Informática Forense · Empresas

Como pode uma empresa verificar se um colaborador que se despede levou consigo dados da empresa?

Quando um colaborador se despede, pode surgir a suspeita de que foram copiados ou transferidos dados da empresa. No entanto, a mera coincidência temporal não constitui, por si só, prova de que os dados foram levados.

Pedido de informação sem compromisso

Por que razão esta questão é importante para uma empresa

Em caso de possíveis fugas de dados, estão frequentemente em jogo valores económicos consideráveis, relações com os clientes, conhecimentos de desenvolvimento ou vantagens competitivas. Uma investigação rigorosa deve, por isso, esclarecer com precisão que movimento de dados ocorreu efetivamente, sem deduzir uma violação da lei a partir de uma mera suspeita.

Abordagem técnica de investigação

Wir definieren die konkret relevanten Datenbestände und untersuchen geeignete Spuren zu Dateioperationen, externen Datenträgern, Cloud-, E-Mail- oder anderen Übertragungswegen.

Onde se situa o limite da afirmação

Eine erhöhte Dateiaktivität kurz vor dem Ausscheiden ist kein automatischer Nachweis einer unbefugten Mitnahme. Übergabe-, Archivierungs- oder Projektarbeiten müssen als Alternativerklärung geprüft werden.

Porquê o LanCologne?

A suspeita de sustracção de dados ou de perda de informações confidenciais da empresa pode ter consequências económicas e jurídicas consideráveis. É precisamente por isso que a investigação não deve partir do resultado pretendido.

A LanCologne traduz, em primeiro lugar, os factos em questões técnicas concretas: Que ficheiros ou conjuntos de dados estão em causa? Foram efetivamente abertos, copiados, exportados, arquivados ou transferidos? Qual é a via de transmissão técnica comprovável? Quando é que isso aconteceu? Que contexto de dispositivo, conta ou sessão é comprovável?

Neste contexto, fazemos uma distinção rigorosa entre possibilidade de acesso, acesso efetivo, processo de cópia e transferência bem-sucedida. Na prática, estes conceitos são frequentemente confundidos, embora descrevam factos tecnicamente distintos.

Os resultados determinantes são, na medida do possível, verificados com base nos dados primários e correlacionados com fontes independentes. Um alarme automático, um relatório de ferramenta ou um simples registo temporal não são considerados provas sem serem previamente verificados.

Da mesma forma, são analisadas explicações alternativas habituais. Os processos de transferência, os arquivos de projetos, as cópias de segurança, a sincronização, as atualizações de software ou a utilização autorizada da nuvem podem gerar vestígios que, sem contexto, parecem suspeitos. Só depois de essas explicações terem sido delimitadas com base nos dados é que é possível realizar uma avaliação técnica fiável.

No caso do LanCologne, mesmo um resultado negativo constitui um resultado completo do exame. Se não for possível confirmar uma alegada transferência de dados, tal facto é documentado da mesma forma que uma transferência comprovada.

A nossa forma de trabalhar

1Documentar o motivo da suspeita e a questão concreta relativa às provas técnicas.
2Definir o quadro jurídico e as competências através das empresas ou de assessoria jurídica.
3Limitar os conjuntos de dados, dispositivos, contas e períodos relevantes.
4Obter atempadamente dados probatórios variáveis.
5Documentar as fontes de dados, a origem e as informações relativas à integridade.
6Separar tecnicamente o acesso, a cópia, a exportação, o arquivamento e a transferência.
7Identificar os meios-alvo e as vias de transmissão apenas com base em indícios concretos.
8Não se deve confundir a atribuição de dispositivos, contas e pessoas.
9Analisar também os processos de trabalho habituais e outras explicações alternativas.
10Documentar tecnicamente as medidas de proteção relativas aos segredos comerciais alegados, na medida do relevante.
11Apresentar de forma equivalente os resultados indicativos de doença, os resultados que excluem a doença e os resultados inconclusivos.
12Distinguir expressamente entre a constatação técnica e a avaliação jurídica.

O segredo comercial é uma classificação jurídica – a circulação de dados é uma questão técnica de prova

Podemos determinar ou identificar quais os ficheiros que existiam, quais os mecanismos técnicos de proteção que estavam em vigor e quais as ações de acesso, cópia ou transferência que são comprováveis. A questão de saber se a informação em causa preenche os requisitos de um segredo comercial e se uma ação foi não autorizada ou ilegal é avaliada juridicamente de forma separada.

