I mange tvister med digitale beviser er det klientens IT-medarbejder eller IT-leverandør, der har set det hele først. Det var vedkommende, der lukkede kontoen, trak loggen ud eller opdagede, at filerne var væk. Derfor ender IT-folk ofte som vidner. De ved meget om systemerne, men de er sjældent vant til at forklare sig i en retssal, og de bliver let hverken præcise nok eller forsigtige nok.
Denne artikel handler om, hvad advokaten bør tænke på, når en IT-medarbejder skal afgive forklaring. Rammerne for kontakt med vidner før en forklaring er advokatens område, og vidnet skal forklare sandt og med egne ord.
Vidne, ikke sagkyndig
Det vigtigste at få på plads er rollen. En IT-medarbejder, der afgiver forklaring som vidne, forklarer om faktiske forhold, vedkommende selv har iagttaget eller gjort. Det er noget andet end en IT-sagkyndig, der vurderer data og drager faglige konklusioner. → Hvad er en IT-sagkyndig?
Forskellen har praktisk betydning:
- “Jeg lukkede kontoen den 3. maj om eftermiddagen.” · “Medarbejderen må have kopieret filerne før.”
- “Jeg eksporterede loggen og gemte den på drev X.” · “Loggen viser med sikkerhed, at …”
- “Vi har en slettepolitik på [antal] dage for den postkasse.” (hvis det er sådan, den er sat op) · “Det er helt almindeligt, at …”
- “Jeg så, at mappen var tom, da jeg åbnede den.” · “Mappen må være slettet med vilje.”
En IT-medarbejder, der begynder at fortolke, bliver let mødt med spørgsmål om faglige forudsætninger og uvildighed. Er der brug for faglige vurderinger, hører de til hos en sagkyndig. → Partsindhentet erklæring eller skønserklæring
Hvad vidnet typisk bliver spurgt om
Forbered vidnet på, at spørgsmålene ofte handler om det praktiske:
- Hvad vidnet gjorde: Hvilke handlinger, hvornår, på hvis anmodning?
- Hvordan det blev gjort: Med hvilket værktøj eller hvilken funktion i systemet?
- Hvad vidnet så: Hvad stod der på skærmen, og blev det dokumenteret?
- Hvem der ellers havde adgang: Kolleger, leverandører, administratorkonti.
- Hvad der ikke blev gjort: Blev data sikret, før kontoen blev lukket? Blev der taget backup?
Modparten vil ofte fokusere på det sidste. Spørgsmål om, hvorfor noget ikke blev sikret, eller hvorfor en konto blev slettet, er almindelige. Det er bedre, at vidnet er forberedt på dem og svarer ærligt, end at svaret kommer som en overraskelse. → Kæde af ansvar
Gennemgå vidnets egen dokumentation
IT-medarbejdere efterlader ofte spor af det, de har gjort: sager i et ticketsystem, mails, notater, logfiler fra administrationsværktøjer. Inden forklaringen bør vidnet have mulighed for at genopfriske, hvad der faktisk skete, ud fra sin egen dokumentation. Det reducerer risikoen for, at forklaringen bygger på en hukommelse, der har ændret sig over tid.
Vær opmærksom på, at materiale, vidnet bruger til at genopfriske hukommelsen, kan blive genstand for spørgsmål. Hvordan det håndteres, er en juridisk vurdering.
Forklar teknik i almindeligt sprog
IT-folk bruger fagord uden at tænke over det. Retten skal kunne forstå forklaringen. Gode råd til vidnet:
- Sig, hvad et fagord betyder, første gang det bruges. “Revisionsloggen, altså den liste, systemet automatisk fører over, hvem der har gjort hvad.”
- Brug konkrete eksempler frem for generelle beskrivelser.
- Sig “det ved jeg ikke”, når det er tilfældet. Det er bedre end et kvalificeret gæt.
- Skeln mellem tidspunkter. Hvornår skete noget, og hvornår opdagede vidnet det?
- Vær præcis om tidszoner. Har vidnet set et tidspunkt i en log, kan det have været i UTC. → Tidsstempler og tidszoner
Typiske faldgruber
- Overdreven sikkerhed: “Det er umuligt, at nogen andre har haft adgang.” Vidnet ved sjældent, at noget er umuligt. “Jeg har ikke set tegn på det” er mere præcist.
