Når mistanken retter sig mod en medarbejder i en udenlandsk afdeling eller et datterselskab, gælder de samme grundregler som herhjemme: bevar først, afgræns, sikr og undersøg. Men der kommer tre ekstra spørgsmål oveni: Hvor ligger data fysisk og juridisk, hvem har adgang til dem, og hvilke lokale regler gælder for medarbejderen og for gennemgangen af data? Hovedkontoret kan ofte bevare data centralt med det samme, men selve undersøgelsen kræver lokal rådgivning.
Artiklen er til ledelse og HR i danske virksomheder med afdelinger eller datterselskaber i udlandet. Den handler om den praktiske side: adgange, datalokation og koordinering. Den juridiske vurdering af lokale regler hører hjemme hos en advokat med kendskab til det pågældende land.
Hvorfor udlandet gør det sværere
- Andre regler om ansættelse. Rettigheder ved samtaler, afskedigelse og medarbejderrepræsentation varierer fra land til land.
- Andre regler om persondata og kontrol. Selv inden for EU kan der være nationale regler om medarbejderdata og kontrol, og uden for EU kan reglerne være helt anderledes.
- Overførsel af data. Skal data fra afdelingen flyttes til Danmark for at blive gennemgået, kan der være regler om overførsel, særligt fra lande uden for EU.
- Lokal IT. Afdelingen kan have sin egen IT-afdeling eller leverandør, som hovedkontoret ikke styrer direkte.
- Sprog og tidszoner. Mails og chats er på et andet sprog, og tidsstempler skal fortolkes korrekt.
Hvad gør I nu, i rækkefølge
- Udpeg en sagsejer i hovedkontoret og en lokal kontaktperson, der ikke er involveret i sagen.
- Kortlæg, hvor data ligger. Er afdelingen en del af jeres fælles Microsoft 365 eller Google Workspace? Har den egne servere, egne fagsystemer eller lokal backup?
- Bevar centralt, hvor I kan. Ligger postkasser og cloud-lager i jeres fælles miljø, kan hovedkontorets IT ofte sætte hold med det samme.
- Bevar lokalt, hvor I skal. Lokale systemer og udstyr kræver, at lokal IT handler efter præcis instruks.
- Få lokal juridisk rådgivning, før data gennemgås, og før medarbejderen kontaktes.
- Afgræns undersøgelsen med de lokale regler for øje.
- Planlæg sikringen: hvem gør det, hvor sker det, og skal data forlade landet?
Datalokation: tre typiske situationer
- Fælles cloud-miljø · Hovedkontoret kan ofte bevare og sikre centralt
- Lokale servere og systemer · Lokal IT skal handle; sikring sker typisk på stedet
- Selvstændigt selskab med egen IT · Kræver aftale med den lokale ledelse og rådgivning om adgang
Også i et fælles cloud-miljø kan data være lagret i et bestemt land eller område. Det kan have betydning for, hvordan de må behandles. Spørg IT, hvor data fysisk ligger, og om der er særlige indstillinger for datalokation.
Lokal IT: præcise instrukser
Lokal IT kender systemerne, men kender måske ikke sagen og har måske ikke erfaring med bevissikring. Giv derfor skriftlige, præcise instrukser:
- hvad der skal bevares, og hvordan,
- hvad der ikke må gøres: ingen sletning, ingen geninstallation, ingen gennemgang,
- hvem de rapporterer til,
- at de skal skrive ned, hvad de har gjort og hvornår.
Overvej, om lokal IT har en relation til den undersøgte. I små afdelinger kender alle hinanden, og lokal IT kan være inhabil. Er det tilfældet, så lad central IT eller en ekstern part overtage så meget som muligt, og begræns lokal IT til de rent praktiske skridt, der kræver nogen på stedet.
Udstyr i udlandet
Computer og telefon står i den udenlandske afdeling, ikke hos jer. Det rejser praktiske spørgsmål:
- Skal udstyret sendes til Danmark? Forsendelse kan tage tid, udstyret kan blive beskadiget, og det kan være i strid med lokale regler at flytte data ud af landet. Afklar det, før noget sendes.
- Skal sikringen ske på stedet? Ofte er det bedre, at udstyret sikres i landet, og at kun de relevante udtræk flyttes efter rådgivning.
- Hvem opbevarer udstyret i mellemtiden? Udpeg en person, der ikke er involveret, og som kan låse det inde. Skriv ned, hvem der har haft det.
Indtil der er taget stilling, skal udstyret bare bevares: slukket eller tændt, som det var, opladet og uden for brug. Ingen geninstallation, ingen udlevering til en ny medarbejder.
Samtalen med medarbejderen
Samtaler med den undersøgte skal planlægges med de lokale regler for øje. Der kan være krav om bisidder, varsel eller medarbejderrepræsentanter, som er anderledes end i Danmark. Overvej også, hvem der fører samtalen. En leder fra hovedkontoret, der rejser ud, kan virke mere formel end en lokal leder, men kan også have større afstand til sagen.
Sprog og tidszoner
Materiale på et andet sprog kræver, at nogen kan læse det. Brug ikke tilfældige kolleger som oversættere, da det udvider kredsen og kan skabe inhabilitet. Aftal med advokat eller IT-sagkyndig, hvordan oversættelse håndteres, og om søgeord skal laves på flere sprog.
Tidsstempler skal fortolkes med den rigtige tidszone. En mail sendt kl. 23 lokal tid kan stå som kl. 22 i et dansk system, eller omvendt. Notér altid, hvilken tidszone et tidspunkt er angivet i.
Hvem gør hvad
- Hovedkontorets ledelse · Mandat, sagsejer, koordinering
- Lokal ledelse · Lokal kontakt, praktisk adgang, lokale forhold
- Central IT · Bevarelse i fælles systemer
- Lokal IT · Bevarelse i lokale systemer efter instruks
- Dansk og lokal advokat · Grundlag, rettigheder og overførsel af data
- IT-sagkyndig · Sikring centralt og eventuelt på stedet
Det skal I lade være med
- Antage, at danske regler gælder. Medarbejderen er typisk omfattet af de lokale regler for ansættelse.
- Flytte data til Danmark uden at tjekke reglerne.
- Lade lokal ledelse håndtere sagen alene, hvis den kan være involveret eller inhabil.
- Glemme lokal backup og lokale systemer.
- Bruge kolleger som oversættere.
Når sagen også rammer en udenlandsk tvist
Kan sagen ende i en tvist i udlandet, eller skal data fra Danmark bruges i en udenlandsk sag, er der yderligere spørgsmål om bevisførelse og udlevering. Det er en sag for advokaterne i begge lande.
→ Dansk data til en udenlandsk retssag
Koncernforhold
Er afdelingen et selvstændigt selskab i en koncern, kommer der spørgsmål om, hvilket selskab der er dataansvarlig, og hvem der kan beslutte undersøgelsen. De spørgsmål er beskrevet i artiklen om koncerner.
→ Koncerner: når HR, jura og IT sidder hvert sit sted
→ GDPR-tjekliste før en intern undersøgelse
Hvornår skal I have hjælp udefra?
Lokal juridisk rådgivning er næsten altid nødvendig, før data gennemgås, og før medarbejderen kontaktes. Sikring af data i fælles cloud-miljøer kan ofte ske fra Danmark. Nielco IT sikrer data i civile sager og interne undersøgelser og kan hjælpe med at bevare og sikre data i jeres fælles miljø og dokumentere det. Haster det, koster hastesager ekstra. → Pris og tilbud
Læs også: Typisk forløb: sådan ser en sag om datatyveri ud fra start til slut · Koncerner: når HR, jura og IT sidder hvert sit sted
→ Intern IT-undersøgelse · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
