En sag om en medarbejder, der har taget data med, forløber typisk i seks faser: mistanke, bevarelse, sikring, undersøgelse, juridiske skridt og afslutning. De første dage er de vigtigste, fordi det er her, beviserne enten bliver bevaret eller går tabt. Derefter går sagen ofte i et roligere tempo, hvor advokaten styrer de juridiske skridt på grundlag af det, der er sikret.
Forløbet nedenfor er generisk. Det bygger ikke på en bestemt sag og er ikke en beskrivelse af en kundes sag. Det er et typisk mønster, som giver ledelsen et billede af, hvad der venter. Jeres sag kan se anderledes ud, og nogle faser kan falde bort eller overlappe.
Fase 1: Mistanken (dag 0)
Det starter sjældent med et klart bevis. Det starter med et signal: En kunde nævner, at de har fået et tilbud fra en ny konkurrent med jeres priser. En kollega har set, at den fratrådte medarbejder kopierede filer. En konkurrent lancerer pludselig et produkt, der ligner jeres meget.
Det, der sker i denne fase:
- Ledelsen får mistanken og taler med de få, der skal vide det.
- Nogen skriver ned, hvad der konkret har givet mistanke.
- En person udpeges til at styre sagen.
Den typiske fejl i fasen er at handle for hurtigt i den forkerte retning: at konfrontere medarbejderen, at bede IT om at kigge, eller at skrive til kunder.
Fase 2: Bevarelse (dag 0-2)
Inden der undersøges noget, skal data bevares. Det er IT’s opgave efter instruks fra den, der styrer sagen:
- Medarbejderens konto spærres, men slettes ikke.
- Postkasse og cloud-lager sættes på hold.
- Computer og telefon tages ud af brug og opbevares uændret.
- Revisionslogs og relevante backups beskyttes mod sletning.
→ Medarbejderen er stoppet: tjekliste til de første 48 timer
Er medarbejderen stadig ansat, er bevarelsen mere følsom, fordi den skal ske uden at advare. Det kræver ofte rådgivning, før I går i gang. Det gælder også spørgsmålet om, hvornår medarbejderen skal fritstilles, og hvordan udstyret i så fald afleveres, så intet når at blive slettet.
Fase 3: Første rådgivning og sikring (dag 1-7)
Ledelsen kontakter advokat og IT-sagkyndig. Advokaten vurderer, hvilke rettigheder virksomheden har, for eksempel efter ansættelseskontrakten, klausuler og reglerne om forretningshemmeligheder. Den IT-sagkyndige sikrer data forensisk:
- forensisk kopi af computeren,
- sikring af firmatelefonen, hvis den er afleveret,
- eksport af postkasse, OneDrive, Teams eller tilsvarende,
- eksport af revisionslogs, før de udløber.
Sikringen dokumenteres med kontrolværdier og en log, så den senere kan efterprøves af en anden sagkyndig, også hvis modparten sætter spørgsmålstegn ved den.
Fase 4: Undersøgelsen (uge 1-4)
Nu undersøges det, hvad der faktisk er sket. Den IT-sagkyndige gennemgår det sikrede materiale ud fra spørgsmål, som ledelsen og advokaten har formuleret. Typiske spørgsmål:
- Er der kopieret filer til USB-nøgler eller eksterne diske?
- Er der sendt filer til private mailadresser eller delt via private cloud-tjenester?
- Er der hentet store mængder data fra CRM eller filserver kort før fratrædelsen?
- Er der slettet noget for at skjule spor?
Resultatet er en rapport, der beskriver, hvad der kan dokumenteres, og hvad der ikke kan. Rapporten er grundlaget for advokatens vurdering af næste skridt.
Fase 5: Juridiske skridt (uge 2 og frem)
Hvad der sker nu, afhænger af fundene og af advokatens vurdering. Typiske muligheder er:
- en henvendelse til den tidligere medarbejder med krav om at stoppe brugen og levere data tilbage,
- en henvendelse til den nye arbejdsgiver,
- en anmodning til retten om at sikre beviser hos modparten,
- et forbud eller påbud,
- en erstatningssag,
- et forlig.
