En intern bevarelsesinstruks, ofte kaldet litigation hold eller legal hold, er en kort skriftlig besked fra ledelsen til de medarbejdere og den IT-funktion, der har relevante data. Den siger: I må ikke slette, ændre eller rydde op i bestemte data, før I får besked om andet. Den sendes, når virksomheden forventer en tvist, har modtaget et krav eller starter en intern undersøgelse.
Instruksen beskytter virksomheden mod at miste beviser, som den selv har brug for. Den beskytter også mod beskyldninger om, at virksomheden har slettet data, som modparten har krav på at se.
Skabelonen her er til jeres egne medarbejdere. Advokatsitet har en skabelon til en meddelelse om bevarelse, der sendes til en modpart eller tredjemand. Det er et andet dokument med et andet formål. → Skabelon: meddelelse om bevarelse af data
Hvornår skal instruksen sendes?
- når I har modtaget et krav, et påkrav eller en stævning,
- når I selv overvejer at rejse et krav mod en medarbejder, kunde eller leverandør,
- når en intern undersøgelse går i gang,
- når en myndighed eller en revisor beder om materiale i en sag.
Send den hellere for tidligt end for sent. Data, der er slettet efter en rutine, kan være svære at forklare, hvis tvisten allerede var under opsejling. En instruks, der viser sig at være unødvendig, koster lidt besvær. En instruks, der kommer for sent, kan koste sagen. Tidspunktet for instruksen skal stå i jeres log, så I senere kan vise, hvornår virksomheden reagerede, og hvad der blev gjort fra den dag.
To instrukser, ikke én
I de fleste sager er det en god idé at lave to versioner:
- Til IT eller IT-leverandøren: teknisk og præcis. Hvilke konti, postkasser, drev, systemer og backups, og hvilke automatiske sletninger der skal stoppes.
- Til de medarbejdere, der har data: kort og forståelig. Hvad de ikke må slette, og hvem de kan spørge.
Hold de to versioner adskilt. Medarbejderne skal ikke se de tekniske detaljer, og IT skal ikke have en vag tekst, der kan tolkes på flere måder.
Den, sagen handler om, skal ikke nødvendigvis have instruksen. Det er en afvejning af risikoen for at advare mod behovet for at sikre data, som vedkommende selv har. Tag den beslutning med advokaten.
Skabelon 1: til medarbejdere
Emne: Bevaring af data, sag [kodenavn]
Kære [navn],
Virksomheden er involveret i en sag, hvor der kan blive brug for dokumentation. Du har muligvis data, der er relevante. Derfor beder vi dig om følgende fra i dag og indtil videre:
- Slet ikke mails, filer, chats, beskeder eller noter, der handler om [emne, kunde, projekt eller periode].
- Ryd ikke op i din postkasse, dine mapper eller din telefon i den periode, hvis det kan omfatte disse data.
- Flyt ikke data til andre steder, og lav ikke egne kopier.
- Slå ikke automatisk sletning til i chats eller apps.
- Hvis du er i tvivl, om noget er omfattet, så bevar det.
Du skal ikke selv samle eller sende materiale. Hvis der bliver brug for det, kontakter vi dig.
Sagen er fortrolig. Tal ikke med kolleger eller andre om den.
Kontakt [navn, telefon], hvis du har spørgsmål.
Instruksen gælder, indtil du får skriftlig besked om, at den er ophævet.
Venlig hilsen [sagsejer]
Skabelon 2: til IT eller IT-leverandøren
Emne: Bevarelsesinstruks, sag [kodenavn]
Fra [dato, klokkeslæt] og indtil skriftlig ophævelse skal følgende bevares uændret:
- Postkasser · [brugere]
- OneDrive, Drev, fællesmapper · [brugere, mapper]
- Chats og møder · [brugere, kanaler]
- Fagsystemer · [system, periode]
- Backup · [periode]
Følgende skal stoppes for de nævnte konti og placeringer:
- automatiske opbevarings- og sletteregler,
- sletning af konti ved fratræden,
- geninstallation eller genbrug af udstyr: [serienumre],
- rotation af backup for perioden [fra-til].
Revisionslogs for perioden [fra-til] eksporteres eller sikres, så de ikke udløber.
Bekræft skriftligt til [sagsejer], hvad der er gjort, med dato og klokkeslæt. Notér, hvis noget ikke kan lade sig gøre, eller hvis data allerede mangler.
Gennemgå ikke indholdet af data. Opgaven er alene at bevare.
Hvem gør hvad?
- Sagsejer · Beslutter omfanget og sender instruksen
- Advokat · Vurderer omfang og modtagere
- IT · Gennemfører den tekniske bevarelse og bekræfter skriftligt
- HR · Hjælper med listen over medarbejdere og fratrådte
- Medarbejdere · Sletter ikke, spørger ved tvivl
Det skal instruksen ikke gøre
- Den skal ikke bede medarbejdere om selv at undersøge eller samle beviser.
- Den skal ikke beskrive mistanken eller nævne navne på dem, sagen handler om.
- Den skal ikke være så bred, at ingen kan finde ud af, hvad der er omfattet.
- Den skal ikke stå alene. Følg op og tjek, at den bliver overholdt.
Instruksen betyder, at I gemmer persondata længere end normalt. Det skal kunne begrundes, og omfanget skal holdes til det nødvendige. Tjek reglerne, og inddrag jeres databeskyttelsesrådgiver, hvis I har en.
Typiske spørgsmål fra medarbejderne
Når instruksen er sendt, kommer der spørgsmål. Aftal på forhånd, hvem der svarer, og giv ensartede svar. Her er de mest almindelige.
Må jeg stadig slette spam og nyhedsbreve? Ja, hvis de tydeligt ikke har noget med sagen at gøre. Er du i tvivl, så lad dem ligge.
Hvad med beskeder på min egen telefon? Instruksen gælder arbejdsdata. Har du brugt din private telefon til arbejde om det emne, sagen handler om, så slet ikke de beskeder, og sig det til kontaktpersonen. Virksomheden går ikke ind i din telefon.
Hvor længe gælder det? Indtil du får skriftlig besked om, at instruksen er ophævet. Det kan tage måneder.
Er jeg mistænkt for noget? Nej. Instruksen sendes til alle, der kan have relevante data. Den siger intet om den enkeltes rolle i sagen.
Hvad hvis jeg allerede har slettet noget? Sig det til kontaktpersonen med det samme. Det er langt bedre at vide det nu end at opdage det senere. IT kan ofte stadig finde data i papirkurve, opbevaringsregler eller backup.
Log og opfølgning
Før en liste over, hvem der har fået instruksen, hvornår, og om de har bekræftet den. Gentag instruksen, hvis sagen trækker ud, og send den til nye medarbejdere, der overtager data fra en, der er omfattet. Husk fratrådte: deres konti og udstyr er ofte det, der forsvinder først. → Slettepolitik og bevarelse
Når sagen er slut
Instruksen skal ophæves skriftligt, når den ikke længere er nødvendig. Ellers ligger data uden formål, og normal sletning kommer aldrig i gang igen. → Ophæv bevarelsen igen
Kort sagt
Send to instrukser: én teknisk til IT og én kort til medarbejderne. Gør dem præcise, få skriftlig bekræftelse, og før log. Ophæv dem igen skriftligt, når sagen er slut.
Læs også: Skabelon: brief til den IT-sagkyndige · Skabelon: kvittering for udlevering og aflevering af udstyr · Alle tjeklister og værktøjer
→ Beskriv jeres sag · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
