Når modparten fremlægger en IT-erklæring, er det sjældent konklusionen, der er svagest. Det er grundlaget: hvilke data den sagkyndige fik, hvem der udvalgte dem, hvordan de blev sikret, og hvad der ikke blev undersøgt. Denne skabelon er et katalog af spørgsmål, der afdækker grundlaget. Den kan bruges til en skriftlig opfordring, til supplerende spørgsmål eller som forberedelse til afhøring. Skabelonen er et teknisk udgangspunkt, ikke juridisk rådgivning, og skal tilpasses sagen af advokaten.
Hvordan en erklæring fra modparten vurderes, er beskrevet i Modpartens IT-sagkyndige og Sådan læser du en IT-sagkyndig rapport.
Hvilken ramme spørgsmålene bruges i
- Partsindhentet erklæring. Efter retsplejelovens § 341 a kan en erklæring om tekniske forhold, som en part har indhentet før sagsanlægget, som udgangspunkt fremlægges. Spørgsmålene kan stilles som en opfordring til modparten. Se Opfordring og processuel skadevirkning ved digitale data.
- Skønserklæring. Efter § 205 kan parterne efter rettens bestemmelse stille supplerende spørgsmål til skønsmanden. Se Supplerende spørgsmål til skønsmanden.
- Afhøring i retten. Spørgsmålene kan omformes til afhøring. Se Krydsforhør af en IT-sagkyndig.
Sådan bruger du skabelonen
- Læs erklæringen først med kataloget ved siden af. Markér de spørgsmål, erklæringen allerede besvarer. De andre er kandidater.
- Vælg få og præcise spørgsmål. Ti skarpe spørgsmål er bedre end fyrre. Brede spørgsmål giver brede svar.
- Formulér neutralt. Spørgsmål, der kan besvares med fakta, er sværere at undvige end spørgsmål, der indeholder en påstand.
- Henvis til konkrete afsnit. Skriv “I afsnit [x] anføres …”, så svaret knyttes til erklæringen.
Skabelonen
A. Opdrag og forudsætninger
- Hvilket skriftligt opdrag har den sagkyndige modtaget? Bedes fremlagt.
- Hvilke oplysninger om sagen har den sagkyndige fået, ud over opdraget?
- Har den sagkyndige fået forudsætninger, som er lagt til grund uden at blive undersøgt? Hvilke?
- Har den sagkyndige tidligere udført opgaver for [part] eller dennes advokat? Se Uvildighed og inhabilitet hos IT-sagkyndige.
B. Datagrundlag
- Hvilke enheder, konti og systemer har den sagkyndige modtaget data fra? Angiv model, serienummer eller konto-id.
- Hvem har udvalgt de data, den sagkyndige har modtaget?
- Har den sagkyndige haft adgang til hele enheden eller kontoen, eller kun til et udtræk?
- Er der data, den sagkyndige har bedt om, men ikke fået?
- For hvilken periode dækker de undersøgte data, og er der huller i perioden?
C. Sikring
- Hvem har sikret dataene, hvornår og med hvilken metode?
- Er sikringen foretaget som fuld kopi, logisk udtræk eller eksport fra systemet?
- Hvilke hashværdier blev beregnet ved sikringen, og er de kontrolleret senere?
- Har enheden eller kontoen været i brug mellem hændelsen og sikringen? Hvad ved den sagkyndige om det?
- Hvordan er dataene opbevaret, og hvem har haft adgang til dem?
D. Værktøjer og versioner
- Hvilke værktøjer er brugt til sikring og analyse? Angiv navn og versionsnummer.
- Er resultaterne kontrolleret med et andet værktøj eller manuelt?
- Er der kendte begrænsninger i værktøjet for den type data, der er undersøgt, fx en bestemt app- eller systemversion?
- Hvilken version af operativsystem og apps var installeret på enheden?
E. Søgning og fravalg
- Hvilke søgeord, filtre og afgrænsninger er brugt? Bedes oplyst præcis som anvendt.
- Hvor mange træffere gav søgningerne, og hvor mange er gennemgået?
- Er der materiale, der er fravalgt som irrelevant? Efter hvilke kriterier, og af hvem?
- Er slettede data, ikke-allokeret plads, backup og synkroniserede kopier undersøgt?