Não se deve fazer juízos precipitados – nem mesmo no caso de padrões de transferências que chamem a atenção

Um acesso a ficheiros de dimensão invulgarmente grande, uma ligação USB ou um início de sessão na nuvem podem ser motivo para uma análise mais aprofundada, mas não constituem, por si só, uma conclusão. São igualmente analisados fluxos de trabalho alternativos. Nos casos em que continuam a existir várias explicações possíveis, essa incerteza não é substituída por uma suposição.

Por que razão se aplica o princípio LanCologne no que diz respeito à transferência de dados e aos segredos comerciais?

A LanCologne não realiza investigações com o objetivo de confirmar uma suspeita pré-definida. Respondemos à questão concreta relativa às provas técnicas, documentamos os dados primários subjacentes e indicamos com igual clareza o que não é possível provar. Desta forma, a direção e o departamento jurídico dispõem de uma base factual capaz de resistir a uma posterior verificação técnica por parte de especialistas.

Quadro jurídico

No que diz respeito aos colaboradores, o artigo 26.º da BDSG constitui um ponto de partida essencial. Para a deteção de infrações penais, o artigo 26.º, n.º 1, da BDSG exige, entre outros aspetos, indícios concretos que devem ser documentados, a necessidade e a proporcionalidade; o interesse digno de proteção do trabalhador não pode prevalecer. Além disso, aplicam-se os princípios do RGPD, nomeadamente a legalidade, a limitação da finalidade e a minimização dos dados.

A Lei de Proteção de Segredos Comerciais (GeschGehG) é fundamental no que diz respeito aos segredos comerciais. Nos termos do artigo 2.º, n.º 1, da GeschGehG, nem toda a informação confidencial é suficiente: a informação deve, entre outros requisitos, possuir valor económico, uma vez que não é de conhecimento geral nem facilmente acessível, deve ser objeto de medidas de confidencialidade adequadas às circunstâncias e deve existir um interesse legítimo na sua confidencialidade.

O § 4.º da GeschGehG proíbe, em determinadas condições, entre outras coisas, o acesso não autorizado, a apropriação não autorizada ou a cópia não autorizada de ficheiros eletrónicos que contenham um segredo comercial ou a partir dos quais este possa ser deduzido. A utilização e a divulgação também podem ser proibidas. Não cabe ao perito forense informático decidir se um ato comprovado tecnicamente preenche os elementos constitutivos do crime.

A Lei de Proteção dos Denunciantes (GeschGehG) prevê ainda algumas exceções. O artigo 5.º refere, em particular, determinados atos destinados à proteção de interesses legítimos, incluindo, sob determinadas condições, a deteção de atos ilícitos ou de condutas indevidas, quer profissionais quer de outra natureza. Além disso, a Lei de Proteção dos Denunciantes (HinSchG) pode ser aplicável. O artigo 6.º da HinSchG regula, sob determinadas condições, a transmissão ou divulgação de segredos comerciais no âmbito de denúncias protegidas. Por conseguinte, uma suspeita de fuga de dados não deve ser automaticamente equiparada a uma violação ilícita de segredo comercial.

A Lei sobre a Proteção de Dados (GeschGehG) prevê possíveis ações cíveis em caso de violações constatadas, incluindo a reparação e a cessação (§ 6), outras medidas nos termos do § 7, determinados direitos de acesso à informação nos termos do § 8 e indemnização por danos nos termos do § 10. A existência de quaisquer direitos em cada caso específico deve ser analisada do ponto de vista jurídico. A informática forense fornece, para o efeito, apenas a base factual técnica.

Na medida em que sejam utilizados meios técnicos para a vigilância dos colaboradores, podem também ser relevantes os direitos de participação do Conselho de Empresa, nomeadamente nos termos do artigo 87.º, n.º 1, n.º 6, da Lei da Organização das Empresas (BetrVG). A admissibilidade concreta será esclarecida antes da investigação pelas instâncias empresariais e jurídicas competentes.

