Informática forense · Empresas

¿Cómo puede una empresa comprobar si un empleado que abandona la empresa se ha llevado datos de la misma?

Cuando un empleado abandona la empresa, puede surgir la sospecha de que se han copiado o transferido datos de la empresa. Sin embargo, la mera coincidencia temporal no prueba por sí sola que se hayan sustraído datos.

Solicitar información sin compromiso

Por qué esta cuestión es importante para una empresa

En caso de posibles fugas de datos, a menudo están en juego importantes valores económicos, relaciones con los clientes, conocimientos de desarrollo o ventajas competitivas. Por lo tanto, una investigación rigurosa debe aclarar con precisión qué movimiento de datos ha tenido lugar realmente, sin deducir una infracción legal a partir de una mera sospecha.

Enfoque técnico de investigación

Wir definieren die konkret relevanten Datenbestände und untersuchen geeignete Spuren zu Dateioperationen, externen Datenträgern, Cloud-, E-Mail- oder anderen Übertragungswegen.

Dónde está el límite de la expresión

Eine erhöhte Dateiaktivität kurz vor dem Ausscheiden ist kein automatischer Nachweis einer unbefugten Mitnahme. Übergabe-, Archivierungs- oder Projektarbeiten müssen als Alternativerklärung geprüft werden.

¿Por qué LanCologne?

La sospecha de sustracción de datos o de pérdida de información confidencial de la empresa puede acarrear graves consecuencias económicas y jurídicas. Precisamente por eso, la investigación no debe partir del resultado deseado.

LanCologne traduce en primer lugar los hechos en cuestiones técnicas concretas que deben demostrarse: ¿Qué archivos o conjuntos de datos se ven afectados? ¿Se abrieron, copiaron, exportaron, archivaron o transfirieron realmente? ¿Qué vía de transmisión técnica se puede demostrar? ¿Cuándo ocurrió esto? ¿Qué contexto de dispositivo, cuenta o sesión se puede demostrar?

En este sentido, distinguimos claramente entre la posibilidad de acceso, el acceso efectivo, el proceso de copia y la transferencia satisfactoria. En la práctica, estos conceptos suelen confundirse, aunque describen hechos técnicamente distintos.

Los hallazgos relevantes se contrastan, en la medida de lo posible, con los datos primarios y se correlacionan con fuentes independientes. Una alarma automática, un informe de la herramienta o una simple marca de tiempo no se consideran pruebas sin haber sido verificados previamente.

Asimismo, se analizan las explicaciones alternativas habituales. Los procesos de traspaso, los archivos de proyectos, las copias de seguridad, la sincronización, las actualizaciones de software o el uso autorizado de la nube pueden generar rastros que, sin contexto, parezcan sospechosos. Solo cuando se hayan descartado esas explicaciones a partir de los datos, será posible realizar una evaluación técnica fiable.

En el caso de LanCologne, incluso un resultado negativo constituye un resultado completo del análisis. Si no se puede confirmar una supuesta sustracción de datos, esto se documenta del mismo modo que una transferencia demostrable.

Nuestra forma de trabajar

1Documentar los motivos de sospecha y la cuestión probatoria técnica concreta.
2Establecer el marco jurídico y las competencias mediante el asesoramiento empresarial o jurídico.
3Limitar los conjuntos de datos, dispositivos, cuentas y períodos relevantes.
4Obtener con antelación los datos probatorios que pueden variar.
5Documentar las fuentes de datos, su procedencia y la información sobre su integridad.
6Separar técnicamente el acceso, la copia, la exportación, el archivo y la transferencia.
7Identificar los medios de destino y las vías de transmisión únicamente a partir de indicios concretos.
8No hay que confundir la asignación de dispositivos, cuentas y personas.
9Analizar también los procesos habituales de trabajo y otras explicaciones alternativas.
10Documentar técnicamente las medidas de protección de los supuestos secretos comerciales, en la medida en que sea pertinente.
11Presentar de forma equivalente los hallazgos condenatorios, exculpatorios y abiertos.
12Diferenciar expresamente entre la constatación técnica y la valoración jurídica.

El secreto comercial es una calificación jurídica; el movimiento de datos, una cuestión probatoria de carácter técnico

Podemos determinar o delimitar qué archivos existían, qué mecanismos técnicos de protección se aplicaban y qué acciones de acceso, copia o transferencia se pueden demostrar. La cuestión de si la información en cuestión cumple los requisitos para ser considerada un secreto comercial y si una acción fue no autorizada o ilegal se evalúa jurídicamente de forma independiente.

No hay que sacar conclusiones precipitadas, ni siquiera ante patrones de traspasos llamativos

Un acceso a archivos de un volumen inusualmente grande, una conexión USB o un inicio de sesión en la nube pueden ser motivo para realizar una investigación más exhaustiva, pero no constituyen por sí mismos una conclusión. También se analizan otros flujos de trabajo alternativos. Cuando existen varias explicaciones posibles, esta incertidumbre no se sustituye por una suposición.

¿Por qué se aplica el principio LanCologne en materia de transferencia de datos y secretos comerciales?

LanCologne no investiga con el fin de confirmar una sospecha preestablecida. Respondemos a la cuestión probatoria técnica concreta, documentamos los datos primarios en los que se basa y señalamos con la misma claridad lo que no se puede demostrar. De este modo, la dirección y el departamento jurídico disponen de una base fáctica que también puede resistir una posterior verificación técnica por parte de terceros.

Marco jurídico

En lo que respecta a los empleados, el artículo 26 de la BDSG sigue siendo un punto de partida fundamental. Para la detección de delitos, el artículo 26, apartado 1, de la BDSG exige, entre otras cosas, indicios fácticos que deben documentarse, así como la necesidad y la proporcionalidad; el interés digno de protección del empleado no debe prevalecer. Además, se aplican los principios del RGPD, en particular la licitud, la limitación de la finalidad y la minimización de datos.

La Ley de Protección de los Secretos Comerciales (GeschGehG) es fundamental en materia de secretos comerciales. Según el artículo 2, apartado 1, de la GeschGehG, no basta con que la información sea confidencial: entre otras cosas, la información debe tener valor económico, ya que no es de dominio público ni es fácilmente accesible; debe ser objeto de medidas de confidencialidad adecuadas a las circunstancias; y debe existir un interés legítimo en mantenerla en secreto.

El artículo 4 de la Ley de Secretos Comerciales (GeschGehG) prohíbe, entre otras cosas y en determinadas circunstancias, el acceso no autorizado, la apropiación no autorizada o la copia no autorizada de archivos electrónicos que contengan un secreto comercial o de los que se pueda deducir dicho secreto. El uso y la divulgación también pueden estar prohibidos. No es el perito informático forense quien decide si un hecho demostrado técnicamente cumple los elementos constitutivos del delito.

La Ley de Protección de los Denunciantes (GeschGehG) también contiene excepciones. El artículo 5 menciona, en particular, determinados actos destinados a la protección de intereses legítimos, entre los que se incluyen, bajo ciertas condiciones, la revelación de actos ilícitos o de conductas indebidas, ya sean profesionales o de otro tipo. Además, puede ser de aplicación la Ley de Protección de los Denunciantes. El artículo 6 de dicha ley regula, en determinadas condiciones, la divulgación o revelación de secretos comerciales en el marco de las denuncias protegidas. Por lo tanto, una sospecha de fuga de datos no debe equipararse automáticamente a una violación ilícita del secreto comercial.

La Ley de Protección de la Propiedad Intelectual (GeschGehG) prevé posibles reclamaciones civiles en caso de que se constaten infracciones, entre ellas la subsanación y la cesación (art. 6), otras medidas según el art. 7, determinados derechos de información según el art. 8 y la indemnización por daños y perjuicios según el art. 10. Es necesario realizar un análisis jurídico para determinar qué derechos existen en cada caso concreto. La informática forense solo proporciona la base fáctica técnica para ello.

En la medida en que se utilicen dispositivos técnicos para la vigilancia de los trabajadores, también pueden ser relevantes los derechos de participación del comité de empresa, en particular los previstos en el artículo 87, apartado 1, número 6, de la Ley de Organización Empresarial (BetrVG). La admisibilidad concreta se aclarará antes de la investigación por parte de las instancias empresariales y jurídicas competentes.