I mange sager er det rapporten fra den IT-sagkyndige, der afgør, om der er grundlag for at gå videre. Nogle sager slutter her, fordi materialet ikke viser noget, eller fordi parterne finder en løsning.
→ Fratrådt medarbejder har taget data: bevisvejen for advokaten
Fase 6: Afslutning
Når sagen er afsluttet ved forlig, dom eller beslutning om ikke at gå videre, skal sagen lukkes ordentligt:
- bevarelse ophæves efter aftale med advokaten,
- sikrede data opbevares eller slettes efter en beslutning,
- materialet samles i en adgangsbegrænset mappe med slettedato,
- virksomheden ser på, hvad der kan forbedres i offboarding og bevisberedskab.
Hvem gør hvad gennem forløbet
- Mistanke · Ledelse
- Bevarelse · IT efter ledelsens instruks
- Sikring · IT-sagkyndig
- Undersøgelse · IT-sagkyndig, med spørgsmål fra ledelse og advokat
- Juridiske skridt · Advokat
- Afslutning · Ledelse og advokat
Beslutninger, ledelsen skal træffe undervejs
Selv om advokat og IT-sagkyndig gør det meste af arbejdet, er der beslutninger, kun ledelsen kan træffe. Forbered jer på dem:
- Skal sagen undersøges? Det er en afvejning af omkostninger, risiko og betydning for forretningen.
- Hvor bredt? Hvilke spørgsmål skal besvares, og hvilke datakilder skal med?
- Skal vi gå videre? Når rapporten foreligger, skal ledelsen beslutte, om der skal tages juridiske skridt.
- Hvad med kunderne? Skal berørte kunder kontaktes, og i så fald hvornår og af hvem?
- Hvad med medarbejderne? Hvad skal kolleger vide, og hvad skal de ikke?
- Forlig eller ej? Et forlig kan være den bedste løsning, også når beviserne er stærke.
Skriv beslutningerne ned med dato og begrundelse. Det gør det lettere at forklare forløbet senere, både internt og over for en modpart.
Hvad tager tid, og hvad går hurtigt?
Bevarelse og sikring skal gå hurtigt, fordi data kan forsvinde. Undersøgelsen afhænger af mængden af data og af, hvor præcise spørgsmålene er. De juridiske skridt kan tage alt fra få uger til meget længere, afhængigt af om sagen ender i et forlig eller i retten.
Et praktisk råd: Lad ikke den roligere fase få jer til at glemme det, der stadig kan forsvinde. Revisionslogs udløber, backups roteres, og den tidligere medarbejders konto hos tredjeparter kan blive lukket.
Det skal I lade være med
- Springe bevarelsen over for at komme hurtigt til undersøgelsen.
- Lade IT undersøge selv i de levende systemer.
- Kontakte kunder eller konkurrenten før advokaten er inde.
- Love ledelsen et bestemt resultat. Sagen afhænger af, hvad materialet viser.
Hvad koster det?
Omkostningerne afhænger af sagens omfang. Det er beskrevet i en separat artikel, der gennemgår, hvad der driver omkostningerne.
→ Hvad koster en sag om datatyveri?
Hvornår skal I have hjælp udefra?
Fra fase 2 og frem har de fleste virksomheder brug for både advokat og IT-sagkyndig. Nielco IT sikrer og undersøger data i sager om fratrådte medarbejdere og forretningshemmeligheder for virksomheder og advokater i hele landet. I akutte sager kan John Nielsen være på stedet inden for få timer. Hastesager koster ekstra. → Pris og tilbud
→ Medarbejderen har taget data med
Læs også: Undersøgelsesrapporten: en struktur, ledelsen kan bruge · Sagen er i en udenlandsk afdeling: hvad gør hovedkontoret?
→ Intern IT-undersøgelse · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
