Konsekvensanalyse for en forensisk undersøgelse: tekniske input

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

En konsekvensanalyse for en forensisk undersøgelse er den dataansvarliges vurdering, og DPO’en rådgiver om den. Men en stor del af indholdet er teknisk og kan kun leveres af den, der udfører undersøgelsen: en beskrivelse af dataflowet fra kilde til sletning, en oversigt over datakategorier og berørte personer, de filtre og trin, der begrænser behandlingen, de konkrete risici i hvert trin og de tekniske foranstaltninger, der modvirker dem. Jo mere præcise de tekniske input er, desto mere realistisk bliver vurderingen.

Om en konsekvensanalyse er påkrævet i den konkrete sag, er en juridisk vurdering. Datatilsynet har offentliggjort en liste over behandlinger, der altid kræver en analyse, og de europæiske retningslinjer nævner kriterier som behandling af oplysninger om medarbejdere, følsomme oplysninger, sammenstilling af datasæt og systematisk overvågning. Mange organisationer har i forvejen en analyse for logning og interne undersøgelser, som er beskrevet på bevissikring-digitalt.dk. Spørgsmålet er så, om den konkrete undersøgelse ligger inden for den.

Hvad analysen skal indeholde, og hvor teknikken kommer ind

Systematisk beskrivelse af behandlingen og formålet · Kilder, sikringsmetoder, værktøjer, dataflow og opbevaring
Nødvendighed og proportionalitet · Begrundelse for hver kilde, alternativer og trinvis fremgangsmåde
Risici for de registreredes rettigheder · Konkrete risici i hvert trin af den tekniske proces
Foranstaltninger · Kryptering, adgangsstyring, logning, filtre, pseudonymisering, sletning

Elementerne følger databeskyttelsesforordningens artikel 35, stk. 7. DPO’ens spørgsmål til den sagkyndige er samlet i DPO’ens tekniske tjekliste.

Systematisk beskrivelse: dataflowet

Beskriv behandlingen som en kæde af trin, og angiv for hvert trin, hvor data er, hvem der har adgang, og hvilke værktøjer der bruges:

Identifikation af kilderne. Se identifikation af datakilder.
Sikring: fuld kopi, målrettet udtræk eller eksport fra cloudtjeneste.
Transport fra kilden til den sagkyndiges lager.
Opbevaring af masterkopi og arbejdskopier.
Behandling: indeksering, tekstgenkendelse, deduplikering og udpakning af arkiver.
Filtrering og gennemgang: søgeord, perioder, personer og manuel gennemgang.
Rapportering: hvilke data der overføres til rapport og bilag.
Udlevering, sletning og tilbagelevering.

Notér også, om nogen af trinene sender data uden for den sagkyndiges kontrol, fx til en onlinetjeneste til oversættelse, tekstgenkendelse eller analyse med kunstig intelligens. Det er en risiko, der let overses, fordi funktionen ofte er indbygget i værktøjet og slået til som standard uden, at det fremgår tydeligt af brugerfladen.

Én kilde beskrevet fuldt ud

For at gøre beskrivelsen konkret kan hver kilde beskrives efter samme skabelon. For en postkasse i Microsoft 365 kunne det se sådan ud:

Kilde: den undersøgtes postkasse, inklusive arkiv og gendanbare elementer.
Periode: den periode, der er knyttet til undersøgelsens spørgsmål.
Sikringsmetode: eksport via eDiscovery-funktionen af en administrator med en rolle, der er tildelt til formålet, og med logning af eksporten.
Resultat: en eksportfil med hashværdi, overført krypteret til den sagkyndiges lager.
Behandling: indeksering og deduplikering på en isoleret arbejdsstation.
Gennemgang: først metadata som afsendere, modtagere og datoer, derefter indhold i de mails, der rammer de fastlagte kriterier.
Rapport: kun de mails, der besvarer et spørgsmål, med tredjemands navne pseudonymiseret, hvor de ikke er nødvendige.
Sletning: efter den aftalte hændelse, med bekræftelse.

Beskrevet på den måde bliver det tydeligt for den dataansvarlige, hvor i forløbet personoplysningerne er mest eksponerede, og hvor foranstaltningerne skal sættes ind. Det gør det også let at se, hvad der ændrer sig, hvis kilden senere udvides.