Perguntas frequentes

Como pode uma empresa verificar se um colaborador que se despede levou consigo dados da empresa?+
Em caso de possíveis fugas de dados, estão frequentemente em jogo valores económicos consideráveis, relações com os clientes, conhecimentos de desenvolvimento ou vantagens competitivas. Uma investigação rigorosa deve, por isso, esclarecer com precisão que movimento de dados ocorreu efetivamente, sem deduzir uma violação da lei a partir de uma mera suspeita.
Como é que essa análise técnica decorre na prática?+
Wir definieren die konkret relevanten Datenbestände und untersuchen geeignete Spuren zu Dateioperationen, externen Datenträgern, Cloud-, E-Mail- oder anderen Übertragungswegen.
A investigação conduz sempre a um resultado inequívoco, seja a favor ou contra uma das pessoas envolvidas?+
Eine erhöhte Dateiaktivität kurz vor dem Ausscheiden ist kein automatischer Nachweis einer unbefugten Mitnahme. Übergabe-, Archivierungs- oder Projektarbeiten müssen als Alternativerklärung geprüft werden.
Existe alguma base legal para isso?+
Bei Mitarbeiterbezug bleibt § 26 BDSG ein wesentlicher Ausgangspunkt. Für die Aufdeckung von Straftaten verlangt § 26 Abs. 1 BDSG unter anderem zu dokumentierende tatsächliche Anhaltspunkte, Erforderlichkeit und Verhältnismäßigkeit; das schutzwürdige Interesse der beschäftigten Person darf nicht überwiegen. Daneben gelten die Grundsätze der DSGVO, insbesondere Rechtmäßigkeit, Zweckbindung und Datenminimierung. Für Geschäftsgeheimnisse ist das GeschGehG zentral. Nach § 2 Nr. 1 GeschGehG genügt nicht jede vertrauliche Information: Die Information muss unter anderem wirtschaftlichen Wert besitzen, weil sie nicht allgemein bekannt oder ohne Weiteres zugänglich ist, Gegenstand den Umständen nach angemessener Geheimhaltungsmaßnahmen sein und es muss ein berechtigtes Geheimhaltungsinteresse bestehen. § 4 GeschGehG verbietet unter bestimmten Voraussetzungen unter anderem den unbefugten Zugang zu, die unbefugte Aneignung oder das unbefugte Kopieren von elektronischen Dateien, die ein Geschäftsgeheimnis enthalten oder aus denen es sich ableiten lässt. Nutzung und Offenlegung können ebenfalls verboten sein. Ob ein technisch nachgewiesener Vorgang die rechtlichen Tatbestandsmerkmale erfüllt, entscheidet nicht der IT-Forensiker. Das GeschGehG enthält außerdem Ausnahmen. § 5 nennt insbesondere bestimmte Handlungen zum Schutz berechtigter Interessen, darunter unter Voraussetzungen die Aufdeckung rechtswidriger Handlungen oder beruflichen beziehungsweise sonstigen Fehlverhaltens. Zusätzlich kann das Hinweisgeberschutzgesetz einschlägig sein. § 6 HinSchG regelt unter bestimmten Voraussetzungen die Weitergabe beziehungsweise Offenlegung von Geschäftsgeheimnissen im Rahmen geschützter Meldungen. Ein Datenabflussverdacht darf daher nicht automatisch mit einer rechtswidrigen Geheimnisverletzung gleichgesetzt werden. Das GeschGehG sieht bei festgestellten Rechtsverletzungen mögliche zivilrechtliche Ansprüche vor, darunter Beseitigung und Unterlassung (§ 6), weitere Maßnahmen nach § 7, bestimmte Auskunftsansprüche nach § 8 und Schadensersatz nach § 10. Welche Ansprüche im Einzelfall bestehen, ist juristisch zu prüfen. Die IT-Forensik liefert hierfür lediglich die technische Tatsachengrundlage. Soweit technische Einrichtungen zur Mitarbeiterüberwachung eingesetzt werden, können außerdem Beteiligungsrechte des Betriebsrats, insbesondere nach § 87 Abs. 1 Nr. 6 BetrVG, relevant sein. Die konkrete Zulässigkeit wird vor der Untersuchung durch die zuständigen betrieblichen und rechtlichen Stellen geklärt.

LanCologne – Informática forense para empresas

Tem alguma questão relacionada com o mundo digital? A LanCologne presta-lhe apoio através de uma investigação forense informática objetiva e imparcial.

Entre em contacto connosco agora