En indberetning er kommet ind i jeres whistleblowerordning. Den peger måske på mails, filer, adgange eller transaktioner, der skal undersøges. To hensyn trækker i hver sin retning: oplysningerne skal sikres hurtigt, før de forsvinder, og indberetteren skal beskyttes. Løsningen er at sikre data bredt og diskret, uden at de, der ikke skal vide det, får mistanke om, hvem der har indberettet.
Lovgrundlaget skal være på plads
Reglerne om whistleblowerordninger stiller krav til blandt andet fortrolighed, hvem der må behandle indberetninger, frister for tilbagemelding og beskyttelse af indberetteren. Hvilke krav der gælder for jer, afhænger blandt andet af virksomhedens størrelse og ordningens opsætning. Få en advokat til at bekræfte rammerne, før I går i gang.
Denne artikel handler kun om den praktiske side: hvordan I sikrer de digitale oplysninger. Advokatens vinkel på whistleblowersager er beskrevet på advokatsitet. → Whistleblowersager og digitale beviser
Før indberetningen: er ordningen klar til sikring?
Mange virksomheder har fået en whistleblowerordning, men ikke tænkt over, hvad der skal ske, når en indberetning kræver, at data bevares. Det er en god idé at have svar på disse spørgsmål, før den første alvorlige sag kommer:
- Hvem må beslutte, at data skal bevares, og hvem udfører det teknisk?
- Kan I sætte et hold på en postkasse uden at give hele IT-afdelingen besked?
- Hvor længe gemmes revisionslogs i jeres systemer, og kan I forlænge det?
- Hvor opbevares sikret materiale, så kun de rette har adgang?
Svarene hører hjemme i en kort intern procedure, som ledelse, HR og den, der behandler indberetninger, kender.
Tre slags data i en indberetning
- Selve indberetningen · Eksempler: Tekst, vedhæftede filer, dialog i ordningens system · Hvad skal I gøre: Eksportér og gem urørt, med dato
- Data, indberetningen peger på · Eksempler: Mails, dokumenter, logs, bilag i økonomisystemet · Hvad skal I gøre: Bevar, før nogen undersøger
- Data om indberetteren · Eksempler: Identitet, kontaktoplysninger, metadata · Hvad skal I gøre: Beskyt og begræns adgangen
Sikr selve indberetningen
- ☐ Eksportér indberetningen og eventuelle vedhæftede filer fra ordningens system.
- ☐ Gem originalfilerne urørte, og arbejd i kopier.
- ☐ Notér, hvornår indberetningen kom ind, og hvem der har læst den.
- ☐ Gem også den efterfølgende dialog med indberetteren.
Er ordningen leveret af en ekstern udbyder, så tjek, hvordan eksport foregår, og hvor længe indberetninger gemmes i systemet. Nogle systemer sletter automatisk efter en periode. Gem eksporten et sted, hvor den ikke følger systemets egne sletteregler.
Vedhæftede filer kan indeholde metadata, der afslører, hvem der har lavet dem. Del derfor ikke filerne videre uden at overveje det. → Hvad er metadata?
Sikr de data, indberetningen peger på
Det vigtigste er at bevare, før nogen begynder at undersøge. Ellers risikerer I, at data bliver slettet, eller at spor ændres.
- ☐ Bevar postkasser og OneDrive for de involverede, for eksempel med et hold. → Bevarelsespligt og litigation hold
- ☐ Eksportér revisionslogs, før de udløber. → Hvor længe gemmes data?
- ☐ Bevar data i økonomi- og CRM-systemer, hvis de er relevante. → Regnskabssystemer
- ☐ Sæt automatisk sletning på pause for de relevante områder. → Slettepolitik og bevarelse
Beskyt indberetteren under sikringen
En bred sikring er en god måde at skjule, hvor sagen kommer fra. Sikrer I kun én persons data lige efter en indberetning, kan det i sig selv afsløre noget.
- Bevar bredt. Tag hele afdelingen eller alle med adgang til et system, ikke kun én person.
- Begræns IT’s viden. IT behøver kun at vide, hvad der skal bevares, ikke hvorfor.
- Overvej en ekstern. En uvildig IT-sagkyndig kan sikre data uden at være en del af organisationen.
- Pas på logs. Når I selv søger i systemer, efterlader I spor i revisionsloggen, som andre administratorer kan se.
- Vælg tidspunktet. Sikring kan ofte ske i baggrunden, uden at brugerne mærker noget. Undgå handlinger, der får konti til at blive låst eller logget ud.
Indberetteren kan også være anonym. Så er det ekstra vigtigt, at I ikke forsøger at finde ud af, hvem det er, for eksempel ved at kigge på, hvem der har været logget ind i ordningens system. Det kan være i strid med reglerne om beskyttelse af indberetteren.
Hvem gør hvad?
- Den, der behandler indberetningen · Vurderer, om der skal sikres data, og hvad
- Advokat · Bekræfter rammerne og deltager i vurderingen
- IT eller ekstern sagkyndig · Bevarer og sikrer data
- Ledelse · Får kun det at vide, ordningen tillader
Se den generelle rollefordeling. → Rollefordeling i en bevissag
Dokumentation
Før en log over, hvad der er sikret, hvornår og af hvem, og hvem der har haft adgang til materialet. Loggen skal selv behandles fortroligt.
Hold loggen over den digitale sikring adskilt fra sagsbehandlingen af selve indberetningen. Så kan sikringen dokumenteres over for en domstol eller en modpart, uden at oplysninger om indberetteren følger med. Notér også beslutninger om, hvad der ikke blev sikret, og hvorfor. Det kan blive vigtigt, hvis nogen senere spørger, om I har overset noget, eller om data er gået tabt på jeres vagt. Skriv kun fakta i loggen, aldrig vurderinger af personer. → Skabelon til intern log over beviser
Typiske fejl
- At videresende indberetningen til den leder, den handler om
- At bede den involverede om at “forklare sig” før data er bevaret
- At gemme materialet i en almindelig delt mappe
- At lade automatisk sletning køre videre
- At lade en IT-medarbejder, der selv er nævnt i indberetningen, stå for sikringen
- At undersøge sagen i dybden, før data overhovedet er bevaret
Hvornår skal I have hjælp udefra?
Overvej hjælp udefra, når indberetningen angår en leder, IT-afdelingen selv eller en person med vide administratorrettigheder. Det samme gælder, når data ligger i mange systemer, eller når I forventer, at sagen ender i en ansættelsesretlig tvist. En uvildig IT-sagkyndig kan bevare data bredt, dokumentere metoden og holde materialet adskilt fra den daglige drift. Den, der behandler indberetningen, bevarer styringen og afgør, hvad der skal undersøges.
Kun civile sager og interne undersøgelser
Nielco IT bistår med den digitale sikring i interne undersøgelser og civile sager. Peger en indberetning på forhold, I overvejer at anmelde, skal I tale med jeres advokat. → Intern undersøgelse: hvem skal vide hvad?
Næste skridt
- Intern undersøgelse trin for trin: fra mistanke til rapport
- Tjenstlig samtale og interview: hvornår viser I de digitale beviser?
Læs også: Intern undersøgelse: hvem skal vide hvad, og hvornår? · Intern undersøgelse trin for trin: fra mistanke til rapport
→ Intern IT-undersøgelse · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
