DPO’ens tekniske tjekliste før en forensisk opgave

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

Før en forensisk undersøgelse begynder, bør databeskyttelsesrådgiveren have konkrete tekniske svar på seks spørgsmål: hvilke datakilder der sikres, hvornår og hvordan der filtreres, hvem der får adgang og hvordan adgangen logges, hvor og hvordan kopierne opbevares, hvordan private data og tredjemands data håndteres, og hvordan og hvornår materialet slettes eller tilbageleveres. Svarene skal komme fra den, der udfører opgaven, og de skal være så præcise, at de kan kontrolleres bagefter.

DPO’ens rolle i en intern undersøgelse er beskrevet for virksomheden på bevissikring-digitalt.dk. Denne side er den tekniske tjekliste, DPO’en kan stille den sagkyndige.

Formål og afgrænsning

☐ Hvilke spørgsmål skal undersøgelsen besvare, formuleret så de kan besvares teknisk?
☐ Hvilke personer, konti og enheder er omfattet, og hvorfor?
☐ Hvilken periode er omfattet, og er den begrundet i sagen?
☐ Hvem er opdragsgiver, og hvem modtager resultatet?
☐ Er det beskrevet, hvad der sker med fund, der ligger uden for opdraget?

En god afgrænsning er det vigtigste databeskyttelsesværn, fordi den begrænser alt det, der følger. Den gør det også lettere for den sagkyndige at forklare bagefter, hvorfor bestemte data blev gennemgået, og andre ikke blev. Et vagt formål som “at undersøge medarbejderens adfærd” giver ingen af delene.

Datakilder og datakategorier

☐ Hvilke kilder sikres: computere, telefoner, postkasser, filshares, cloudtjenester, logs?
☐ Er der tale om fulde kopier af medier eller målrettede udtræk, og hvorfor?
☐ Hvilke kategorier af persondata forventes at være i kilderne, herunder helbredsoplysninger, fagforeningsforhold eller andre særlige kategorier i mails og chats?
☐ Omfatter sikringen private enheder eller private konti, og i givet fald på hvilket grundlag?

En fuld kopi af et medie indeholder altid mere end det, sagen drejer sig om. Det er ofte nødvendigt for at sikre fuldstændighed og kunne efterprøve resultatet. Afgørende er, hvad der sker i analysen.

Filtre og minimering

☐ Hvor i forløbet filtreres der: ved indsamling, ved behandling eller ved gennemgang?
☐ Hvem fastlægger kriterierne, fx søgeord, perioder og afsendere, og hvordan dokumenteres de?
☐ Kan det efterfølgende vises, hvilke data der blev filtreret fra, og hvorfor?
☐ Hvordan sikres det, at filtrene ikke fjerner data, der ville have talt til fordel for den undersøgte?

Et filter, der ikke kan beskrives præcist, kan heller ikke efterprøves af den undersøgte eller af en modpart, og det svækker både databeskyttelsen og beviset. Afvejningen mellem minimering og fuldstændighed er gennemgået i dataminimering i forensic.

Private data og tredjemands data

☐ Hvordan adskilles private filer, private mails og private beskeder teknisk fra arbejdsdata?
☐ Gennemgås markerede private data overhovedet, og i givet fald af hvem?
☐ Hvordan håndteres data om personer, der ikke er omfattet af undersøgelsen, fx kolleger, kunder og familie?
☐ Bliver tredjemands data pseudonymiseret i rapport og bilag?

Teknikkerne er beskrevet i private data: teknisk adskillelse.

Adgang og logning

☐ Hvem har adgang til beviskopierne og analyseværktøjerne, navngivet?
☐ Bruges personlige konti, så handlinger kan føres til en person?
☐ Logges åbning, søgning og eksport, og kan DPO’en få indsigt i loggen?
☐ Har tilknyttede konsulenter samme tavshedspligt som den sagkyndige?

Hvad en adgangslog bør indeholde, står i logning af analytikerens adgang.

Opbevaring og overførsel

☐ Hvor opbevares kopierne fysisk og logisk, og er de krypteret i hvile?
☐ Ligger kopierne i en offentlig cloudtjeneste, og i givet fald hvor geografisk?
☐ Udføres analysen på en isoleret arbejdsstation?
☐ Hvordan overføres data mellem parterne: krypteret medie, sikker kanal eller andet?
☐ Hvem ejer kopierne, og hvem kan kræve dem udleveret?

Nielco IT’s egen fremgangsmåde er beskrevet under datasikkerhed under opgaven: kopierne opbevares krypteret hos Nielco IT og ikke i offentlig cloud, analysen sker på en isoleret arbejdsstation, og adgangen logges.

Værktøjer og tredjepartstjenester

☐ Hvilke værktøjer bruges til behandling og analyse, og kører de lokalt?
☐ Sendes data til onlinetjenester, fx til oversættelse, tekstgenkendelse eller analyse med kunstig intelligens?
☐ Opbevarer værktøjerne selv kopier, indekser eller miniaturebilleder, der også skal slettes?

Spørgsmålene lyder banale, men et analyseværktøj, der i baggrunden sender tekst til en cloudtjeneste, kan flytte data til et sted, som ingen har vurderet. Indekser og miniaturebilleder bliver ofte liggende, når selve kopien slettes.

Rapport og bilag

☐ Indeholder rapporten kun de persondata, der er nødvendige for at besvare spørgsmålene?
☐ Er bilag med beskeder og mails afgrænset til de relevante dele?
☐ Er der skjulte lag, metadata eller kommentarer i rapporten, der afslører mere end den synlige tekst?
☐ Hvem modtager rapporten, og må den videregives?

Sletning og tilbagelevering

☐ Hvornår slettes kopierne: ved sagens afslutning, efter en ankefrist eller efter en anden aftalt hændelse?
☐ Hvordan slettes de på det konkrete medie, og omfatter sletningen arbejdskopier, eksporter og backup?
☐ Udstedes der en skriftlig bekræftelse på sletning?
☐ Hvordan tilbageleveres originalmedier, og registreres det?

Hvad en sletning teknisk skal omfatte, er beskrevet i sikker sletning af beviskopier.

Registreredes rettigheder undervejs

☐ Kan den sagkyndige teknisk finde alle data om en bestemt person i materialet, hvis der kommer en anmodning om indsigt?
☐ Hvem vurderer, om en anmodning skal imødekommes, og hvordan dokumenteres udleveringen?

Vurderingen er juridisk. Den tekniske forudsætning er, at materialet er indekseret og søgbart, og at det kan dokumenteres, hvad der blev fundet.

Konsekvensanalyse

☐ Kræver undersøgelsen en konsekvensanalyse, eller er den dækket af en eksisterende?
☐ Har den sagkyndige leveret de tekniske input, analysen kræver?

Hvilke tekniske input der er tale om, står i konsekvensanalyse for en forensisk undersøgelse.

Svar, der bør give anledning til opfølgning

Nogle svar er tegn på, at den tekniske del ikke er gennemtænkt:

“Vi tager det hele og ser, hvad der er.” Bred sikring kan være rigtig, men uden en plan for, hvordan analysen afgrænses, ender alt materiale med at blive gennemgået.
“Det ligger på en delt mappe hos os.” En almindelig fællesmappe har sjældent kryptering, adgangsbegrænsning pr. sag og logning af adgang.
“Vi sletter det, når sagen er slut.” Uden en defineret hændelse, en metode og en bekræftelse er det en hensigt, ikke en procedure.
“Vi bruger søgeord.” Søgeord er et filter, men det skal fremgå, hvem der valgte dem, hvordan de er afprøvet, og hvad de ikke fanger.
“Alle i teamet har adgang.” Adgangen bør følge opgaven, ikke organisationsdiagrammet.

Svarene som dokumentation

Bed om svarene skriftligt, og gem dem sammen med beslutningen om at iværksætte undersøgelsen. De dokumenterer, at databeskyttelsen blev vurderet, før arbejdet begyndte, og de giver et grundlag for at følge op undervejs. Ændres omfanget, fx fordi der kommer nye personer eller nye kilder til, bør de relevante punkter gennemgås igen. Når opgaven er afsluttet, kan DPO’en holde den endelige rapport, adgangsloggen og sletningsbekræftelsen op mod de oprindelige svar. Afvigelser er ikke nødvendigvis fejl, men de skal kunne forklares.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Når IT bliver bedt om at undersøge en kollega

Del af: Kvalitet og standarder

Læs også: Når IT bliver bedt om at undersøge en kollega · Konsekvensanalyse for en forensisk undersøgelse: tekniske input

→ Uvildig IT-sagkyndig med forensic-baggrund · For DPO’er · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik