“Mailen er slettet”: hvad Microsoft 365 stadig kan genskabe

I mange civile sager møder advokaten svaret, at en efterspurgt mail ikke længere findes. Når modparten bruger Microsoft 365, er svaret sjældent så enkelt. Tjenesten har flere lag, hvor slettede elementer kan blive liggende, og den kan føre logs over, hvem der slettede hvad. Om noget faktisk kan genskabes, afhænger af opsætningen og af, hvor lang tid der er gået.

Artiklen handler om, hvordan påstanden prøves i processen. Den tekniske gendannelse er et arbejde for modpartens administrator eller en IT-sagkyndig.

Slettet er et upræcist ord

En mail kan være “slettet” i mindst fire forskellige betydninger:

Flyttet til mappen Slettet post. Mailen ligger der stadig og kan flyttes tilbage.
Tømt fra Slettet post. Mailen er flyttet til et skjult område for gendannelige elementer, hvor den som udgangspunkt kan hentes tilbage i en begrænset periode.
Fjernet fra det gendannelige område. Hvis der ikke er sat opbevaring op, bliver mailen herefter slettet permanent.
Omfattet af en opbevaringspolitik eller retslig tilbageholdelse. Så bevares en kopi, selv om brugeren har slettet mailen, og den kan typisk findes med organisationens søgeværktøjer.

Når modparten skriver “slettet”, bør advokaten spørge, hvilken af disse situationer der menes, og hvordan det er konstateret.

Opbevaring og tilbageholdelse

Mange organisationer har opbevaringspolitikker, ofte af hensyn til bogføring, compliance eller interne regler. Nogle har også sat en postkasse på retslig tilbageholdelse, når en tvist er opstået. Hvis det er tilfældet, er sletning foretaget af brugeren ikke nødvendigvis endelig.

Spørgsmål, der kan stilles til modparten:

Har organisationen opbevaringspolitikker for mail, og hvilke perioder gælder?
Er de relevante postkasser sat på tilbageholdelse, og fra hvilken dato?
Hvem i organisationen kan søge på tværs af postkasser?

Om modparten havde pligt til at sikre data fra et bestemt tidspunkt, er en juridisk vurdering. Se Bevarelsespligt og litigation hold.

Andre kopier af samme mail

En mail findes sjældent kun ét sted. Selv om afsenderen har slettet den, kan den ligge:

Hos modtagerne, også interne kolleger i cc
I delte postkasser eller grupper
På en telefon eller en computer, der har en lokal kopi i et mailprogram
I en backup, hvis organisationen bruger en tredjepartsløsning til at tage backup af Microsoft 365
Hos klienten selv, hvis klienten var modtager

En editionsbegæring kan derfor rette sig mod flere placeringer. Det er ofte mere realistisk at bede om modtagerens kopi end at diskutere, om afsenderens kopi kan gendannes.

Auditloggen

Microsoft 365 kan registrere hændelser i en samlet auditlog, herunder i mange tilfælde sletning af elementer i postkasser. Hvilke hændelser der logges, og hvor længe loggen gemmes, afhænger af licens og opsætning. Auditloggen kan potentielt svare på spørgsmål som:

Blev mailen slettet, og i givet fald hvornår?
Fra hvilken konto skete sletningen?
Blev der slettet enkeltelementer eller hele mapper?

Svaret kan have betydning, hvis det skal vurderes, om sletningen skete som almindelig drift eller efter, at tvisten var kendt. Om sletning kan få processuel betydning, er beskrevet i Når data er slettet: bevisforspildelse i civile sager. Loglinjer skal læses med samme forbehold som andre logs. → Sådan læser du en logfil

Hvem der har søgt, og hvordan

Når modparten oplyser, at en mail ikke findes, er det relevant at vide, hvem der har ledt. En medarbejder, der har gennemgået sin egen indbakke, har typisk ikke adgang til gendannelige elementer på tværs af postkasser eller til auditloggen. Det kræver normalt en administrator med særlige rettigheder.

Der er også forskel på en søgning i mailprogrammet og en søgning med organisationens compliance-værktøjer. Den første finder det, brugeren kan se. Den anden kan også finde elementer, der er bevaret af en opbevaringspolitik. Spørg derfor, hvilket værktøj der er brugt, og med hvilke rettigheder.

Sådan formuleres en begæring

En begæring, der kun beder om “alle mails om sagen”, afvises let eller besvares med et bredt “findes ikke”. Den bør i stedet beskrive data, så modparten skal forholde sig til de konkrete lag. Eksempler på elementer:

Mails mellem navngivne konti i en afgrænset periode, inklusive gendannelige elementer
Oplysning om, hvorvidt opbevaringspolitikker eller tilbageholdelse har omfattet postkasserne
Auditloghændelser om sletning i de pågældende postkasser for perioden
Oplysning om, hvem der har udført søgningen, og med hvilke kriterier

Der er en skabelon i Skabelon: editionsbegæring om mails og logdata, og den generelle tilgang er beskrevet i Editionsbegæring set fra IT-siden.

Når svaret stadig er “findes ikke”

Fastholder modparten, at mailen ikke kan findes, kan det være relevant at bede om en skriftlig redegørelse for søgningen: hvilke postkasser, hvilke søgekriterier, hvilke perioder og hvilke lag der er undersøgt. En redegørelse, der kun nævner brugerens indbakke, er svagere end en, der også omfatter gendannelige elementer og auditlog.

Det kan også overvejes at stille spørgsmålene til en skønsmand, så en uafhængig person vurderer, om søgningen var tilstrækkelig. Skønstemaet bør da nævne de konkrete lag: postkassen, de gendannelige elementer, eventuelle opbevaringspolitikker, backup og auditlog. Et tema, der kun spørger, om mailen “kan genskabes”, giver et svar, der er svært at bruge.

Når klienten selv har slettet

Spørgsmålene gælder også den anden vej. Har klienten slettet relevante mails, bør det afklares hurtigt, hvad der kan gendannes, og hvilke spor sletningen har efterladt. Det er bedre at kende svaret, før modparten stiller spørgsmålet.

Praktisk rækkefølge

Bed straks modparten om at bevare postkasser, gendannelige elementer og auditlog, og om at sætte de relevante postkasser på tilbageholdelse, hvis det ikke er sket.
Sikr klientens egne kopier af mails med modparten, så de kan bruges som pejlemærker.
Lav en liste over de konkrete mails, der efterspørges, med afsender, modtagere, dato og emne, i det omfang de kendes fra klientens kopi.
Stil spørgsmålene om opbevaring, tilbageholdelse og søgning skriftligt.
Vurder svaret, og overvej opfordring, edition eller skønstema.

Rækkefølgen er vigtig, fordi de gendannelige elementer og auditloggen har begrænset levetid. En anmodning om bevarelse, der kommer tidligt, kan have større værdi end en detaljeret begæring, der kommer, når data er væk. Klientens egne kopier gør det også muligt at kontrollere modpartens søgning. Findes en mail hos klienten, men ikke i modpartens resultat, er det et konkret spørgsmål til, hvordan søgningen er foretaget.