IT-kriminalteknik · Virksomheder

Hvordan kan en virksomhed afgrænse en intern undersøgelse, når privat brug af e-mail eller internettet er tilladt?

Tilladt privat brug øger risikoen for, at private og arbejdsrelaterede indholdselementer findes i de samme datakilder.

Uforpligtende forespørgsel

Hvorfor dette spørgsmål er vigtigt for en virksomhed

Interne undersøgelser kan medføre betydelige økonomiske, personalemæssige og juridiske konsekvenser. Netop derfor skal det først afklares, hvilke konkrete tekniske forhold der skal bevises eller modbevises. En så stor datamængde som muligt er ikke et kvalitetskriterium; det afgørende er en saglig, afgrænset og gennemsigtig undersøgelse.

Teknisk undersøgelsesmetode

Vi foretrækker metadata, områder, der klart vedrører tjenesten, snævert definerede søgekriterier og udelukkelsesmekanismer, i det omfang dette kan give svar på bevisspørgsmålet.

Hvor grænsen for udsagn ligger

Private oplysninger bliver ikke relevante blot fordi de teknisk set findes på virksomhedens systemer.

Hvorfor LanCologne?

Interne undersøgelser er særligt følsomme, da de samtidig kan berøre virksomhedens økonomiske interesser, medarbejdernes personlige rettigheder, databeskyttelse, medbestemmelse i virksomheden og eventuelle senere retssager.

LanCologne starter derfor ikke med en så omfattende gennemsøgning af IT-systemerne som muligt. Udgangspunktet er et klart formuleret teknisk bevisspørgsmål. Herfra udledes de nødvendige datakilder, tidsperioder og undersøgelsestrin. Den tekniske adgangsmulighed og den juridiske tilladelighed adskilles bevidst fra hinanden.

Undersøgelsen forbliver åben for alle mulige udfald. En mistanke bekræftes ikke blot fordi den lyder plausibel. Beviser, der taler for, imod eller modsiger hinanden, vurderes efter de samme faglige kriterier. Når der er flere mulige tekniske forklaringer, angives disse og sammenlignes så vidt muligt med hinanden.

Automatiserede rapporter, EDR-alarmer, DLP-treffere eller resultater fra forensisk software accepteres ikke som bevis uden nærmere undersøgelse. Væsentlige udsagn valideres så vidt muligt ud fra primærdata og sammenholdes med uafhængige artefakter.

Med henblik på en senere faglig gennemgang dokumenterer vi ikke blot resultatet, men også den måde, det er fremkommet på. Den letforståelige hoveddel er rettet mod ledelsen og den juridiske afdeling, mens et teknisk bilag gør det muligt for en kvalificeret ekstern retsmediciner at følge med i de væsentlige konklusioner.

Vores arbejdsmetode

Ingen forhastet dom – heller ikke i tilfælde, hvor mistanken allerede er fastslået internt

En virksomhed kan af organisatoriske eller juridiske årsager allerede have en klar mistanke. Udfaldet af den tekniske undersøgelse forbliver dog uafklaret. Vi dokumenterer også fund, der modsiger mistanken, og angiver udtrykkeligt, hvis en påstået handling ikke kan bevises på baggrund af de indhentede data.

Den tekniske vurdering og den juridiske vurdering holdes adskilt

IT-kriminalteknik kan f.eks. fastslå, at en bestemt konto har eksporteret en fil, at en enhed var forbundet på et bestemt tidspunkt, eller at en besked blev overført teknisk set. Dette betyder dog ikke automatisk, hvilken fysisk person der har handlet, om handlingen var tilladt, eller hvilke konsekvenser der følger heraf i henhold til arbejdsretten, civilretten eller strafferetten.

