Hvis en forretningshemmelighed bliver taget med eller delt, er et af de første spørgsmål ofte, hvad virksomheden selv gjorde for at beskytte den. Lov om forretningshemmeligheder lægger vægt på, at virksomheden har truffet rimelige foranstaltninger for at holde oplysningerne hemmelige. Det skal I kunne vise, og det kan I kun, hvis rutinerne findes, og hvis de efterlader spor.
Artiklen handler om den daglige praksis i virksomheden. Den juridiske side af, hvad der tæller som rimelige foranstaltninger, er beskrevet på advokatsitet. → Forretningshemmeligheder: bevis for rimelige beskyttelsesforanstaltninger
Hvad er jeres forretningshemmeligheder?
Begynd med en liste. Den behøver ikke være lang, men den skal være konkret. Typiske eksempler:
- kunde- og prislister, rabataftaler og marginer,
- kalkulationer og tilbudsskabeloner,
- opskrifter, tegninger, CAD-filer og produktionsmetoder,
- kildekode og tekniske løsninger,
- strategi, forretningsplaner og opkøbsplaner,
- leverandøraftaler og indkøbspriser.
Skriv for hver type, hvor den ligger, hvem der har adgang, og hvem der ejer den. Listen er i sig selv dokumentation for, at I har tænkt over det. Gem den med dato, og opdatér den mindst en gang om året. Tag listen op, når I lancerer nye produkter, får nye store kunder eller skifter systemer. En liste, der er fem år gammel, siger mindre end en, der er opdateret i år, og den kan i værste fald vise, at I ikke har fulgt op.
Rutiner, der beskytter og kan dokumenteres
1. Adgang efter behov
Giv kun adgang til dem, der har brug for oplysningerne i deres arbejde. Brug grupper og rettigheder i jeres systemer, ikke delte mapper, alle kan åbne. Gennemgå adgangene jævnligt, og gem resultatet. En oversigt over, hvem der havde adgang hvornår, er stærk dokumentation.
2. Mærkning
Mærk dokumenter og mapper som fortrolige, fx i sidehoved, filnavn eller med følsomhedsetiketter i Microsoft 365 eller Google Workspace. Mærkningen viser, at medarbejderne kunne vide, at oplysningerne var fortrolige.
3. Aftaler
Sørg for, at ansættelseskontrakter, fortrolighedsaftaler og aftaler med konsulenter og samarbejdspartnere beskriver fortrolighed, brug af data og tilbagelevering ved ophør. Gem de underskrevne aftaler, så de kan findes. → Ansættelseskontrakten: klausuler om data, udstyr og kontrol
Deler I fortrolige oplysninger med kunder eller leverandører, så brug en fortrolighedsaftale og gem den sammen med det, der blev delt. → Fortrolighedsaftaler og NDA-brud
4. Instruktion og orientering
Fortæl medarbejderne, hvad der er fortroligt, og hvordan de skal håndtere det. Gør det ved ansættelse og med jævne mellemrum. Gem dokumentation for, at det er sket: datoer, deltagere og materiale. En IT-politik, som ingen har set, er svag dokumentation.
5. Logning
Sørg for, at jeres systemer logger, hvem der åbner, downloader, deler og sletter filer. Logs gør det muligt at se, hvad der skete, og de viser, at I havde kontrol med adgangen. Tjek, hvor længe logs gemmes, og om licensniveauet giver den logning, I regner med. Logning af medarbejdere kræver, at reglerne om kontrol og persondata er overholdt, og at medarbejderne er orienteret. Tjek også eventuel overenskomst og kontrolaftale. → Minimumslogning: hvad bør være slået til?
6. Tekniske begrænsninger
Overvej at begrænse muligheden for at sende filer til private mailadresser, kopiere til USB eller dele eksternt fra de mest følsomme mapper. Dokumentér, hvilke begrænsninger der er slået til, og hvornår de blev indført.
