i samtalen med [kontakt] i perioden, og er der spor af, at beskeder i samtalen er slettet?
• Er de skærmbilleder, klienten har fremlagt som bilag [nr.], i overensstemmelse med indholdet i udtrækningen?

IT-system og leverance

• Hvilke fejl er registreret i [fejlregister] for [system] i perioden, og kan de genskabes i et testmiljø?
• Hvilken version af [system] var i drift den [dato], og hvornår blev den seneste opdatering installeret?

Konto og adgang

• Er der i revisionsloggen for [konto] spor af regler for videresendelse, nye enheder eller ændrede adgangsoplysninger i perioden?

Spørgsmål til klienten før opdraget sendes

• Hvilke enheder og konti er relevante, og hvem har brugt dem siden hændelsen?
• Er noget allerede kopieret, videresendt eller undersøgt internt, og af hvem?
• Hvem hos klienten kan give den sagkyndige adgang og svare på praktiske spørgsmål?
• Er der data hos leverandører, som kræver en særskilt henvendelse?

Svarene bruges til afsnit 2 og 4. Det er bedre, at klienten oplyser en uheldig intern håndtering nu, end at den sagkyndige opdager den undervejs.

Kontrol før afsendelse

• ☐ Baggrunden er neutral og uden juridiske vurderinger
• ☐ Alle datakilder er beskrevet med status
• ☐ Kendte ændringer er oplyst
• ☐ Spørgsmålene giver plads til svar, der ikke støtter klienten
• ☐ Leverancer, tidsplan og opbevaring er aftalt
• ☐ Pladsholdere og interne noter er fjernet

Varianter

• Kun cloud, ingen enheder · Punkt 2 beskriver konti og tjenester. Tilføj, at revisionslog eksporteres straks, da den har begrænset opbevaring. Se Unified Audit Log i Microsoft 365.
• Telefon · Angiv model, styresystem og om koden er kendt. Spørgsmålene afgrænses til apps og samtaler.
• Data allerede sikret af andre · Vedlæg sikringsrapporten, og bed den sagkyndige om at kontrollere hashværdierne som første skridt.
• Vurdering af modpartens erklæring · Datakilderne erstattes af modpartens erklæring og bilag. Spørgsmålene handler om metode, datagrundlag og alternative forklaringer.

Typiske fejl

• Baggrunden argumenterer. Ord som “uberettiget” eller “tyveri” i baggrunden smitter af på erklæringens troværdighed.
• Kendte ændringer udelades. De kommer frem senere og svækker erklæringen mere, end hvis de var oplyst fra start.
• Spørgsmål kan kun besvares med ja. Et opdrag, der ikke tillader et nej, giver en erklæring, der er let at angribe.
• Leverancen er ikke aftalt. Erklæringen mangler sikringsrapport eller hashværdier.
• Ændringer aftales mundtligt. Bagefter kan ingen vise, hvorfor undersøgelsen tog en bestemt retning.
• Opbevaring er ikke aftalt. De sikrede data slettes, før en eventuel skønsmand kan bruge dem.
• Interne notater sendes med. Advokatens vurderinger af sagens styrke hører ikke til i den sagkyndiges grundlag og kan skade erklæringens troværdighed.

Når erklæringen kommer

Læs erklæringen op mod opdraget punkt for punkt: Er alle spørgsmål besvaret, er datagrundlaget beskrevet, og er forbeholdene tydelige? Er et svar uklart, stilles et skriftligt opfølgende spørgsmål som tillæg til opdraget. Se også Sådan læser du en IT-sagkyndig rapport.

→ Send en sag · Tlf. 70 13 63 23 · IT-sagkyndig og skønsmand hos Nielco IT