Informática Forense · Empresas

Como deve uma empresa preservar as provas digitais após receber uma denúncia interna?

Nach einem internen Hinweis – etwa auf Betrug, Datenabfluss oder Compliance-Verstöße – entscheidet sich in den ersten Tagen, ob die relevanten Daten später noch vorhanden sind. Automatische Löschfristen, Kontodeaktivierung beim Ausscheiden oder Gerätewechsel können Beweise vernichten, bevor jemand danach sucht.

Pedido de informação sem compromisso

Por que razão esta questão é importante para uma empresa

As investigações internas podem ter consequências económicas, pessoais e jurídicas significativas. É precisamente por isso que é necessário esclarecer, em primeiro lugar, qual o facto técnico concreto que se pretende provar ou refutar. Uma quantidade de dados tão grande quanto possível não é um indicador de qualidade; o que é decisivo é que a investigação seja adequada, limitada e compreensível.

Technischer Hintergrund

Viele Systeme löschen selbstständig: Microsoft 365 nach Aufbewahrungsrichtlinien, Protokolle nach Tagen bis Monaten (abhängig von Lizenz und Konfiguration), Mobilgeräte bei Rückgabe per Wipe. Eine frühzeitige Aufbewahrungsanordnung (Legal Hold) und gezielte Sicherung verhindern das, ohne dass sofort ausgewertet wird.

Relevante Spuren und Datenquellen

• Postfächer und OneDrive/SharePoint (Litigation/Retention Hold)
• Microsoft 365 Unified Audit Log, Entra-ID-Anmeldungen
• Dienstliche Endgeräte (Notebook, Smartphone) vor Rückgabe oder Neuinstallation
• Server-, VPN- und Proxy-Logs
• ERP-/Buchhaltungsprotokolle, wenn fachlich relevant

Grenzen

• Bereits gelöschte Daten sind nur teilweise wiederherstellbar.
• Private Geräte und Konten sind ohne Rechtsgrundlage nicht Gegenstand.

Mögliche Ergebnisse

• Gesicherter, dokumentierter Datenbestand
• Übersicht, welche Quellen verfügbar waren und welche fehlten

Porquê o LanCologne?

Interne Untersuchungen sind besonders sensibel, weil wirtschaftliche Interessen des Unternehmens, Persönlichkeitsrechte von Beschäftigten, Datenschutz, betriebliche Mitbestimmung und mögliche spätere Rechtsverfahren gleichzeitig berührt sein können. LanCologne beginnt deshalb nicht mit einer möglichst umfassenden Durchsuchung der IT.

So gehen wir vor

• Klärung der Rechtsgrundlage und Beteiligung von Datenschutz/Betriebsrat.
• Sofortige Aufbewahrungsmaßnahmen für kurzlebige Quellen.
• Forensische Sicherung mit Hashwerten und Dokumentation, Auswertung erst nach Festlegung der Fragestellung.

Não se deve antecipar o veredicto – mesmo quando já existe uma suspeita firmada a nível interno

Uma empresa pode, por motivos organizacionais ou jurídicos, considerar que já existe uma suspeita clara. No entanto, o resultado da investigação técnica permanece em aberto. Também documentamos os resultados que contradizem a suspeita e indicamos expressamente quando uma ação alegada não pode ser comprovada com base nos dados obtidos.

As conclusões técnicas e a avaliação jurídica permanecem separadas

A informática forense pode, por exemplo, determinar que uma determinada conta exportou um ficheiro, que um dispositivo estava ligado num determinado momento ou que uma mensagem foi tecnicamente transmitida. Isso não implica automaticamente a identificação da pessoa singular responsável pela ação, nem se a ação foi permitida, nem quais as consequências decorrentes em termos de direito do trabalho, direito civil ou direito penal.

