Dataminimering i forensic: filtrér før, under eller efter sikring?

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

Dataminimering betyder, at der kun behandles de persondata, der er nødvendige for formålet. I en forensisk undersøgelse støder det princip mod et andet: at sikringen skal være fuldstændig nok til, at konklusionerne kan efterprøves. Løsningen er sjældent at sikre mindre. Den er som regel at sikre det nødvendige bredt, begrænse adgangen hårdt og filtrere dokumenteret i analysen, så færrest mulige personer ser færrest mulige data.

De juridiske rammer er beskrevet i GDPR og bevisførelse, og virksomhedens forberedelse i GDPR-tjeklisten før en intern undersøgelse. Her handler det om de tekniske valg, og hvad hvert valg koster i bevisværdi. Om en konsekvensanalyse før undersøgelsen, se DPIA før en forensisk undersøgelse.

Tre tidspunkter at filtrere på

Før sikring · Kun udvalgte mapper, postkasser, perioder eller filtyper kopieres. Resten røres ikke og findes ikke i kopien.
Under sikring · En bred kilde læses, men kun det, der matcher filtre, gemmes i beviskopien, fx ved selektivt mobiludtræk eller filtreret cloudeksport.
Efter sikring · Hele kilden kopieres, men analysen arbejder kun med et filtreret udsnit. Resten ligger krypteret og uberørt.

Hvert tidspunkt har en pris. Filtrering før og under sikring er irreversibel: Det, der ikke blev sikret, kan ikke hentes senere, hvis kilden i mellemtiden er slettet, roteret eller nulstillet. Filtrering efter sikring bevarer muligheden for at udvide, men betyder, at en fuld kopi med alle persondata eksisterer og skal beskyttes.

Fuldstændighed er også et krav

En forensisk konklusion bygger ofte på data, ingen havde forudset betydningen af. En filsti i en genvejsfil, en post i en registreringsdatabase eller et tidsstempel i en systemlog kan være det, der binder hændelserne sammen. Er sikringen filtreret til “dokumenter fra marts”, forsvinder netop de artefakter, der viser, hvornår dokumenterne blev åbnet, kopieret eller slettet.

Det har tre konsekvenser:

Spørgsmål om sletning og manipulation kræver typisk systemdata og ikke-allokeret plads (unallocated), som ikke kan filtreres på indhold.
Modpartens indvendinger kan ikke afvises, hvis de data, der kunne afkræfte dem, aldrig blev sikret.
Fravær af spor betyder intet i en filtreret kopi. At intet blev fundet, siger kun noget om det, der blev kigget i, og en filtreret kopi kan derfor ikke bruges til at afvise, at noget er sket.

Valget mellem fuld og afgrænset sikring er beskrevet i fysisk, logisk eller målrettet sikring. Hovedreglen er, at jo mere spørgsmålet handler om handlinger på enheden, desto mindre kan der filtreres før sikringen. Handler spørgsmålet om indholdet af bestemte dokumenter eller mails, kan en målrettet indsamling ofte være både tilstrækkelig og mere proportional.

Minimering lagt i lag

I praksis opnås minimeringen ved at lægge flere lag oven på en fuldstændig nok sikring:

Afgrænset kilde: Kun de enheder, konti og perioder, opdraget omfatter. Minimeringen starter med valget af kilder, ikke med filtre i værktøjet.
Krypteret masterkopi: Den fulde kopi krypteres og bruges ikke til analyse. Kun en arbejdskopi eller et udtræk åbnes.
Analysesæt: Der dannes et udsnit efter dokumenterede kriterier, fx systemartefakter plus brugerdata i bestemte mapper og en bestemt periode.
Søgning før læsning: Søgninger og metadatafiltre afgrænser, hvad der overhovedet vises for en analytiker.
Adgangsstyring og logning: Kun navngivne personer har adgang, og adgangen logges. Se logning af analytikerens egen adgang.
Udtræk til rapport: Kun de fund, der bærer en konklusion, gengives, og øvrige persondata maskeres.

Hvert lag reducerer, hvad der behandles aktivt, uden at fjerne muligheden for at vende tilbage, hvis en indvending kræver det.

Systemdata og brugerdata

En nyttig skelnen er mellem systemdata og brugerindhold. Systemdata, som hændelseslogs, registreringsdatabaser, filsystemets metadata og programspor, indeholder persondata i form af brugernavne, filnavne og tidspunkter, men sjældent indholdet af private dokumenter eller beskeder. De er ofte nødvendige for at besvare tekniske spørgsmål.

Brugerindhold, som dokumenter, billeder, beskeder og mails, er der, hvor de private oplysninger typisk ligger. Her kan der filtreres hårdere: på mapper, afsendere, perioder og søgeord. Et analysesæt, der indeholder alle systemdata, men kun udvalgt brugerindhold, er ofte det bedste kompromis. Private data kræver en særlig behandling, beskrevet i teknisk adskillelse af private data.

Mobil og cloud

På telefoner tilbyder mange udtræksværktøjer selektive udtræk efter app, periode eller datatype. Det er minimering under sikringen. Fordelen er, at private apps og billeder aldrig kopieres. Ulempen er, at sammenhænge på tværs af apps, systemlogs og slettede poster i delte databaser kan gå tabt. Det bør fremgå af dokumentationen, hvilke kategorier der blev udeladt, og hvilke spørgsmål udtrækket derfor ikke kan besvare.

I cloudtjenester sker filtreringen ofte i selve eksportværktøjet: postkasser, perioder og søgeforespørgsler i en eDiscovery-eksport. Søgeforespørgslen bliver dermed en del af sikringen og skal gemmes præcist, med tidspunkt og resultatantal, så den kan gentages eller kritiseres.

Hvem fastlægger kriterierne

Filtrene er ikke kun en teknisk beslutning. Hvilke perioder, personer og emner der er relevante, følger af opdraget, og det fastlægges af opdragsgiveren og dennes advokat. Den tekniske opgave er at oversætte kriterierne til filtre, der faktisk gør det, de skal, og at gøre opmærksom på, hvad et filter vil udelukke.

Et eksempel på den oversættelse: Opdraget handler om, hvorvidt bestemte tegninger er kopieret ud af virksomheden i en given periode. Teknisk betyder det systemartefakter for hele perioden plus lidt før og efter, filsystemets metadata for hele disken, men kun indholdet af filer, der matcher tegningernes hashværdier eller filtyper. Private billeder, beskeder og dokumenter indgår ikke i analysesættet.

Kriterierne bør skrives ned, før analysen begynder, og ændringer undervejs bør dateres og begrundes. Det forhindrer, at filtrene glider i takt med, at fund dukker op, og det gør det muligt bagefter at vise, at udvælgelsen ikke blev tilpasset et ønsket resultat. Se teknisk kommissorium.

Typiske fejl

Filtrering på filendelse. Filer med forkert endelse falder ud, og det er ofte netop dem, der er interessante.
Periodefilter på ét tidsstempel. En fil kan være oprettet før perioden og ændret eller kopieret inden for den. Filtrér på flere tidsstempler, eller lad være.
Søgeord i sikringsfasen. Søgeord, der bruges til at bestemme, hvad der sikres, kan ikke senere justeres. Brug dem helst i analysen.
Udokumenterede udeladelser. At noget bevidst er udeladt, skal fremgå. Ellers ligner det et hul.
Fuld kopi uden adgangsstyring. En fuld kopi er kun forsvarlig, hvis den reelt er beskyttet.

Hvad dokumentationen skal vise

Når minimeringen skal forsvares, både over for den registrerede og over for modparten, skal det kunne vises:

hvilke kilder der blev sikret, og hvilke der bevidst blev fravalgt,
hvilke filtre der blev brugt hvornår, med præcise kriterier og værktøjsversion,
hvor mange elementer hvert filter fjernede og beholdt,
hvem der havde adgang til hvilke data, og hvornår,
hvordan og hvornår kopierne slettes efter sagen.

Den dokumentation viser på én gang, at undersøgelsen var proportional, og at den var fuldstændig nok til sit formål. Det er de to krav, der skal balanceres, og de kan kun balanceres, når begge er synlige.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: Uberettigede opslag: teknisk analyse af adgangslogs i fagsystemer · Private data på arbejdsenheden: teknisk adskillelse under analysen

→ Uvildig IT-sagkyndig med forensic-baggrund · For DPO’er · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik