Informática forense · Empresas

¿Cómo puede una empresa investigar un caso de sospecha de incumplimiento normativo mediante técnicas de informática forense sin prejuzgar el resultado?

Ein Compliance-Hinweis kann eine interne Untersuchung erforderlich machen. Aus einem Hinweis folgt jedoch weder die Richtigkeit des Vorwurfs noch die Verantwortlichkeit einer bestimmten Person.

Solicitar información sin compromiso

Por qué esta cuestión es importante para una empresa

Las investigaciones internas pueden acarrear consecuencias económicas, laborales y jurídicas considerables. Precisamente por ello, es necesario aclarar en primer lugar qué hecho técnico concreto se pretende demostrar o refutar. Disponer de la mayor cantidad posible de datos no es un indicador de calidad; lo decisivo es que la investigación sea adecuada, limitada y comprensible.

Enfoque técnico de investigación

Wir übersetzen den Sachverhalt in überprüfbare technische Teilfragen und untersuchen nur die hierfür erforderlichen Systeme, Accounts, Zeiträume und Datenarten.

Dónde está el límite de la expresión

Die IT-Forensik stellt technische Tatsachen fest. Ob daraus ein arbeits-, zivil- oder strafrechtlicher Verstoß folgt, ist gesondert zu bewerten.

¿Por qué LanCologne?

Las investigaciones internas son especialmente delicadas, ya que pueden afectar al mismo tiempo a los intereses económicos de la empresa, los derechos personales de los trabajadores, la protección de datos, la participación de los trabajadores en la gestión de la empresa y posibles procedimientos judiciales posteriores.

Por ello, LanCologne no comienza con un análisis lo más exhaustivo posible de los sistemas informáticos. El punto de partida es una cuestión probatoria técnica claramente formulada. A partir de ahí se determinan las fuentes de datos necesarias, los periodos de tiempo y los pasos de la investigación. Se distingue deliberadamente entre la posibilidad técnica de acceso y la admisibilidad jurídica.

La investigación no se inclina por ninguna conclusión. Una sospecha no se confirma por el mero hecho de que parezca plausible. Las pruebas incriminatorias, exculpatorias y contradictorias se examinan siguiendo los mismos criterios técnicos. Cuando existen varias explicaciones técnicas posibles, estas se exponen y, en la medida de lo posible, se contrastan entre sí.

Los informes automatizados, las alertas de EDR, los resultados positivos de DLP o los datos generados por software forense no se aceptan como pruebas sin haber sido verificados. Las afirmaciones fundamentales se validan, en la medida de lo posible, con datos primarios y se correlacionan con pruebas independientes.

Para una posterior revisión técnica, no solo documentamos el resultado, sino también el proceso seguido para llegar a él. La parte principal, redactada de forma clara y comprensible, está dirigida a la dirección y al departamento jurídico; un anexo técnico permite a un perito forense externo cualificado comprender las conclusiones esenciales.

Nuestra forma de trabajar

1Determinar el motivo de la investigación y la cuestión probatoria concreta.
2Aclarar de antemano la competencia, el fundamento jurídico y, en su caso, los derechos de participación.
3Limitar al mínimo necesario el número de personas, sistemas, cuentas, tiempo y volumen de datos.
4Conservar a tiempo los datos volátiles o que corren el riesgo de perderse.
5Tener en cuenta la confidencialidad y el principio de «necesidad de conocer» tanto a nivel organizativo como técnico.
6Separar los datos originales de las copias de trabajo o de las copias de seguridad adecuadas.
7Documentar de forma trazable la integridad, el origen y la fecha de seguridad.
8Validar las alertas de productos y los resultados de las herramientas con respecto a los datos primarios.
9No hay que confundir la asignación de cuentas, dispositivos, sesiones y personas.
10Examinar con el mismo rigor las explicaciones incriminatorias, exculpatorias y alternativas.
11Diferenciar las constataciones técnicas de las conclusiones jurídicas.
12Redactar el informe principal de forma comprensible y el anexo técnico de forma que sea reproducible.

No se deben emitir juicios precipitados, ni siquiera cuando ya existan sospechas fundamentadas a nivel interno

Una empresa puede considerar que ya existen indicios claros de sospecha por motivos organizativos o jurídicos. No obstante, el resultado de la investigación técnica sigue sin estar claro. También documentamos los hallazgos que contradicen la sospecha e indicamos expresamente cuando, a la luz de los datos obtenidos, no es posible demostrar una acción alegada.

Las conclusiones técnicas y la valoración jurídica siguen siendo independientes

La informática forense puede determinar, por ejemplo, que una cuenta concreta haya exportado un archivo, que un dispositivo estuviera conectado en un momento determinado o que se haya transmitido técnicamente un mensaje. De ello no se deduce automáticamente qué persona física ha actuado, si la acción estaba permitida o qué consecuencias se derivan de ella en materia laboral, civil o penal.

LanCologne como apoyo técnico independiente para el departamento jurídico y la dirección

LanCologne no tiene el encargo de confirmar técnicamente un resultado deseado. Se nos encarga responder de forma objetiva a una cuestión probatoria concreta basándonos en las huellas digitales disponibles. La investigación debe seguir siendo comprensible incluso si posteriormente es sometida a un examen crítico por parte de la contraparte, un tribunal u otro perito informático forense cualificado.

Marco jurídico

En lo que respecta a los datos de los trabajadores, el artículo 26 de la BDSG constituye un punto de referencia legal fundamental. El artículo 26, apartado 1, de la BDSG permite el tratamiento de datos personales de los trabajadores a efectos de la relación laboral, siempre que se cumplan los requisitos allí establecidos. Para la detección de delitos, la norma exige, en particular, indicios fácticos que deban documentarse, así como la necesidad y la proporcionalidad; el interés digno de protección del trabajador no debe prevalecer. El artículo 26, apartado 6, de la BDSG no afecta a los derechos de participación de las organizaciones de representación de los trabajadores.

Además, se aplican los principios del RGPD, en particular la licitud, la limitación de la finalidad y la minimización de datos, según el artículo 5, así como el requisito de una base jurídica sólida, según el artículo 6. En el caso de categorías especiales de datos personales, deben tenerse en cuenta además el artículo 9 del RGPD y, en su caso, el artículo 26, apartado 3, de la BDSG.

En el caso de los dispositivos técnicos destinados a supervisar el comportamiento o el rendimiento de los trabajadores, el artículo 87, apartado 1, número 6, de la Ley de Coversión (BetrVG) establece un derecho de cogestión del comité de empresa, siempre que no exista ninguna disposición legal o convencional. Por lo tanto, en el caso de los sistemas MDM, EDR, DLP, de registro y similares, debe analizarse en cada caso su configuración concreta.

En el caso de las denuncias presentadas al amparo de la Ley de Protección de los Denunciantes, resulta especialmente relevante el artículo 8 de dicha ley. El principio de confidencialidad no solo protege la identidad del denunciante, sino también la de las personas objeto de la denuncia y la de cualquier otra persona mencionada en la misma. El artículo 9 de la HinSchG establece excepciones legales al principio de confidencialidad. El artículo 36 de la HinSchG prohíbe las represalias y establece una norma sobre la carga de la prueba en las condiciones allí mencionadas.

En el caso de los secretos comerciales, una investigación interna no debe considerar automáticamente una denuncia como una violación de dicho secreto. El artículo 5 de la Ley de Secretos Comerciales (GeschGehG) establece excepciones a las prohibiciones del artículo 4, entre otras cosas, en determinadas circunstancias para la detección de actos ilícitos o de conductas indebidas, ya sean profesionales o de otro tipo, así como para las divulgaciones necesarias ante los representantes de los trabajadores.

Si posteriormente se inicia un proceso civil, el Código de Procedimiento Civil (ZPO) contempla, entre otras cosas, la prueba mediante inspección visual; el artículo 371, apartado 1, del ZPO regula expresamente el caso en que un documento electrónico sea objeto de la prueba. Para la prueba pericial se aplican los artículos 402 y siguientes del ZPO. En un proceso penal, el tribunal determina el alcance de la práctica de la prueba con arreglo al Código de Procedimiento Penal (StPO); en particular, el artículo 244 del StPO regula el principio de investigación y las solicitudes de prueba. Sin embargo, estas normas procesales no convierten automáticamente un informe forense informático encargado de forma privada en un dictamen pericial judicial.

LanCologne ofrece servicios de peritaje técnico, pero no asesoramiento jurídico. La admisibilidad concreta de una medida de investigación, las consecuencias en materia de derecho laboral, la estrategia procesal y la valoración penal son competencia exclusiva de los asesores jurídicos pertinentes, las autoridades y los tribunales.

