Når data er slettet: bevisforspildelse i civile sager

En af de mest frustrerende situationer i en sag er, når de data, der kunne afgøre den, ikke længere findes. Postkassen er slettet, telefonen er nulstillet, eller mappen på filserveren er tom. Spørgsmålet bliver så, om sletningen i sig selv kan få betydning.

Retten kan efter omstændighederne lægge vægt på, at en part ikke har efterkommet en opfordring til at fremlægge dokumenter. Den juridiske vurdering er advokatens. Men den forudsætter, at sletningen kan dokumenteres: hvad der blev slettet, hvornår, hvordan og af hvem. Denne artikel handler om den tekniske side af det.

Sletning er sjældent fuldstændig

Når en bruger sletter noget, forsvinder det ofte ikke med det samme. Det afhænger af systemet og af, hvor lang tid der er gået:

• Papirkurve og gendannelsesmapper: Mange systemer flytter slettede elementer til en mappe, hvor de ligger i en periode, før de fjernes endeligt.
• Versionshistorik: Cloudlagre og dokumentsystemer gemmer ofte tidligere versioner.
• Backup: Hvis der tages backup, kan data findes i en ældre kopi.
• Andre parters kopier: En mail, der er slettet hos afsender, findes ofte hos modtageren.
• Spor på disken: På traditionelle harddiske kan slettede filer ofte gendannes. På SSD-diske er det sværere, fordi disken selv rydder op i slettede områder.

Den første opgave er derfor ikke at konstatere, at data er væk. Det er at undersøge, om de findes et andet sted. → Kan slettede filer gendannes?

Hvad en gendannelse kan og ikke kan vise

Lykkes det at gendanne slettede data, er det vigtigt at vide, hvad resultatet kan bære:

• Gendannet indhold kan være ufuldstændigt. En fil kan være delvist overskrevet, så kun dele af teksten eller billedet er bevaret.
• Metadata følger ikke altid med. Filnavn, mappe og tidsstempler kan mangle eller være upræcise for gendannede filer, også selvom indholdet er intakt.
• En kopi fra backup viser tilstanden på backup-tidspunktet. Ændringer efter det tidspunkt fremgår ikke, og det kan være uklart, præcis hvornår data blev slettet.
• Fravær efter gendannelse er ikke et bevis. At en fil ikke kan gendannes, viser ikke, at den aldrig har eksisteret.

Bed derfor den IT-sagkyndige om at angive for hvert gendannet element, hvor det er fundet, hvor fuldstændigt det er, og hvilke oplysninger der ikke kunne fastslås. → Slettet mail i Microsoft 365

Sporene efter selve sletningen

Selvom indholdet er væk, kan handlingen ofte dokumenteres. Det er ofte mere værd i en sag om bevisforspildelse end selve indholdet, fordi det viser, hvad der skete og hvornår.

• Revisionslog i cloudsystemer · Hvilken konto der slettede hvilke elementer og hvornår
• Logfiler på servere · Sletning af filer, mapper eller brugerkonti
• Administrationslog · Nulstilling af telefoner eller sletning af postkasser
• Spor på computeren · Brug af sletteprogrammer, tømning af papirkurv, store ændringer på kort tid
• Mobiltelefonen · Tidspunkt for nulstilling, geninstallation af apps, huller i historikken

Det er vigtigt at forstå, at også logs slettes. Mange logs gemmes kun i en begrænset periode, som afhænger af system, licens og opsætning. Jo hurtigere der spørges, jo større er chancen for, at sporene stadig findes. → Logfiler og logrotation

Almindelig drift eller bevidst sletning?

Modpartens mest oplagte forklaring er, at sletningen skete som en del af den almindelige drift. Det kan være rigtigt. Derfor er det afgørende at kunne skelne.

Forhold, der kan tale for almindelig drift:

• Sletningen følger en dokumenteret slettepolitik.
• Den skete automatisk og ramte mange data på samme måde.
• Den skete, før modparten havde grund til at kende til tvisten.

Forhold, der kan tale for en målrettet sletning:

• Sletningen ramte netop de data, sagen handler om.
• Den skete manuelt og kort efter et påkrav eller en fratrædelse.
• Der er brugt værktøjer til at fjerne spor. → Anti-forensics: sletning og manipulation
• Tidspunktet passer ikke med virksomhedens normale rutiner.

Hvad der juridisk kan udledes af forholdene, er advokatens vurdering. Den tekniske opgave er at beskrive dem så præcist som muligt.

Hvornår fik modparten kendskab til sagen?

Tidspunktet for sletningen skal sammenholdes med tidspunktet for, hvornår modparten vidste eller burde vide, at data kunne være relevante. Det kan være et påkrav, en opfordring til at bevare data, en fratrædelse eller en henvendelse fra klienten.

Saml derfor en tidslinje med:

1. dato for de hændelser, sagen handler om,
2. dato for den første henvendelse til modparten,
3. dato for eventuel opfordring til bevarelse,
4. dato og tidspunkt for de sletninger, der kan dokumenteres,
5. dato for eventuel editionsbegæring.

En klar tidslinje gør det lettere for retten at forstå forløbet. → Bevarelsespligt og litigation hold

Hvad advokaten bør bede om

Ved en editionsbegæring eller i en opfordring til modparten kan det være relevant at bede om oplysninger om selve sletningen, ikke kun om de slettede data:

• den gældende slettepolitik i perioden og dokumentation for, at den blev fulgt,
• revisionslog for de relevante konti i perioden,
• oplysning om, hvornår en postkasse eller konto blev lukket og af hvem,
• oplysning om, hvorvidt der findes backup fra perioden,
• oplysning om, hvad der er sket med udstyr, som en medarbejder har afleveret.

→ Editionsbegæring set fra IT-siden

Gode og dårlige spørgsmål til en IT-sagkyndig

• “Har modparten slettet beviser?” · “Er der spor efter sletning af filer i mappen X i perioden fra dato til dato, og hvilken konto foretog den?”
• “Kan du finde det slettede?” · “Kan indholdet af postkassen Y gendannes helt eller delvist fra papirkurv, versionshistorik eller backup?”
• “Var sletningen bevidst?” · “Afviger sletningen fra den automatiske sletning, der i øvrigt fandt sted i systemet, og i givet fald hvordan?”

Det sidste punkt er vigtigt. En IT-sagkyndig kan beskrive, om en sletning skete manuelt eller automatisk, og om den afviger fra mønsteret. Om den var bevidst, er en vurdering, retten foretager.

Når klienten selv har slettet

Det modsatte scenarie forekommer også. Klienten har i god tro ryddet op, nulstillet en telefon eller lukket en konto. Så er det klienten, der kan blive mødt med indsigelsen. Afklar tidligt, hvad klienten selv har gjort, og dokumentér det. Det er bedre at have en forklaring klar end at blive overrasket af modpartens sagkyndige.

Spørg konkret til:

• hvilke enheder og konti der er nulstillet, lukket eller ryddet,
• hvornår det skete, og hvem der gjorde det,
• hvorfor det skete, fx fordi udstyret skulle genbruges,
• om der blev taget en kopi eller backup først.

Er sletningen sket som led i en fast rutine, bør rutinen dokumenteres med den skriftlige politik og eksempler på, at den også er fulgt i andre tilfælde. → Slettepolitik og bevarelse

Typiske fejl

• At konstatere, at data er væk, uden at undersøge backup og andre parters kopier.
• At vente så længe, at også logfilerne er slettet.
• At påstå bevidst sletning uden at have undersøgt den almindelige slettepolitik.
• At glemme at fastslå tidspunktet for modpartens kendskab til tvisten.
• At lade klientens egen oprydning stå uforklaret, indtil modparten rejser spørgsmålet.
• At bede om “alle slettede data” i stedet for de konkrete konti, mapper og perioder, der er relevante.

→ Haster det? Sådan sikres beviserne nu · Tlf. 70 13 63 23 · Digital bevissikring for advokater hos Nielco IT