eDiscovery teknisk: fra indsamling til produktion

eDiscovery er den del af en sag, hvor store mængder mail, dokumenter og chat skal gøres søgbare, sorteres og udleveres i en form, som en anden part kan arbejde med. Juraen bestemmer, hvad der skal findes. Teknikken bestemmer, om det faktisk bliver fundet, og om nogen bagefter kan efterprøve, hvordan resultatet opstod. Denne side følger forløbet trin for trin og peger videre til de artikler, der går i dybden.

Den juridiske ramme for eDiscovery i danske sager er beskrevet hos digital-bevissikring.dk. Forskellen på bevissikring, forensic og eDiscovery forklares på digitalbevissikring.dk. Standarden for området er ISO/IEC 27050. → ISO/IEC 27050

1. Indsamling

Alt efterfølgende arbejde arver indsamlingens fejl. Det centrale valg er mellem en bred sikring, der tager hele postkasser og drev, og en målrettet indsamling, der kun tager det, der matcher personer, perioder og kilder. Den målrettede er billigere at behandle, men kan ikke udvides bagefter, hvis kilden er slettet imens. Uanset metode skal søgekriterier, tidsvinduer og eksportindstillinger dokumenteres, og hver leverance hashes. → Målrettet indsamling

I Microsoft 365 sker indsamlingen typisk via Purview, i Google Workspace via Vault. Begge har særheder i, hvad der kommer med i eksporten, og hvad der falder fra. → Microsoft Purview eDiscovery og Google Takeout eller Vault-eksport

2. Processing

Processing er det trin, hvor rå eksporter bliver til enkeltdokumenter med metadata. PST-filer pakkes ud, zip-arkiver åbnes, vedhæftninger skilles fra mails og knyttes til dem som familie, og tekst trækkes ud til indeksering. Det lyder mekanisk, men her opstår de stille fejl: krypterede filer, der ikke kan åbnes, ukendte filtyper, der springes over, og tidszoner, der normaliseres forkert. En processing-log med alle fejlfiler er derfor en del af leverancen. → Behandling af data (processing)

Billeder, scannede PDF’er og skærmbilleder har ingen tekst, før der er kørt OCR. Uden OCR er de usynlige for enhver søgning. → OCR og ikke-søgbare filer

3. Deduplikering

Den samme mail ligger i afsenderens sendte post og i hver modtagers indbakke. Deduplikering fjerner gentagelserne ud fra hash, enten globalt på tværs af alle personer eller pr. person, så det stadig fremgår, hvem der havde hvad. Near-duplicates, altså næsten ens dokumenter som versioner af samme kontrakt, kan grupperes uden at blive fjernet. Valget påvirker både mængden og hvad der senere kan dokumenteres om, hvem der kendte et dokument. → Deduplikering

Mails skal desuden ses som tråde. Message-ID og reply-headere binder dem sammen, og trådning gør det muligt kun at gennemgå den mest komplette mail i en tråd. → Mailtråde, Message-ID og familierelationer

Chat fra Teams eller Slack er et særligt problem, fordi én samtale kan strække sig over måneder. Den skal opdeles i enheder, der giver mening for gennemgangen. → Chatdata i eDiscovery

4. Søgning

Søgetermer er den mest omdiskuterede del af eDiscovery, fordi de afgør, hvad der overhovedet bliver set. Syntaksen varierer mellem platforme, wildcards opfører sig forskelligt, og dansk bøjning, sammensatte ord og stavevarianter gør simple søgninger upræcise. → Søgetermer teknisk

En søgning skal testes, før den bruges: Hvor mange hits giver hver term, hvilke termer rammer bredt uden at give relevante dokumenter, og hvad sker der, hvis termen justeres? En søgetermrapport gør det muligt for modparten at forstå og efterprøve valgene. → Søgetermrapport og hitlister

5. Technology Assisted Review

Ved store mængder er manuel gennemgang af hvert dokument for dyr og for langsom. Technology Assisted Review lader en model lære af gennemgangens beslutninger og prioritere de dokumenter, der mest sandsynligt er relevante. Med kontinuerlig aktiv læring opdateres prioriteringen løbende. → Technology Assisted Review

Metoden står og falder med valideringen. Recall siger, hvor stor en andel af de relevante dokumenter der blev fundet, præcision hvor mange af de fundne der faktisk var relevante, og en elusion-test måler, hvad der er tilbage i den bunke, der ikke blev gennemgået. → Validering af AI-assisteret gennemgang

6. Privilegier og fortrolighed

Før noget udleveres, skal korrespondance med advokater og andre fortrolige dokumenter filtreres fra eller markeres. Teknisk sker det med navne- og domænelister, søgetermer og manuel kontrol, og alt, der tilbageholdes, registreres i en liste. Filtret er aldrig perfekt, så processen skal kunne forklares, hvis et dokument slipper igennem. → Filtrering af advokatkorrespondance

7. Produktion

Produktionen er det, modparten eller retten modtager. Den kan bestå af native filer, PDF eller billedfiler med tekst, og den ledsages af loadfiler, der fortæller et review-værktøj, hvordan metadata, tekst og familier hænger sammen. Hvert dokument nummereres, og hele produktionen hashes, så det senere kan vises, hvad der præcis blev udleveret. → Produktion af data og Hashmanifest for filsamlinger

Dokumentation gennem hele forløbet

Hvert trin træffer valg, som modparten kan anfægte: Hvilke kilder blev ikke indsamlet? Hvilke filer fejlede i processing? Hvorfor blev netop de søgetermer brugt? En eDiscovery, der kan forsvares, har en log for hvert trin og en beskrivelse af metoden, som en anden teknisk person kan følge. Det er den samme tankegang som i forensisk arbejde, bare anvendt på langt større mængder.