Spørgsmålet opstår ofte, når de afgørende data ligger bag et login: en mailkonto, et administrationspanel, en krypteret computer eller en cloudtjeneste. Det virker enkelt at bede om adgangskoden. Men en adgangskode er ikke et dokument, og den giver adgang til langt mere end det, sagen handler om. I mange tilfælde er det heller ikke koden, parten egentlig har brug for, men dataene bag den eller en kontrolleret adgang til systemet.
Hvad retsplejeloven regulerer
Retsplejeloven § 298 giver retten adgang til at pålægge modparten at fremlægge dokumenter, der er undergivet modpartens rådighed. Bestemmelsen nævner ikke adgangskoder eller andre adgangsoplysninger. Om og hvornår en adgangskode kan kræves udleveret efter reglerne om edition, følger ikke direkte af bestemmelsens ordlyd og bør vurderes juridisk i den konkrete sag.
To andre regler er mere direkte relevante i praksis:
- Skønsmandens adgang. Efter § 301, stk. 1, skal parterne give skønsmanden lejlighed til at bese forretningens genstand, når den er under deres rådighed. Vægrer en part sig uden lovlig grund, finder § 344, stk. 2, tilsvarende anvendelse.
- Bevissikring. Ved bevissikring efter kapitel 57 a kan undersøgelsen efter § 653, stk. 3, omfatte oplysninger på edb-anlæg og elektroniske lagringsmidler. Hvordan adgang til krypterede enheder håndteres under forretningen, er en praktisk og juridisk vurdering i den enkelte sag.
Hvad parten typisk har brug for
Før der stilles krav om en adgangskode, bør det afklares, hvad formålet er. Typisk er det et af følgende:
- Bestemte data. Mails, filer eller logdata fra en konto. Her kan en editionsbegæring om selve dataene være mere præcis. → Partsedition: fra begæring til kendelse
- Undersøgelse af et system. En skønsmand skal se, hvordan et system fungerer, eller hvad det indeholder. Her handler det om skønsmandens adgang. → Skønsmandens adgang til systemer og data
- Overtagelse af et system. Fx når en leverandør skal udlevere administratoradgang til et domæne, en hjemmeside eller en server, som kunden ejer. Her er det et spørgsmål om partens materielle krav, ikke om bevis.
Det tredje tilfælde er det eneste, hvor selve adgangen er målet. Her kan kravet indgå i en sag om forbud og påbud eller i selve hovedsagen, og en dom eller et forlig om udlevering af adgange kan senere skulle fuldbyrdes. Det stiller krav til, at de omfattede konti, domæner og systemer er beskrevet præcist. → Tvangsfuldbyrdelse af udlevering af data og adgange
De to første handler om bevis, og her er der som regel bedre tekniske løsninger end at udlevere en kode. Det gælder både, når klienten ønsker adgang, og når klienten selv bliver bedt om at give den.
Hvorfor en adgangskode sjældent er løsningen
Fra IT-siden er der flere problemer ved at udlevere en adgangskode til modparten eller dennes rådgiver:
- Adgangen er for bred. En mailkonto rummer typisk meget mere end det, sagen angår, herunder private og fortrolige oplysninger.
- Handlinger kan ikke adskilles. Logger modparten ind med kontohaverens kode, ser det i loggen ud, som om kontohaveren selv var logget ind. Det kan forurene netop de spor, der skal undersøges.
- Data kan ændres. Et login kan i sig selv ændre status på mails, opdatere synkronisering eller udløse sikkerhedsadvarsler.
- Totrinsgodkendelse. Mange konti kræver en kode fra en telefon eller app. Adgangskoden alene er ikke nok.
- Sikkerhedsrisiko. En udleveret kode skal ændres bagefter, og den kan være genbrugt på andre konti.
Tekniske alternativer
I de fleste systemer findes der måder at give adgang til data på uden at udlevere en personlig kode:
- Eksport ved kontohaveren. Kontohaveren trækker selv data ud under dokumenteret fremgangsmåde, eventuelt overvåget af en sagkyndig.
- Administratorudtræk. I virksomhedssystemer kan en administrator ofte trække en postkasse eller logdata ud uden at logge ind som brugeren.
- Særskilt konto til skønsmanden. En midlertidig konto med læseadgang til det relevante, som lukkes efter undersøgelsen.
- Kopi ved en sagkyndig. En IT-sagkyndig sikrer data fra enheden eller kontoen, mens ejeren selv indtaster koden.
- Krypterede enheder. Ejeren låser enheden op i overværelse af den sagkyndige, som derefter sikrer indholdet.
Fælles for løsningerne er, at koden forbliver hos ejeren, og at det bagefter kan dokumenteres, hvem der gjorde hvad. → Medarbejderens private data på arbejdsudstyr
Når kontoen tilhører klienten
Spørgsmålet kan også gå den anden vej: Klienten ejer kontoen, men modparten, fx en tidligere medarbejder eller leverandør, har ændret adgangskoden eller nægter at oplyse den. Her er der typisk ikke tale om bevisførelse, men om klientens ret til egne systemer. Ofte kan adgangen genskabes uden modpartens medvirken, fx via virksomhedens administratorkonto eller udbyderens procedure for kontogendannelse. Det bør undersøges, før der rejses krav mod modparten. Dokumentér samtidig, hvem der har ændret hvad og hvornår, så det kan bruges i sagen. Udbyderens egne logs kan ofte vise, hvornår koden blev ændret.
Ved fogedforretninger
Ved en bevissikring er krypterede computere og telefoner en af de største praktiske udfordringer. Det bør planlægges på forhånd, hvordan adgang håndteres inden for rammerne af fogedrettens afgørelse, og hvad der sker, hvis en enhed ikke kan låses op på stedet. → Fogedretlig bevissikring: IT-sagkyndiges rolle → Tjekliste: dagen før en fogedforretning
Sådan dokumenteres en overvåget eksport
Vælges en løsning, hvor ejeren selv indtaster koden, og en sagkyndig sikrer dataene, skal forløbet kunne dokumenteres bagefter. Ellers flytter diskussionen sig blot fra adgangskoden til spørgsmålet om, hvad der skete under eksporten. En dokumentation omfatter typisk:
- dato, tidspunkt og deltagere,
- hvilken konto, enhed eller tjeneste der blev tilgået,
- hvem der indtastede koden, og hvem der betjente systemet derefter,
- hvilken eksportfunktion eller hvilket værktøj der blev brugt,
- hvilke afgrænsninger der blev valgt, fx periode eller mapper,
- hashværdier for de sikrede filer,
- om der opstod fejl eller advarsler undervejs.
Det er en fordel, at begge parter på forhånd har godkendt fremgangsmåden. Så er det sværere senere at gøre gældende, at eksporten var ufuldstændig eller påvirket.
Vær opmærksom på, hvad en eksport ikke viser. En eksportfunktion i en tjeneste medtager ikke altid alle metadata, slettede elementer eller vedhæftede filer. Det bør fremgå af dokumentationen, hvilke begrænsninger den valgte metode har, så ingen af parterne senere bygger på mere, end eksporten indeholder.
Typiske fejl
- At kræve en adgangskode, når det egentlig er bestemte data, der er brug for.
- At logge ind på modpartens konto med en udleveret kode og dermed ændre sporene.
- At overse, at kontoen er beskyttet med totrinsgodkendelse.
- At give skønsmanden en personlig kode i stedet for en særskilt konto.
- At glemme at få koden ændret, når undersøgelsen er slut.
Tjekliste
- ☐ Formålet er afklaret: data, undersøgelse eller overtagelse
- ☐ Det er undersøgt, om data kan udleveres uden adgangskode
- ☐ Skønsmandens adgang er aftalt med særskilt konto eller overvåget eksport
- ☐ Totrinsgodkendelse og kryptering er afklaret
- ☐ Hvem der har gjort hvad, kan dokumenteres bagefter
En IT-sagkyndig bør inddrages, før der stilles krav om adgangsoplysninger, så det er afklaret, hvilken teknisk løsning der giver den nødvendige adgang med mindst muligt indgreb.
→ Send en sag · Tlf. 70 13 63 23 · IT-sagkyndig bistand til advokater hos Nielco IT