F. Tidsstempler
- Hvilken tidszone er tidsstemplerne i erklæringen angivet i?
- Hvilke tidsstempler bygger konklusionerne på: oprettet, ændret, tilgået, sendt eller modtaget?
- Er enhedens ur kontrolleret mod en ekstern kilde?
G. Konklusioner og alternativer
- Hvilke konkrete fund ligger til grund for konklusionen i afsnit [x]?
- Hvilke andre forklaringer på fundene har den sagkyndige overvejet, og hvorfor er de afvist?
- Kan fundene forenes med [klientens forklaring]? Hvis ikke, hvilke fund taler imod?
- Hvor sikker er konklusionen, og hvad skulle der til for at ændre den?
- Kan undersøgelsen gentages af en anden sagkyndig på grundlag af de samme data?
H. Adgang for egen sagkyndig
- Kan de data, erklæringen bygger på, stilles til rådighed for [klientens sagkyndige] i samme form, med hashværdier?
I. Tillæg efter datatype
Vælg de spørgsmål, der passer til det materiale, erklæringen bygger på.
- Er mailene undersøgt som originale filer med fuld header, eller som udskrifter eller videresendte kopier?
- Er headerne kontrolleret for afsenderserver, signaturer og tidsstempler fra de servere, mailen har passeret?
Telefon og beskeder
- Er beskederne hentet fra telefonen selv, fra en backup eller fra en eksport i appen?
- Er der undersøgt for slettede beskeder, og med hvilket resultat?
- Er der beskeder i samtalen, som ikke er medtaget i erklæringen? Hvorfor ikke?
Cloud og logdata
- Hvilken licens og hvilke logindstillinger gjaldt for kontoen i perioden?
- Er logdata hentet direkte af den sagkyndige, eller er de modtaget fra en administrator?
- Hvordan er IP-adresser og enheder i loggen knyttet til bestemte personer?
Praktisk rækkefølge
- Bed om grundlaget først (afsnit A til C). Uden datagrundlaget kan de øvrige svar ikke vurderes.
- Stil derefter metodespørgsmål (D til F), når det er kendt, hvad der er undersøgt.
- Spørg til konklusioner og alternativer til sidst (G), med henvisning til de konkrete fund.
- Afklar adgang for egen sagkyndig (H) tidligt, hvis klienten selv skal have materialet undersøgt.
Sådan læses svarene
Et svar er ikke kun interessant for det, det siger, men også for det, det ikke siger. Læg mærke til:
- Generelle svar på konkrete spørgsmål. “Der er anvendt anerkendte metoder” besvarer ikke, hvilket værktøj og hvilken version der er brugt.
- Henvisninger til opdraget. Svarer den sagkyndige, at et forhold ikke var omfattet af opdraget, er det en oplysning om undersøgelsens rækkevidde.
- Afvigelser fra erklæringen. Ændres tidspunkter, antal eller formuleringer i forhold til erklæringen, bør det noteres og forelægges egen sagkyndig.
- Data, der ikke længere findes. Er grundlaget slettet eller returneret, kan resultatet ikke efterprøves. Det kan have betydning for vægten.
Svarene bør gennemgås af en IT-sagkyndig på klientens side, før de bruges i processkrifter eller afhøring. Ofte giver svarene anledning til en kort runde opfølgende spørgsmål.
Gode og dårlige formuleringer
- Dårligt: “Er det ikke korrekt, at undersøgelsen er mangelfuld?”
- Bedre: “Er backup af telefonen fra perioden [x] undersøgt? Hvis ikke, hvorfor ikke?”
- Dårligt: “Hvordan kan den sagkyndige vide, hvem der skrev mailen?”
- Bedre: “Hvilke konkrete fund knytter mailen til [person] frem for andre med adgang til kontoen?”
Typiske fejl
- Kun konklusionen angribes. Spørgsmål til datagrundlaget giver ofte mere.
- For mange spørgsmål. De vigtige drukner, og svaret bliver overfladisk.
- Ledende formuleringer. De inviterer til et forsvar frem for et faktuelt svar.
- Ingen egen sagkyndig. Svarene skal vurderes af nogen, der kan læse dem teknisk.
→ Send en sag · Tlf. 70 13 63 23 · IT-sagkyndig og skønsmand hos Nielco IT
