Informática forense · Empresas

¿Cómo debería una empresa conservar las pruebas digitales tras recibir una denuncia interna?

Nach einem internen Hinweis – etwa auf Betrug, Datenabfluss oder Compliance-Verstöße – entscheidet sich in den ersten Tagen, ob die relevanten Daten später noch vorhanden sind. Automatische Löschfristen, Kontodeaktivierung beim Ausscheiden oder Gerätewechsel können Beweise vernichten, bevor jemand danach sucht.

Solicitar información sin compromiso

Por qué esta cuestión es importante para una empresa

Las investigaciones internas pueden acarrear consecuencias económicas, laborales y jurídicas considerables. Precisamente por ello, es necesario aclarar en primer lugar qué hecho técnico concreto se pretende demostrar o refutar. Disponer de la mayor cantidad posible de datos no es un indicador de calidad; lo decisivo es que la investigación sea adecuada, limitada y comprensible.

Antecedentes técnicos

Viele Systeme löschen selbstständig: Microsoft 365 nach Aufbewahrungsrichtlinien, Protokolle nach Tagen bis Monaten (abhängig von Lizenz und Konfiguration), Mobilgeräte bei Rückgabe per Wipe. Eine frühzeitige Aufbewahrungsanordnung (Legal Hold) und gezielte Sicherung verhindern das, ohne dass sofort ausgewertet wird.

Pistas y fuentes de datos relevantes

• Postfächer und OneDrive/SharePoint (Litigation/Retention Hold)
• Microsoft 365 Unified Audit Log, Entra-ID-Anmeldungen
• Dienstliche Endgeräte (Notebook, Smartphone) vor Rückgabe oder Neuinstallation
• Server-, VPN- und Proxy-Logs
• ERP-/Buchhaltungsprotokolle, wenn fachlich relevant

Fronteras

• Bereits gelöschte Daten sind nur teilweise wiederherstellbar.
• Private Geräte und Konten sind ohne Rechtsgrundlage nicht Gegenstand.

Posibles resultados

• Gesicherter, dokumentierter Datenbestand
• Übersicht, welche Quellen verfügbar waren und welche fehlten

¿Por qué LanCologne?

Interne Untersuchungen sind besonders sensibel, weil wirtschaftliche Interessen des Unternehmens, Persönlichkeitsrechte von Beschäftigten, Datenschutz, betriebliche Mitbestimmung und mögliche spätere Rechtsverfahren gleichzeitig berührt sein können. LanCologne beginnt deshalb nicht mit einer möglichst umfassenden Durchsuchung der IT.

Así es como procedemos

• Klärung der Rechtsgrundlage und Beteiligung von Datenschutz/Betriebsrat.
• Sofortige Aufbewahrungsmaßnahmen für kurzlebige Quellen.
• Forensische Sicherung mit Hashwerten und Dokumentation, Auswertung erst nach Festlegung der Fragestellung.

No se deben emitir juicios precipitados, ni siquiera cuando ya existan sospechas fundamentadas a nivel interno

Una empresa puede considerar que ya existen indicios claros de sospecha por motivos organizativos o jurídicos. No obstante, el resultado de la investigación técnica sigue sin estar claro. También documentamos los hallazgos que contradicen la sospecha e indicamos expresamente cuando, a la luz de los datos obtenidos, no es posible demostrar una acción alegada.

Las conclusiones técnicas y la valoración jurídica siguen siendo independientes

La informática forense puede determinar, por ejemplo, que una cuenta concreta haya exportado un archivo, que un dispositivo estuviera conectado en un momento determinado o que se haya transmitido técnicamente un mensaje. De ello no se deduce automáticamente qué persona física ha actuado, si la acción estaba permitida o qué consecuencias se derivan de ella en materia laboral, civil o penal.

LanCologne como apoyo técnico independiente para el departamento jurídico y la dirección

LanCologne no tiene el encargo de confirmar técnicamente un resultado deseado. Se nos encarga responder de forma objetiva a una cuestión probatoria concreta basándonos en las huellas digitales disponibles. La investigación debe seguir siendo comprensible incluso si posteriormente es sometida a un examen crítico por parte de la contraparte, un tribunal u otro perito informático forense cualificado.

En lo que respecta a los datos de los trabajadores, el artículo 26 de la BDSG constituye un punto de referencia legal fundamental. El artículo 26, apartado 1, de la BDSG permite el tratamiento de datos personales de los trabajadores a efectos de la relación laboral, siempre que se cumplan los requisitos allí establecidos. Para la detección de delitos, la norma exige, en particular, indicios fácticos que deban documentarse, así como la necesidad y la proporcionalidad; el interés digno de protección del trabajador no debe prevalecer. El artículo 26, apartado 6, de la BDSG no afecta a los derechos de participación de las organizaciones de representación de los trabajadores.

Además, se aplican los principios del RGPD, en particular la licitud, la limitación de la finalidad y la minimización de datos, según el artículo 5, así como el requisito de una base jurídica sólida, según el artículo 6. En el caso de categorías especiales de datos personales, deben tenerse en cuenta además el artículo 9 del RGPD y, en su caso, el artículo 26, apartado 3, de la BDSG.

En el caso de los dispositivos técnicos destinados a supervisar el comportamiento o el rendimiento de los trabajadores, el artículo 87, apartado 1, número 6, de la Ley de Coversión (BetrVG) establece un derecho de cogestión del comité de empresa, siempre que no exista ninguna disposición legal o convencional. Por lo tanto, en el caso de los sistemas MDM, EDR, DLP, de registro y similares, debe analizarse en cada caso su configuración concreta.

En el caso de las denuncias presentadas al amparo de la Ley de Protección de los Denunciantes, resulta especialmente relevante el artículo 8 de dicha ley. El principio de confidencialidad no solo protege la identidad del denunciante, sino también la de las personas objeto de la denuncia y la de cualquier otra persona mencionada en la misma. El artículo 9 de la HinSchG establece excepciones legales al principio de confidencialidad. El artículo 36 de la HinSchG prohíbe las represalias y establece una norma sobre la carga de la prueba en las condiciones allí mencionadas.

En el caso de los secretos comerciales, una investigación interna no debe considerar automáticamente una denuncia como una violación de dicho secreto. El artículo 5 de la Ley de Secretos Comerciales (GeschGehG) establece excepciones a las prohibiciones del artículo 4, entre otras cosas, en determinadas circunstancias para la detección de actos ilícitos o de conductas indebidas, ya sean profesionales o de otro tipo, así como para las divulgaciones necesarias ante los representantes de los trabajadores.

Si posteriormente se inicia un proceso civil, el Código de Procedimiento Civil (ZPO) contempla, entre otras cosas, la prueba mediante inspección visual; el artículo 371, apartado 1, del ZPO regula expresamente el caso en que un documento electrónico sea objeto de la prueba. Para la prueba pericial se aplican los artículos 402 y siguientes del ZPO. En un proceso penal, el tribunal determina el alcance de la práctica de la prueba con arreglo al Código de Procedimiento Penal (StPO); en particular, el artículo 244 del StPO regula el principio de investigación y las solicitudes de prueba. Sin embargo, estas normas procesales no convierten automáticamente un informe forense informático encargado de forma privada en un dictamen pericial judicial.

LanCologne ofrece servicios de peritaje técnico, pero no asesoramiento jurídico. La admisibilidad concreta de una medida de investigación, las consecuencias en materia de derecho laboral, la estrategia procesal y la valoración penal son competencia exclusiva de los asesores jurídicos pertinentes, las autoridades y los tribunales.

Preguntas frecuentes

🔗 Temas relacionados