Informatique légale · Entreprises

Comment une entreprise doit-elle conserver les preuves numériques après avoir reçu un signalement interne ?

Nach einem internen Hinweis – etwa auf Betrug, Datenabfluss oder Compliance-Verstöße – entscheidet sich in den ersten Tagen, ob die relevanten Daten später noch vorhanden sind. Automatische Löschfristen, Kontodeaktivierung beim Ausscheiden oder Gerätewechsel können Beweise vernichten, bevor jemand danach sucht.

Demande sans engagement

Pourquoi cette question est-elle importante pour une entreprise ?

Les enquêtes internes peuvent avoir des conséquences économiques, humaines et juridiques considérables. C'est précisément pour cette raison qu'il convient tout d'abord de déterminer quel fait technique concret doit être prouvé ou réfuté. Le volume de données, aussi important soit-il, n'est pas un gage de qualité ; ce qui est déterminant, c'est que l'enquête soit menée de manière appropriée, ciblée et traçable.

Technischer Hintergrund

Viele Systeme löschen selbstständig: Microsoft 365 nach Aufbewahrungsrichtlinien, Protokolle nach Tagen bis Monaten (abhängig von Lizenz und Konfiguration), Mobilgeräte bei Rückgabe per Wipe. Eine frühzeitige Aufbewahrungsanordnung (Legal Hold) und gezielte Sicherung verhindern das, ohne dass sofort ausgewertet wird.

Relevante Spuren und Datenquellen

• Postfächer und OneDrive/SharePoint (Litigation/Retention Hold)
• Microsoft 365 Unified Audit Log, Entra-ID-Anmeldungen
• Dienstliche Endgeräte (Notebook, Smartphone) vor Rückgabe oder Neuinstallation
• Server-, VPN- und Proxy-Logs
• ERP-/Buchhaltungsprotokolle, wenn fachlich relevant

Grenzen

• Bereits gelöschte Daten sind nur teilweise wiederherstellbar.
• Private Geräte und Konten sind ohne Rechtsgrundlage nicht Gegenstand.

Mögliche Ergebnisse

• Gesicherter, dokumentierter Datenbestand
• Übersicht, welche Quellen verfügbar waren und welche fehlten

Pourquoi LanCologne ?

Interne Untersuchungen sind besonders sensibel, weil wirtschaftliche Interessen des Unternehmens, Persönlichkeitsrechte von Beschäftigten, Datenschutz, betriebliche Mitbestimmung und mögliche spätere Rechtsverfahren gleichzeitig berührt sein können. LanCologne beginnt deshalb nicht mit einer möglichst umfassenden Durchsuchung der IT.

So gehen wir vor

• Klärung der Rechtsgrundlage und Beteiligung von Datenschutz/Betriebsrat.
• Sofortige Aufbewahrungsmaßnahmen für kurzlebige Quellen.
• Forensische Sicherung mit Hashwerten und Dokumentation, Auswertung erst nach Festlegung der Fragestellung.

Pas de jugement hâtif – même en cas de soupçon déjà bien établi en interne

Une entreprise peut, pour des raisons organisationnelles ou juridiques, considérer qu’il existe déjà des soupçons fondés. L’issue de l’enquête technique reste toutefois incertaine. Nous consignons également les éléments qui contredisent ces soupçons et indiquons expressément lorsqu’un acte allégué ne peut être prouvé sur la base des données obtenues.

Les conclusions techniques et l'appréciation juridique restent distinctes

La criminalistique informatique peut, par exemple, établir qu'un compte donné a exporté un fichier, qu'un appareil était connecté à un moment précis ou qu'un message a été transmis d'un point de vue technique. Cela ne permet toutefois pas de déterminer automatiquement quelle personne physique a agi, si l'action était autorisée ou quelles en sont les conséquences en matière de droit du travail, de droit civil ou de droit pénal.

LanCologne en tant que support technique indépendant pour le service juridique et la direction

LanCologne n'est pas chargé de confirmer techniquement un résultat souhaité. Nous sommes mandatés pour répondre de manière objective à une question de preuve concrète sur la base des traces numériques disponibles. L'enquête doit rester compréhensible même si elle fait l'objet d'un examen critique ultérieur de la part d'une partie adverse, d'un tribunal ou d'un autre expert en informatique légale qualifié.

En ce qui concerne les données relatives aux salariés, l'article 26 de la BDSG constitue une référence juridique essentielle. L'article 26, paragraphe 1, de la BDSG autorise le traitement des données à caractère personnel des salariés à des fins liées à la relation de travail, sous réserve des conditions qui y sont énoncées. En vue de la détection d’infractions pénales, cette disposition exige notamment l’existence d’indices concrets devant être documentés, ainsi que le respect des principes de nécessité et de proportionnalité ; l’intérêt digne de protection du salarié ne doit pas prévaloir. L’article 26, paragraphe 6, de la BDSG ne porte pas atteinte aux droits de participation des organisations représentatives.

Par ailleurs, les principes du RGPD s'appliquent, notamment ceux de licéité, de limitation de la finalité et de minimisation des données visés à l'article 5, ainsi que l'exigence d'une base juridique valable visée à l'article 6. En ce qui concerne les catégories particulières de données à caractère personnel, il convient en outre de respecter l'article 9 du RGPD et, le cas échéant, l'article 26, paragraphe 3, de la BDSG.

En ce qui concerne les dispositifs techniques destinés à surveiller le comportement ou les performances des salariés, l'article 87, paragraphe 1, point 6, de la loi allemande sur la cogestion (BetrVG) prévoit un droit de cogestion pour le comité d'entreprise, dans la mesure où aucune disposition légale ou conventionnelle n'existe en la matière. Pour les systèmes MDM, EDR, DLP, de journalisation et autres systèmes similaires, il convient donc d'examiner au cas par cas leur configuration concrète.

En ce qui concerne les signalements au titre de la loi sur la protection des lanceurs d'alerte, l'article 8 de la HinSchG est particulièrement pertinent. Le principe de confidentialité protège non seulement l'identité du lanceur d'alerte, mais aussi les personnes faisant l'objet d'un signalement et toute autre personne mentionnée dans celui-ci. L'article 9 de la HinSchG prévoit des exceptions légales au principe de confidentialité. L'article 36 de la HinSchG interdit les représailles et prévoit, dans les conditions qui y sont énoncées, une règle relative à la charge de la preuve.

En matière de secrets d'affaires, une enquête interne ne doit pas automatiquement considérer une déclaration comme une violation du secret. L'article 5 de la loi allemande sur la protection des secrets d'affaires (GeschGehG) prévoit des exceptions aux interdictions de l'article 4, notamment sous certaines conditions visant à mettre au jour des actes illicites ou des fautes professionnelles ou autres, ainsi que pour les divulgations nécessaires aux représentants du personnel.

Si une procédure civile est engagée ultérieurement, le Code de procédure civile (ZPO) prévoit notamment la preuve par inspection sur place ; l'article 371, alinéa 1, du ZPO régit expressément le cas où un document électronique fait l'objet de la preuve. Les articles 402 et suivants du ZPO s'appliquent à la preuve d'expert. Dans une procédure pénale, c'est le tribunal qui détermine l'étendue de l'instruction conformément au Code de procédure pénale (StPO) ; l'article 244 du StPO régit notamment le principe d'instruction et les demandes de preuve. Ces dispositions procédurales ne transforment toutefois pas automatiquement un rapport d'expertise informatique commandé à titre privé en une expertise judiciaire.

LanCologne fournit des expertises techniques et non des conseils juridiques. L'admissibilité concrète d'une mesure d'enquête, les conséquences en matière de droit du travail, la stratégie procédurale et l'appréciation pénale relèvent de la compétence des conseillers juridiques, des autorités et des tribunaux compétents.

Foire aux questions

🔗 Sujets connexes