A LanCologne como apoio técnico independente para o departamento jurídico e a direção

A LanCologne não é encarregada de confirmar tecnicamente um resultado pretendido. Somos contratados para responder de forma objetiva a uma questão probatória concreta, com base nos vestígios digitais disponíveis. A investigação deve permanecer compreensível, mesmo que venha a ser analisada criticamente posteriormente por uma parte contrária, um tribunal ou outro perito forense informático qualificado.

No que diz respeito aos dados dos trabalhadores, o artigo 26.º da BDSG constitui um ponto de referência legal essencial. O artigo 26.º, n.º 1, da BDSG permite o tratamento de dados pessoais dos trabalhadores para fins relacionados com a relação laboral, nas condições aí previstas. Para a deteção de infrações penais, a disposição exige, em particular, indícios factuais que devam ser documentados, bem como a necessidade e a proporcionalidade; o interesse digno de proteção do trabalhador não pode prevalecer. O § 26, n.º 6, da BDSG não afeta os direitos de participação das entidades representativas dos interesses dos trabalhadores.

Além disso, aplicam-se os princípios do RGPD, nomeadamente a legalidade, a limitação da finalidade e a minimização dos dados, nos termos do artigo 5.º, bem como a exigência de uma base jurídica válida, nos termos do artigo 6.º. No que diz respeito a categorias especiais de dados pessoais, devem ser igualmente observados o artigo 9.º do RGPD e, se for caso disso, o n.º 3 do artigo 26.º da BDSG.

No que diz respeito aos equipamentos técnicos destinados a monitorizar o comportamento ou o desempenho dos trabalhadores, o artigo 87.º, n.º 1, n.º 6, da BetrVG prevê um direito de cogestão do conselho de empresa, na medida em que não existam disposições legais ou convencionais. No que diz respeito a sistemas de MDM, EDR, DLP, registo de atividades e sistemas semelhantes, deve, por conseguinte, ser analisada a configuração concreta de cada um deles.

No que diz respeito às denúncias ao abrigo da Lei de Proteção dos Denunciantes, o artigo 8.º da HinSchG é particularmente relevante. O princípio da confidencialidade protege não só a identidade do denunciante, mas também as pessoas que são objeto da denúncia e quaisquer outras pessoas mencionadas na mesma. O artigo 9.º da HinSchG prevê exceções legais ao princípio da confidencialidade. O artigo 36.º da HinSchG proíbe represálias e estabelece, nas condições aí previstas, uma regra relativa ao ónus da prova.

No que diz respeito aos segredos comerciais, uma investigação interna não deve considerar automaticamente uma denúncia como uma violação do segredo. O artigo 5.º da Lei sobre Segredos Comerciais (GeschGehG) prevê exceções às proibições do artigo 4.º, nomeadamente em determinadas condições para a deteção de atos ilícitos ou de condutas profissionais ou outras condutas indevidas, bem como para divulgações necessárias às representações dos trabalhadores.

Caso venha a ocorrer posteriormente um processo cível, o Código de Processo Cível (ZPO) prevê, entre outros, a prova por inspeção; o artigo 371.º, n.º 1, do ZPO regula expressamente o caso em que um documento eletrónico é objeto da prova. No que diz respeito à prova pericial, aplicam-se os artigos 402.º e seguintes do ZPO. Num processo penal, o tribunal determina o âmbito da instrução de prova nos termos do Código de Processo Penal (StPO); em particular, o artigo 244.º do StPO regula o princípio da investigação e os pedidos de prova. No entanto, estas disposições processuais não transformam automaticamente um relatório forense informático encomendado a título privado num parecer pericial judicial.

A LanCologne presta serviços de peritagem técnica e não de aconselhamento jurídico. A admissibilidade concreta de uma medida de investigação, as consequências em matéria de direito do trabalho, a estratégia processual e a avaliação penal são da competência exclusiva dos consultores jurídicos competentes, das autoridades e dos tribunais.

Perguntas frequentes

🔗 Temas relacionados