7. Rutiner ved fratræden
Når en medarbejder stopper, så luk adgange, modtag udstyr med kvittering, og mind skriftligt om fortrolighedspligten. Gem dokumentationen. Det er her, mange sager starter.
8. Hjemmearbejde og private enheder
Arbejder medarbejdere hjemme eller på egne enheder, ligger der ofte kopier af fortrolige filer uden for jeres kontrol. Beslut, om følsomme data må hentes ned på private computere og telefoner, eller om de kun må bruges i jeres egne systemer. Brug gerne en løsning, hvor virksomhedens data på telefonen kan adskilles fra de private. Skriv reglerne ned, orientér medarbejderne, og gem dokumentation for begge dele. Er reglerne uklare, er det svært bagefter at sige, at en kopi på en privat enhed var et brud.
9. Samarbejdspartnere og deling udad
Mange forretningshemmeligheder forlader virksomheden helt lovligt: til en underleverandør, en rådgiver eller en kunde. Notér, hvad der deles, med hvem, og på hvilket grundlag. Brug delingslinks med udløbsdato frem for vedhæftede filer, og luk adgangen, når samarbejdet slutter. En enkel oversigt over aktive delinger er god dokumentation for, at I havde styr på det.
Hvem gør hvad?
- Ledelse · Beslutter, hvad der er fortroligt, og ejer listen
- HR · Aftaler, orientering og rutiner ved fratræden
- IT · Adgang, mærkning, logning og tekniske begrænsninger
- Afdelingsledere · Holder adgangene til egne data opdateret
- Advokat · Vurderer aftaler og klausuler
Typiske fejl
- Alle har adgang til alt. Det er svært at argumentere for, at noget var hemmeligt, hvis hele virksomheden kunne åbne det.
- Fortrolighed står kun i en politik, ingen har læst.
- Kundelisten ligger i et regneark, der sendes rundt pr. mail.
- Logs er slået fra eller gemmes kun i kort tid.
- Konsulenter og freelancere har adgang uden aftale.
- Rutinerne findes, men der er ingen dokumentation for, at de bliver fulgt.
Dokumentationsmappen
Saml dokumentationen for jeres beskyttelse ét sted, så den kan findes, hvis der opstår en sag:
- listen over forretningshemmeligheder med datoer,
- oversigter over adgange og gennemgange,
- skabeloner og underskrevne aftaler,
- materiale fra orienteringer og hvem der deltog,
- beskrivelse af logning og tekniske begrænsninger,
- rutiner for fratræden.
Det tager ikke lang tid at vedligeholde, og det kan spare meget, hvis sagen kommer. Hubben har en samlet side om forretningshemmeligheder og bevissikring. → Forretningshemmeligheder
Når beskyttelsen skal bruges
Opstår der mistanke om, at forretningshemmeligheder er taget med eller delt, er det jeres rutiner og logs, der bliver bevis. Sikr dem, før I gør andet, og undgå at undersøge selv i udstyr og konti. Er det en udvikler, der har taget kode med, er der særlige spor at sikre. → En udvikler har taget kildekoden med
Gør det i små skridt
I behøver ikke indføre alt på én gang. Begynd med listen, adgangene til de vigtigste mapper og aftalerne. Tag derefter logning og mærkning. Notér, hvornår hver rutine blev indført. Datoerne viser, at beskyttelsen var på plads, før sagen opstod, og ikke kom til bagefter. En kort status til ledelsen en gang om året gør det let at holde fast i arbejdet.
Hvornår skal I have hjælp udefra?
Få hjælp, hvis I er usikre på, om jeres logning og adgangsstyring vil kunne dokumentere, hvad der sker med følsomme data, eller hvis I vil have en uvildig vurdering af jeres beredskab. Er der allerede mistanke om, at oplysninger er taget med, så få hjælp med det samme.
Denne artikel handler om civile sager og interne undersøgelser.
Læs også: Tabt udbud: dokumentér jeres tilbud og kommunikationen · En udvikler har taget kildekoden med
→ Tvist med en IT-leverandør eller en kunde · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