Preguntas frecuentes

¿Cómo puede una empresa comprobar si un empleado que abandona la empresa se ha llevado datos de la misma?+
En caso de posibles fugas de datos, a menudo están en juego importantes valores económicos, relaciones con los clientes, conocimientos de desarrollo o ventajas competitivas. Por lo tanto, una investigación rigurosa debe aclarar con precisión qué movimiento de datos ha tenido lugar realmente, sin deducir una infracción legal a partir de una mera sospecha.
¿Cómo se lleva a cabo en la práctica una inspección técnica de este tipo?+
Wir definieren die konkret relevanten Datenbestände und untersuchen geeignete Spuren zu Dateioperationen, externen Datenträgern, Cloud-, E-Mail- oder anderen Übertragungswegen.
¿La investigación siempre arroja un resultado inequívoco en contra o a favor de una de las personas implicadas?+
Eine erhöhte Dateiaktivität kurz vor dem Ausscheiden ist kein automatischer Nachweis einer unbefugten Mitnahme. Übergabe-, Archivierungs- oder Projektarbeiten müssen als Alternativerklärung geprüft werden.
¿Existe algún fundamento jurídico para ello?+
Bei Mitarbeiterbezug bleibt § 26 BDSG ein wesentlicher Ausgangspunkt. Für die Aufdeckung von Straftaten verlangt § 26 Abs. 1 BDSG unter anderem zu dokumentierende tatsächliche Anhaltspunkte, Erforderlichkeit und Verhältnismäßigkeit; das schutzwürdige Interesse der beschäftigten Person darf nicht überwiegen. Daneben gelten die Grundsätze der DSGVO, insbesondere Rechtmäßigkeit, Zweckbindung und Datenminimierung. Für Geschäftsgeheimnisse ist das GeschGehG zentral. Nach § 2 Nr. 1 GeschGehG genügt nicht jede vertrauliche Information: Die Information muss unter anderem wirtschaftlichen Wert besitzen, weil sie nicht allgemein bekannt oder ohne Weiteres zugänglich ist, Gegenstand den Umständen nach angemessener Geheimhaltungsmaßnahmen sein und es muss ein berechtigtes Geheimhaltungsinteresse bestehen. § 4 GeschGehG verbietet unter bestimmten Voraussetzungen unter anderem den unbefugten Zugang zu, die unbefugte Aneignung oder das unbefugte Kopieren von elektronischen Dateien, die ein Geschäftsgeheimnis enthalten oder aus denen es sich ableiten lässt. Nutzung und Offenlegung können ebenfalls verboten sein. Ob ein technisch nachgewiesener Vorgang die rechtlichen Tatbestandsmerkmale erfüllt, entscheidet nicht der IT-Forensiker. Das GeschGehG enthält außerdem Ausnahmen. § 5 nennt insbesondere bestimmte Handlungen zum Schutz berechtigter Interessen, darunter unter Voraussetzungen die Aufdeckung rechtswidriger Handlungen oder beruflichen beziehungsweise sonstigen Fehlverhaltens. Zusätzlich kann das Hinweisgeberschutzgesetz einschlägig sein. § 6 HinSchG regelt unter bestimmten Voraussetzungen die Weitergabe beziehungsweise Offenlegung von Geschäftsgeheimnissen im Rahmen geschützter Meldungen. Ein Datenabflussverdacht darf daher nicht automatisch mit einer rechtswidrigen Geheimnisverletzung gleichgesetzt werden. Das GeschGehG sieht bei festgestellten Rechtsverletzungen mögliche zivilrechtliche Ansprüche vor, darunter Beseitigung und Unterlassung (§ 6), weitere Maßnahmen nach § 7, bestimmte Auskunftsansprüche nach § 8 und Schadensersatz nach § 10. Welche Ansprüche im Einzelfall bestehen, ist juristisch zu prüfen. Die IT-Forensik liefert hierfür lediglich die technische Tatsachengrundlage. Soweit technische Einrichtungen zur Mitarbeiterüberwachung eingesetzt werden, können außerdem Beteiligungsrechte des Betriebsrats, insbesondere nach § 87 Abs. 1 Nr. 6 BetrVG, relevant sein. Die konkrete Zulässigkeit wird vor der Untersuchung durch die zuständigen betrieblichen und rechtlichen Stellen geklärt.

LanCologne – Informática forense para empresas

¿Tiene alguna duda relacionada con el ámbito digital? LanCologne le ofrece apoyo mediante una investigación forense informática objetiva y sin prejuicios.

Ponte en contacto con nosotros ahora