Informática Forense · Empresas

Como pode uma empresa verificar se um colaborador que se despede levou consigo dados da empresa?

Kurz vor dem Ausscheiden werden häufig Kundenlisten, Kalkulationen oder Quellcode kopiert – manchmal versehentlich, manchmal gezielt. Ob und wie Daten mitgenommen wurden, lässt sich oft rekonstruieren, wenn das Gerät nicht vorschnell neu installiert wird.

Pedido de informação sem compromisso

Por que razão esta questão é importante para uma empresa

Em caso de possíveis fugas de dados, estão frequentemente em jogo valores económicos consideráveis, relações com os clientes, conhecimentos de desenvolvimento ou vantagens competitivas. Uma investigação rigorosa deve, por isso, esclarecer com precisão que movimento de dados ocorreu efetivamente, sem deduzir uma violação da lei a partir de uma mera suspeita.

Technischer Hintergrund

Windows protokolliert angeschlossene USB-Geräte, geöffnete Dateien und Ordner in mehreren unabhängigen Artefakten. Cloud-Uploads, E-Mail-Weiterleitungen an private Adressen und Druckaufträge hinterlassen weitere Spuren. Entscheidend ist der Abgleich mit dem Zeitraum vor dem Ausscheiden.

Relevante Spuren und Datenquellen

  • USB-Geräte (Registry USBSTOR, MountedDevices, Setupapi-Log, Ereignisprotokolle)
  • Datei- und Ordnerzugriffe (LNK-Dateien, Jump Lists, Shellbags)
  • Browser-Uploads und private Cloud-Clients
  • E-Mail-Weiterleitungen und Postfachregeln (Microsoft 365 Audit Log)
  • Druckprotokolle

Grenzen

  • Was auf einem privaten Gerät mit den Daten geschah, ist ohne Zugriff darauf nicht feststellbar.
  • Ein Dateizugriff belegt nicht automatisch eine Kopie; eine Kopie belegt nicht automatisch eine Weitergabe.

Mögliche Ergebnisse

  • Kopiervorgänge auf USB oder in die Cloud zeitlich belegt
  • Kein Hinweis auf Mitnahme über die geprüften Kanäle
  • Liste betroffener Dateien

Porquê o LanCologne?

A suspeita de sustracção de dados ou de perda de informações confidenciais da empresa pode ter consequências económicas e jurídicas consideráveis. É precisamente por isso que a investigação não deve partir do resultado pretendido.

So gehen wir vor

  • Gerät und Konto vor Rückgabe bzw. Löschung sichern (Legal Hold).
  • Zeitraum festlegen (typisch: Wochen vor Kündigung bis Ausscheiden).
  • Korrelation der Spuren zu einer Zeitlinie; Abgleich mit dienstlicher Notwendigkeit.

O segredo comercial é uma classificação jurídica – a circulação de dados é uma questão técnica de prova

Podemos determinar ou identificar quais os ficheiros que existiam, quais os mecanismos técnicos de proteção que estavam em vigor e quais as ações de acesso, cópia ou transferência que são comprováveis. A questão de saber se a informação em causa preenche os requisitos de um segredo comercial e se uma ação foi não autorizada ou ilegal é avaliada juridicamente de forma separada.

Não se deve fazer juízos precipitados – nem mesmo no caso de padrões de transferências que chamem a atenção

Um acesso a ficheiros de dimensão invulgarmente grande, uma ligação USB ou um início de sessão na nuvem podem ser motivo para uma análise mais aprofundada, mas não constituem, por si só, uma conclusão. São igualmente analisados fluxos de trabalho alternativos. Nos casos em que continuam a existir várias explicações possíveis, essa incerteza não é substituída por uma suposição.

Por que razão se aplica o princípio LanCologne no que diz respeito à transferência de dados e aos segredos comerciais?

A LanCologne não realiza investigações com o objetivo de confirmar uma suspeita pré-definida. Respondemos à questão concreta relativa às provas técnicas, documentamos os dados primários subjacentes e indicamos com igual clareza o que não é possível provar. Desta forma, a direção e o departamento jurídico dispõem de uma base factual capaz de resistir a uma posterior verificação técnica por parte de especialistas.

