Informatique légale · Entreprises

Comment une entreprise peut-elle vérifier si un salarié qui quitte l'entreprise a emporté des données de l'entreprise ?

Kurz vor dem Ausscheiden werden häufig Kundenlisten, Kalkulationen oder Quellcode kopiert – manchmal versehentlich, manchmal gezielt. Ob und wie Daten mitgenommen wurden, lässt sich oft rekonstruieren, wenn das Gerät nicht vorschnell neu installiert wird.

Demande sans engagement

Pourquoi cette question est-elle importante pour une entreprise ?

En cas de fuites de données éventuelles, ce sont souvent des actifs économiques importants, des relations clients, des savoir-faire en matière de développement ou des avantages concurrentiels qui sont en jeu. Une enquête rigoureuse doit donc déterminer avec précision quels transferts de données ont effectivement eu lieu, sans pour autant conclure à une infraction sur la base d'un simple soupçon.

Technischer Hintergrund

Windows protokolliert angeschlossene USB-Geräte, geöffnete Dateien und Ordner in mehreren unabhängigen Artefakten. Cloud-Uploads, E-Mail-Weiterleitungen an private Adressen und Druckaufträge hinterlassen weitere Spuren. Entscheidend ist der Abgleich mit dem Zeitraum vor dem Ausscheiden.

Relevante Spuren und Datenquellen

• USB-Geräte (Registry USBSTOR, MountedDevices, Setupapi-Log, Ereignisprotokolle)
• Datei- und Ordnerzugriffe (LNK-Dateien, Jump Lists, Shellbags)
• Browser-Uploads und private Cloud-Clients
• E-Mail-Weiterleitungen und Postfachregeln (Microsoft 365 Audit Log)
• Druckprotokolle

Grenzen

• Was auf einem privaten Gerät mit den Daten geschah, ist ohne Zugriff darauf nicht feststellbar.
• Ein Dateizugriff belegt nicht automatisch eine Kopie; eine Kopie belegt nicht automatisch eine Weitergabe.

Mögliche Ergebnisse

• Kopiervorgänge auf USB oder in die Cloud zeitlich belegt
• Kein Hinweis auf Mitnahme über die geprüften Kanäle
• Liste betroffener Dateien

Pourquoi LanCologne ?

Le soupçon de détournement de données ou de perte d'informations confidentielles de l'entreprise peut avoir des conséquences économiques et juridiques considérables. C'est précisément pour cette raison que l'enquête ne doit pas partir du résultat souhaité.

So gehen wir vor

• Gerät und Konto vor Rückgabe bzw. Löschung sichern (Legal Hold).
• Zeitraum festlegen (typisch: Wochen vor Kündigung bis Ausscheiden).
• Korrelation der Spuren zu einer Zeitlinie; Abgleich mit dienstlicher Notwendigkeit.

Le secret d'affaires relève du droit – le flux de données est une question de preuve technique

Nous pouvons déterminer ou cerner quels fichiers existaient, quels mécanismes de protection techniques étaient en place et quelles opérations d'accès, de copie ou de transfert peuvent être prouvées. La question de savoir si les informations concernées remplissent les conditions requises pour être considérées comme un secret d'affaires et si une action était non autorisée ou illégale fait l'objet d'une appréciation juridique distincte.

Pas de jugement hâtif – même en cas de tendances de transfert inhabituelles

Un accès inhabituellement important à des fichiers, une connexion via une clé USB ou une connexion à un service cloud peuvent donner lieu à un examen plus approfondi, mais ne permettent pas encore de tirer de conclusion définitive. D'autres scénarios sont également étudiés. Lorsque plusieurs explications restent possibles, cette incertitude n'est pas remplacée par une supposition.

Pourquoi LanCologne en matière de transfert de données et de secrets d'affaires ?

LanCologne ne mène pas d'enquête dans le but de confirmer un soupçon préétabli. Nous répondons à la question technique concrète relative à la preuve, documentons les données primaires sous-jacentes et indiquons tout aussi clairement ce qui ne peut être prouvé. La direction et le service juridique disposent ainsi d’une base factuelle capable de résister à une vérification technique ultérieure.

En ce qui concerne les données relatives aux salariés, l'article 26 de la BDSG constitue un point de départ essentiel. Pour la détection d'infractions pénales, l'article 26, paragraphe 1, de la BDSG exige notamment l'existence d'indices factuels devant être documentés, ainsi que le respect des principes de nécessité et de proportionnalité ; l'intérêt légitime du salarié ne doit pas prévaloir. Par ailleurs, les principes du RGPD s'appliquent, notamment la licéité, la limitation de la finalité et le principe de minimisation des données.

La loi allemande sur la protection des secrets d'affaires (GeschGehG) revêt une importance capitale en matière de secrets d'affaires. Conformément à l’article 2, point 1, de la GeschGehG, toute information confidentielle ne suffit pas : l’information doit notamment présenter une valeur économique, car elle n’est pas de notoriété publique ni facilement accessible ; elle doit faire l’objet de mesures de confidentialité adaptées aux circonstances et il doit exister un intérêt légitime à la préserver.

L'article 4 de la loi allemande sur la protection des secrets d'affaires (GeschGehG) interdit, sous certaines conditions, notamment l'accès non autorisé à des fichiers électroniques contenant un secret d'affaires ou permettant d'en déduire l'existence, ainsi que leur appropriation ou leur copie non autorisées. L'utilisation et la divulgation peuvent également être interdites. Ce n’est pas à l’expert en informatique légale de déterminer si un acte techniquement prouvé remplit les éléments constitutifs de l’infraction.

La loi sur la protection des lanceurs d'alerte (GeschGehG) prévoit également des exceptions. L'article 5 mentionne notamment certains actes visant à protéger des intérêts légitimes, parmi lesquels, sous certaines conditions, la mise au jour d'actes illicites ou de fautes professionnelles ou autres. Par ailleurs, la loi sur la protection des lanceurs d’alerte (HinSchG) peut s’appliquer. L’article 6 de la HinSchG régit, sous certaines conditions, la transmission ou la divulgation de secrets d’affaires dans le cadre de signalements protégés. Un soupçon de fuite de données ne doit donc pas être automatiquement assimilé à une violation illicite du secret d’affaires.

La loi allemande sur la protection des droits de la propriété intellectuelle (GeschGehG) prévoit, en cas de violation constatée, des recours civils possibles, notamment la suppression et la cessation (§ 6), d'autres mesures au titre du § 7, certains droits à l'information au titre du § 8 et des dommages-intérêts au titre du § 10. Il convient de procéder à un examen juridique pour déterminer quelles sont les actions possibles dans chaque cas particulier. La criminalistique informatique ne fournit à cet égard que les éléments factuels techniques.

Dans la mesure où des dispositifs techniques de surveillance du personnel sont utilisés, les droits de participation du comité d'entreprise, notamment en vertu de l'article 87, paragraphe 1, point 6, de la loi allemande sur l'organisation des entreprises (BetrVG), peuvent également s'appliquer. La légalité concrète de ces mesures est vérifiée avant le contrôle par les instances compétentes au sein de l'entreprise et les instances juridiques.

Foire aux questions

Weiterführende Themen

• Comment peut-on vérifier si un collaborateur a transféré des fichiers de l'entreprise vers un compte de cloud privé ?
• Comment une entreprise peut-elle faire la distinction clairement entre le signalement d'irrégularités et la divulgation de secrets en cas de suspicion de fuite de données ?
• Comment une entreprise doit-elle conserver les preuves numériques après avoir reçu un signalement interne ?
• Informatique légale pour les entreprises

LanCologne – Informatique légale pour les entreprises

Vous avez une question d'ordre numérique ? LanCologne vous accompagne en menant une enquête informatique légale objective et sans a priori.

Nous contacter dès maintenant