Bliver virksomheden bedt om at udlevere data i en sag mellem to andre parter, skal I først finde ud af, hvad grundlaget er: en venlig anmodning, et pålæg fra retten eller noget tredje. Udlevér ikke noget, før det er afklaret. Men sørg for, at de data, der bliver spurgt om, ikke bliver slettet, mens I finder ud af det. Det gælder både kundedata, logs og mails.
Situationen opstår oftere, end mange tror. En kunde er i strid med en anden, og I har data, der kan vise, hvad der skete. En tidligere medarbejder er i tvist med en ny arbejdsgiver, og jeres systemer kan vise noget om forløbet. Den juridiske side af edition fra tredjemand er beskrevet på advokatsitet. → Edition fra tredjemand: teleselskaber, banker og platforme
Typiske anmodninger
- En advokat skriver og beder om logs, mails eller kundedata til brug i en sag.
- Retten har pålagt jer at fremlægge bestemte dokumenter eller data.
- En kunde beder om udskrifter fra jeres system til brug i en tvist med en anden.
- En skønsmand beder om adgang til data i et system, I driver.
- En tidligere medarbejder beder om oplysninger om sig selv til brug i en sag.
Hvad gør I nu?
1. Find ud af, hvad grundlaget er
Er det en venlig anmodning fra en advokat, et pålæg fra retten eller en indsigtsanmodning efter databeskyttelsesreglerne? Grundlaget afgør, hvad I må og skal. Send anmodningen til jeres egen advokat eller juridiske rådgiver.
2. Bevar de relevante data
Selv om I ikke er part, kan det skabe problemer, hvis data forsvinder, efter I har fået anmodningen. Bed IT stoppe automatisk sletning af de data, anmodningen nævner, til sagen er afklaret. Notér, hvad der er gjort.
3. Tjek, hvad I har
Find ud af, om I overhovedet har de data, der bliver spurgt om, hvor de ligger, og hvor længe de gemmes. Det er nyttigt at vide, før I svarer, og det kan være, at de allerede er slettet efter jeres normale rutiner. Notér det i så fald.
4. Afklar persondata og fortrolighed
Data om kunder, medarbejdere og samarbejdspartnere er ofte persondata eller fortrolige. I skal have et grundlag for at udlevere dem. Det kan være et pålæg fra retten, et samtykke eller en anden hjemmel. Udlevér aldrig mere end nødvendigt. → GDPR og bevisførelse
Vær også opmærksom på aftaler med kunder om fortrolighed og databehandleraftaler. Er I databehandler for en kunde, kan det være kunden, der skal tage stilling til udleveringen.
5. Lav udtrækket kontrolleret
Er der grundlag for at udlevere, så lav udtrækket på samme måde, som hvis I selv var part: skriftlig afgrænsning, kontrollerede søgninger, eksport uden ændringer og en kort rapport over, hvad der er gjort. Fremgangsmåden er beskrevet her. → Editionsbegæring mod virksomheden: hvad skal IT finde frem?
6. Udlevér gennem den rette kanal
Udlevér til den, der har grundlag for at modtage data, fx retten eller den advokat, der har fået pålægget. Brug en sikker forsendelse. Gem en kopi af det udleverede og dokumentationen for, hvem det blev sendt til, og hvornår.
Når en kunde beder om data til sin egen sag
Den mest almindelige situation er en kunde, der står i en tvist med en anden og beder jer om udskrifter, logs eller historik fra jeres system. Ofte er det kundens egne data, og så kan kunden typisk få dem, ligesom i en almindelig supportsag. Men vær opmærksom, hvis data også rummer oplysninger om andre end kunden, fx den anden part i tvisten. Lav udtrækket på en måde, der kan dokumenteres: hvad der blev trukket ud, fra hvilket system, hvornår og af hvem. Det gør materialet mere værd for kunden, og det beskytter jer, hvis I senere bliver spurgt, hvordan det er lavet. Undlad at skrive vurderinger af tvisten i følgebrevet.
Hvem gør hvad?
- Ledelse · Beslutter, hvordan anmodningen håndteres
- Advokat eller jurist · Vurderer grundlaget og svarer
- IT · Bevarer, finder og eksporterer data
- DPO eller databeskyttelsesansvarlig · Vurderer persondata
- Kundeansvarlig · Tager kontakt til kunden, hvis det er aftalt
Det må I ikke gøre
- Udlevere data på en mail fra en advokat alene, uden at grundlaget er afklaret.
- Slette data, efter I har fået anmodningen. Selv om I ikke er part, kan det blive et problem.
- Udlevere mere end nødvendigt. Afgræns, og overstreg det, der ikke er omfattet, efter aftale med jeres rådgiver.
- Tage stilling til sagen. I skal levere data, ikke vurdere, hvem der har ret.
- Glemme at dokumentere. Notér, hvad I har gjort, også hvis I ender med ikke at udlevere noget.
Omkostninger
Et udtræk kan tage tid, især hvis det omfatter mange år eller flere systemer. Spørg jeres rådgiver, om I kan få dækket omkostningerne, og hvordan de skal opgøres. Notér tidsforbruget løbende.
Når det handler om jeres egne medarbejdere
Spørger en anden part om data om jeres egne medarbejdere, fx logs over, hvornår en medarbejder var på arbejde, er det særligt følsomt. Afklar grundlaget grundigt, og overvej, om medarbejderen skal orienteres. Det er en vurdering, der skal laves med jeres rådgiver. Kollegers og kunders data i en postkasse er et eksempel på, hvor afvejningen er nødvendig. → Kollegers og kunders data i medarbejderens mailboks
Når en skønsmand beder om adgang
Er der udmeldt en skønsmand i en sag mellem andre, og skal skønsmanden se data i et system, I driver, så aftal formen. Det kan være et udtræk, en kopi eller adgang under opsyn. Notér, hvad skønsmanden fik adgang til, hvornår, og hvem der var til stede. Sørg for, at adgangen lukkes igen bagefter, og at intet er ændret i jeres systemer.
Svar inden for fristen
Anmodninger og pålæg har ofte en frist. Notér den, når anmodningen kommer, og giv jeres rådgiver besked med det samme. Kan fristen ikke overholdes, fordi udtrækket er stort, så sig det tidligt og skriftligt. Et forklaret forsinket svar er bedre end tavshed. Gem al korrespondance om anmodningen samlet, så det senere kan ses, hvad der blev bedt om, hvad I svarede, og hvad der blev udleveret. Det gør det også let at håndtere en eventuel opfølgende anmodning.
Hvornår skal I have hjælp udefra?
Få hjælp, hvis anmodningen omfatter store datamængder, flere systemer eller backup, hvis der er tvivl om, hvad der kan udleveres, eller hvis I forventer, at udtrækket bliver bestridt. En uvildig IT-sagkyndig kan lave udtrækket og dokumentationen, så det kan efterprøves af begge parter.
Denne artikel handler om civile sager.
Læs også: Editionsbegæring mod virksomheden: hvad skal IT finde frem? · Virksomheden beskyldes for at have taget data fra en anden
→ IT-sagkyndig for virksomheder · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