LanCologne som uafhængig teknisk støtte til juridisk afdeling og ledelsen

LanCologne får ikke til opgave at bekræfte et ønsket resultat teknisk. Vi får til opgave at besvare et konkret bevisspørgsmål objektivt på baggrund af de tilgængelige digitale spor. Undersøgelsen skal forblive gennemsigtig, selv hvis den senere bliver kritisk gennemgået af en modpart, en domstol eller en anden kvalificeret IT-forensiker.

§ 26 i BDSG udgør et væsentligt lovmæssigt referencepunkt for medarbejderoplysninger. § 26, stk. 1, i BDSG tillader behandling af personoplysninger om medarbejdere til formål, der vedrører ansættelsesforholdet, under de der angivne betingelser. Med henblik på afsløring af strafbare handlinger kræver bestemmelsen især, at der foreligger dokumenterbare faktiske indicier, samt at behandlingen er nødvendig og forholdsmæssig; den ansattes beskyttelsesværdige interesse må ikke veje tungere. § 26, stk. 6, i BDSG berører ikke interessegruppernes medbestemmelsesrettigheder.

Derudover gælder principperne i GDPR, navnlig lovlighed, formålsbegrænsning og dataminimering i henhold til artikel 5 samt kravet om et holdbart retsgrundlag i henhold til artikel 6. Ved særlige kategorier af personoplysninger skal der desuden tages hensyn til artikel 9 i GDPR og, hvor det er relevant, § 26, stk. 3, i BDSG.

For så vidt angår tekniske anordninger, der er beregnet til at overvåge medarbejdernes adfærd eller præstationer, fastsætter § 87, stk. 1, nr. 6, i BetrVG, at samarbejdsudvalget har medbestemmelsesret, i det omfang der ikke findes nogen lovbestemmelse eller overenskomstbestemmelse herom. For MDM, EDR, DLP, logning og lignende systemer skal man derfor i hvert enkelt tilfælde se på den konkrete udformning.

I forbindelse med indberetninger i henhold til loven om beskyttelse af whistleblowere er især § 8 i HinSchG relevant. Fortrolighedsbestemmelsen beskytter ikke kun den indberettende persons identitet, men også personer, der er genstand for en indberetning, samt andre personer, der nævnes i indberetningen. § 9 i HinSchG indeholder lovmæssige undtagelser fra fortrolighedsbestemmelsen. § 36 i HinSchG forbyder repressalier og indeholder en regel om bevisbyrde under de der nævnte forudsætninger.

Når det drejer sig om forretningshemmeligheder, må en intern undersøgelse ikke automatisk betragte en anmeldelse som et brud på hemmeligholdelsen. § 5 i GeschGehG indeholder undtagelser fra forbuddene i § 4, blandt andet under visse betingelser med henblik på afsløring af ulovlige handlinger eller faglig eller anden form for uredelig adfærd samt i forbindelse med nødvendige oplysninger til medarbejderrepræsentanter.

Hvis der senere indledes en civilretssag, indeholder retsplejeloven (ZPO) blandt andet bestemmelser om bevisførelse ved besigtigelse; § 371, stk. 1, i ZPO regulerer udtrykkeligt det tilfælde, hvor et elektronisk dokument udgør genstand for bevisførelsen. For sagkyndigbevis gælder §§ 402 ff. i ZPO. I en straffesag fastlægger retten omfanget af bevisoptagelsen i henhold til straffeprocesloven (StPO); især § 244 i StPO regulerer undersøgelsesprincippet og begæringer om bevisoptagelse. Disse procesretlige bestemmelser gør imidlertid ikke automatisk en privat bestilt IT-forensisk rapport til en retslig ekspertudtalelse.

LanCologne yder teknisk ekspertbistand og ikke juridisk rådgivning. Den konkrete lovlighed af en efterforskningsforanstaltning, arbejdsretlige konsekvenser, procesmæssig strategi og strafferetlig vurdering henhører under den kompetente juridiske rådgivning, myndighederne og domstolene.

Ofte stillede spørgsmål

🔗 Relaterede emner