Preguntas frecuentes

¿Cómo puede una empresa investigar un caso de sospecha de incumplimiento normativo mediante técnicas de informática forense sin prejuzgar el resultado?+
Las investigaciones internas pueden acarrear consecuencias económicas, laborales y jurídicas considerables. Precisamente por ello, es necesario aclarar en primer lugar qué hecho técnico concreto se pretende demostrar o refutar. Disponer de la mayor cantidad posible de datos no es un indicador de calidad; lo decisivo es que la investigación sea adecuada, limitada y comprensible.
¿Cómo se lleva a cabo en la práctica una inspección técnica de este tipo?+
Wir übersetzen den Sachverhalt in überprüfbare technische Teilfragen und untersuchen nur die hierfür erforderlichen Systeme, Accounts, Zeiträume und Datenarten.
¿La investigación siempre arroja un resultado inequívoco en contra o a favor de una de las personas implicadas?+
Die IT-Forensik stellt technische Tatsachen fest. Ob daraus ein arbeits-, zivil- oder strafrechtlicher Verstoß folgt, ist gesondert zu bewerten.
¿Existe algún fundamento jurídico para ello?+
Für Beschäftigtendaten ist § 26 BDSG ein wesentlicher gesetzlicher Bezugspunkt. § 26 Abs. 1 BDSG erlaubt die Verarbeitung personenbezogener Beschäftigtendaten für Zwecke des Beschäftigungsverhältnisses unter den dort genannten Voraussetzungen. Zur Aufdeckung von Straftaten verlangt die Vorschrift insbesondere zu dokumentierende tatsächliche Anhaltspunkte, Erforderlichkeit und Verhältnismäßigkeit; das schutzwürdige Interesse der beschäftigten Person darf nicht überwiegen. § 26 Abs. 6 BDSG lässt Beteiligungsrechte der Interessenvertretungen unberührt. Daneben gelten die Grundsätze der DSGVO, insbesondere Rechtmäßigkeit, Zweckbindung und Datenminimierung nach Art. 5 sowie das Erfordernis einer tragfähigen Rechtsgrundlage nach Art. 6. Bei besonderen Kategorien personenbezogener Daten sind zusätzlich Art. 9 DSGVO und gegebenenfalls § 26 Abs. 3 BDSG zu beachten. Bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung von Arbeitnehmern zu überwachen, sieht § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht des Betriebsrats vor, soweit keine gesetzliche oder tarifliche Regelung besteht. Für MDM, EDR, DLP, Logging und vergleichbare Systeme muss daher jeweils die konkrete Ausgestaltung betrachtet werden. Bei Hinweisen nach dem Hinweisgeberschutzgesetz ist insbesondere § 8 HinSchG relevant. Das Vertraulichkeitsgebot schützt nicht nur die Identität der hinweisgebenden Person, sondern auch Personen, die Gegenstand einer Meldung sind, und sonstige in der Meldung genannte Personen. § 9 HinSchG enthält gesetzliche Ausnahmen vom Vertraulichkeitsgebot. § 36 HinSchG verbietet Repressalien und enthält unter den dort genannten Voraussetzungen eine Beweislastregel. Bei Geschäftsgeheimnissen darf eine interne Untersuchung eine Meldung nicht automatisch als Geheimnisverletzung behandeln. § 5 GeschGehG enthält Ausnahmen von den Verboten des § 4, unter anderem unter bestimmten Voraussetzungen zur Aufdeckung rechtswidriger Handlungen oder beruflichen beziehungsweise sonstigen Fehlverhaltens sowie für erforderliche Offenlegungen gegenüber Arbeitnehmervertretungen. Kommt es später zu einem Zivilprozess, kennt die ZPO unter anderem den Beweis durch Augenschein; § 371 Abs. 1 ZPO regelt ausdrücklich den Fall, dass ein elektronisches Dokument Gegenstand des Beweises ist. Für Sachverständigenbeweis gelten §§ 402 ff. ZPO. In einem Strafverfahren bestimmt das Gericht den Umfang der Beweisaufnahme nach der StPO; insbesondere § 244 StPO regelt den Untersuchungsgrundsatz und Beweisanträge. Diese prozessualen Vorschriften machen aus einem privat beauftragten IT-forensischen Bericht jedoch nicht automatisch ein gerichtliches Gutachten. LanCologne erbringt technische Sachverständigenarbeit und keine Rechtsberatung. Die konkrete Zulässigkeit einer Untersuchungsmaßnahme, arbeitsrechtliche Konsequenzen, prozessuale Strategie und strafrechtliche Bewertung bleiben der zuständigen Rechtsberatung, den Behörden und Gerichten vorbehalten.

LanCologne – Informática forense para empresas

¿Tiene alguna duda relacionada con el ámbito digital? LanCologne le ofrece apoyo mediante una investigación forense informática objetiva y sin prejuicios.

Ponte en contacto con nosotros ahora