- Forsvar af egne beslutninger: Har vidnet selv lukket en konto for tidligt, kan der opstå en trang til at bortforklare. Det svækker troværdigheden mere end fejlen.
- Loyalitet over for arbejdsgiveren: Vidnet skal forklare sandt, også om forhold, der ikke er til gavn for klienten.
- Gentagelse af andres oplysninger: Hvad vidnet har hørt fra kolleger, er ikke det samme som det, vidnet selv har set.
- Ukendte dokumenter: Vidnet bliver foreholdt en log eller et skærmbillede, vidnet aldrig har set før. Det er i orden at sige, at man ikke kender dokumentet.
Når vidnet selv har sikret beviserne
Har IT-medarbejderen eksporteret logs, kopieret en postkasse eller taget en computer ud af drift, bliver vidnet ofte et led i bevisets kæde af ansvar. Så vil der typisk blive spurgt til fremgangsmåden:
- Hvilket værktøj eller hvilken funktion blev brugt til udtrækket?
- Blev der beregnet hashværdier, og hvor er de noteret?
- Hvor blev kopien opbevaret, og hvem havde adgang til den?
- Blev originalen brugt videre efter kopieringen?
Det er ikke en fejl, at en IT-medarbejder har foretaget den første sikring. Men vidnet bør kunne gøre rede for den, gerne med støtte i egne notater fra dengang. Mangler der dokumentation, er det bedre at sige det end at rekonstruere den efter hukommelsen.
Ekstern IT-leverandør som vidne
Er det en ekstern leverandør, der har udført arbejdet, gælder det samme. Derudover:
- Afklar, om leverandøren har en egen interesse i sagen, fx fordi leverandørens opsætning er en del af tvisten.
- Afklar, hvilke af leverandørens medarbejdere der faktisk har udført opgaverne. Det er ikke nødvendigvis kontaktpersonen.
- Spørg, om leverandøren har egne logs eller ticket-historik, der bør sikres. → Rollefordeling i en bevissag
Modpartens IT-medarbejdere
Skal modpartens IT-folk afgive forklaring, kan de give værdifulde oplysninger om systemer og procedurer. Forbered spørgsmål om:
- hvilke systemer der bruges, og hvordan de er sat op,
- slettepolitikker og backup,
- hvem der har administratorrettigheder,
- hvad der er gjort med data, siden tvisten opstod.
Spørgsmålene bør være konkrete og faktuelle. Et åbent “fortæl om jeres IT” giver lange svar med lidt indhold.
Samspillet med en IT-sagkyndig i samme sag
Er der både en IT-medarbejder som vidne og en IT-sagkyndig i sagen, bør de to forklaringer hænge sammen uden at overlappe. Vidnet forklarer, hvad der skete i praksis: hvilke handlinger der blev foretaget, hvornår og hvorfor. Den sagkyndige forklarer, hvad dataene viser, og hvad der kan og ikke kan udledes af dem.
Det kan være en fordel, at den sagkyndige på forhånd har set vidnets dokumentation, fx ticket-historik og notater, så den sagkyndiges analyse bygger på det samme faktiske forløb. Omvendt bør vidnet ikke læse den sagkyndiges konklusioner og gentage dem som egne iagttagelser. Det udvisker forskellen på, hvad vidnet selv har set, og hvad der er en faglig vurdering.
Opstår der uoverensstemmelser mellem vidnets erindring og de data, den sagkyndige har undersøgt, er det bedre at få dem frem før hovedforhandlingen. En forskel, der er kendt og kan forklares, fx med en tidszone eller en forkert indstillet klokke, er langt mindre skadelig end en, modparten afdækker i retssalen.
Tjekliste før forklaringen
- ☐ Er vidnets rolle forklaret: faktiske forhold, ikke faglige vurderinger?
- ☐ Har vidnet haft adgang til sin egen dokumentation?
- ☐ Er vidnet forberedt på spørgsmål om, hvad der ikke blev gjort?
- ☐ Er fagord, der vil indgå, afklaret?
- ☐ Er det klart, hvilke tidspunkter og tidszoner vidnet forholder sig til?
- ☐ Er rammerne for kontakten med vidnet overholdt?
→ Send en sag · Tlf. 70 13 63 23 · IT-sagkyndig og skønsmand hos Nielco IT