Quadro jurídico

No que diz respeito aos colaboradores, o artigo 26.º da BDSG constitui um ponto de partida essencial. Para a deteção de infrações penais, o artigo 26.º, n.º 1, da BDSG exige, entre outros aspetos, indícios concretos que devem ser documentados, a necessidade e a proporcionalidade; o interesse digno de proteção do trabalhador não pode prevalecer. Além disso, aplicam-se os princípios do RGPD, nomeadamente a legalidade, a limitação da finalidade e a minimização dos dados.

A Lei de Proteção de Segredos Comerciais (GeschGehG) é fundamental no que diz respeito aos segredos comerciais. Nos termos do artigo 2.º, n.º 1, da GeschGehG, nem toda a informação confidencial é suficiente: a informação deve, entre outros requisitos, possuir valor económico, uma vez que não é de conhecimento geral nem facilmente acessível, deve ser objeto de medidas de confidencialidade adequadas às circunstâncias e deve existir um interesse legítimo na sua confidencialidade.

O § 4.º da GeschGehG proíbe, em determinadas condições, entre outras coisas, o acesso não autorizado, a apropriação não autorizada ou a cópia não autorizada de ficheiros eletrónicos que contenham um segredo comercial ou a partir dos quais este possa ser deduzido. A utilização e a divulgação também podem ser proibidas. Não cabe ao perito forense informático decidir se um ato comprovado tecnicamente preenche os elementos constitutivos do crime.

A Lei de Proteção dos Denunciantes (GeschGehG) prevê ainda algumas exceções. O artigo 5.º refere, em particular, determinados atos destinados à proteção de interesses legítimos, incluindo, sob determinadas condições, a deteção de atos ilícitos ou de condutas indevidas, quer profissionais quer de outra natureza. Além disso, a Lei de Proteção dos Denunciantes (HinSchG) pode ser aplicável. O artigo 6.º da HinSchG regula, sob determinadas condições, a transmissão ou divulgação de segredos comerciais no âmbito de denúncias protegidas. Por conseguinte, uma suspeita de fuga de dados não deve ser automaticamente equiparada a uma violação ilícita de segredo comercial.

A Lei sobre a Proteção de Dados (GeschGehG) prevê possíveis ações cíveis em caso de violações constatadas, incluindo a reparação e a cessação (§ 6), outras medidas nos termos do § 7, determinados direitos de acesso à informação nos termos do § 8 e indemnização por danos nos termos do § 10. A existência de quaisquer direitos em cada caso específico deve ser analisada do ponto de vista jurídico. A informática forense fornece, para o efeito, apenas a base factual técnica.

Na medida em que sejam utilizados meios técnicos para a vigilância dos colaboradores, podem também ser relevantes os direitos de participação do Conselho de Empresa, nomeadamente nos termos do artigo 87.º, n.º 1, n.º 6, da Lei da Organização das Empresas (BetrVG). A admissibilidade concreta será esclarecida antes da investigação pelas instâncias empresariais e jurídicas competentes.

Perguntas frequentes

Como pode uma empresa verificar se um colaborador que se despede levou consigo dados da empresa?+
Em caso de possíveis fugas de dados, estão frequentemente em jogo valores económicos consideráveis, relações com os clientes, conhecimentos de desenvolvimento ou vantagens competitivas. Uma investigação rigorosa deve, por isso, esclarecer com precisão que movimento de dados ocorreu efetivamente, sem deduzir uma violação da lei a partir de uma mera suspeita.
Das Notebook ist schon neu aufgesetzt – ist alles verloren?+
Viele Spuren ja. Cloud- und Server-Protokolle können trotzdem Hinweise liefern.
Darf der Arbeitgeber das dienstliche Gerät untersuchen?+
Grundsätzlich unter bestimmten Voraussetzungen; private Nutzung und Mitbestimmung sind zu berücksichtigen. Bitte rechtlich klären.
Wie schnell sollten wir handeln?+
Vor Rückgabe bzw. Neuinstallation des Geräts und bevor Konten gelöscht werden.

Weiterführende Themen

LanCologne – Informática forense para empresas

Tem alguma questão relacionada com o mundo digital? A LanCologne presta-lhe apoio através de uma investigação forense informática objetiva e imparcial.

Entre em contacto connosco agora