Datakategorier og berørte personer

Lav en matrix med kilderne som rækker og kategorierne som kolonner. Kategorierne er typisk identifikationsoplysninger, kommunikation, lokationsdata, logdata om aktivitet, økonomiske oplysninger og særlige kategorier, fx helbredsoplysninger i sygemeldingsmails. De berørte er ikke kun den undersøgte. Kolleger, kunder, leverandører og private kontakter optræder i postkasser og chats. Angiv det forventede omfang ud fra de faktiske kilder: antal postkasser, antal enheder, perioder og datamængder.

Nødvendighed og proportionalitet

Her er de tekniske valg centrale, fordi de afgør, hvor indgribende behandlingen er:

Hvorfor netop disse kilder? Hver kilde knyttes til et af undersøgelsens spørgsmål.
Fuld kopi eller målrettet udtræk? En fuld kopi kan være nødvendig for fuldstændighed og efterprøvelighed, men det skal begrundes.
Trinvis fremgangsmåde: logdata og metadata gennemgås før indhold, og indhold gennemgås kun, hvor metadata giver anledning til det.
Sikring adskilt fra gennemgang: kopier kan sikres og forsegles, mens vurderingen af selve gennemgangen pågår.

Afvejningen er beskrevet i dataminimering i forensic.

Risici set fra teknikken

Risiciene skal beskrives ud fra de registreredes perspektiv, ikke ud fra organisationens. Spørgsmålet er, hvad der kan gå galt for de personer, hvis data indgår, og i hvilket trin af processen det kan ske:

Tab eller læk af kopier under transport eller opbevaring.
Uautoriseret adgang til materialet, også internt hos opdragsgiveren.
Overgennemgang: at flere data ses, end spørgsmålene kræver, fx private beskeder.
Fejlagtige konklusioner: en forkert tilskrivning af handlinger til en person er en reel risiko for den registrerede. Se fra artefakt til konklusion.
Videregivelse: rapporter og bilag sendes videre med flere persondata end nødvendigt.
For lang opbevaring: kopier, der ikke slettes, når sagen er afsluttet.
Tredjepartstjenester: værktøjer, der behandler data i en cloud, som ingen har vurderet.

Foranstaltninger

Knyt hver risiko til en konkret foranstaltning:

Tab eller læk · Kryptering i hvile og under transport, kontrol af hashværdier
Uautoriseret adgang · Navngivne konti, adgang pr. sag, log over åbning, søgning og eksport
Overgennemgang · Filtre fastlagt på forhånd, to-trinsgennemgang af private data
Fejlagtige konklusioner · Alternative forklaringer testet, uafhængig kontrol af centrale fund
Videregivelse · Pseudonymisering i rapporter, afgrænsede bilag
For lang opbevaring · Aftalt slettetidspunkt, metode og skriftlig bekræftelse
Tredjepartstjenester · Analyse på isoleret arbejdsstation, ingen onlineværktøjer uden vurdering

Restrisiko og opfølgning

Når foranstaltningerne er beskrevet, vurderes den tilbageværende risiko. Det er den dataansvarliges vurdering, men den sagkyndige kan beskrive, hvilke risici teknikken ikke kan fjerne, fx at en fuld kopi af en telefon altid indeholder private data, selv om de ikke gennemgås. Hvis restrisikoen er høj, kan der være pligt til forudgående høring af Datatilsynet.

Den sagkyndige kan også pege på, hvor usikkerheden ligger, fx i hvor mange private data en kilde reelt indeholder, før den er gennemgået. Analysen er ikke et engangsdokument. Ændres omfanget undervejs, fx med nye personer, nye kilder eller en længere periode, bør de tekniske input opdateres.

Når det haster

Spor kan forsvinde, før en analyse er færdig. Teknisk kan sikring og gennemgang adskilles, så kopierne ligger forseglet og krypteret, indtil vurderingen er foretaget, og intet indhold gennemgås i mellemtiden. Om det er tilstrækkeligt i den konkrete sag, er en juridisk vurdering, men det giver den dataansvarlige et valg, der ikke er mellem at miste sporene og at behandle dem uden vurdering.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: DPO’ens tekniske tjekliste før en forensisk opgave · Uberettigede opslag: teknisk analyse af adgangslogs i fagsystemer

→ Uvildig IT-sagkyndig med forensic-baggrund · For DPO’er · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik