Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen
Private data på en arbejdscomputer eller firmatelefon kan sjældent fjernes fra sikringen, men de kan holdes ude af analysen. Det gøres med dokumenterede filtre på stier, profiler, konti og metadata, med søgning før læsning og med logning af, hvad analytikeren faktisk åbnede. Målet er, at det bagefter kan vises, hvad der blev set, og lige så vigtigt, hvad der ikke blev set.
Hvad arbejdsgiveren må, og hvordan advokaten bør formulere opdraget, er beskrevet i medarbejderens private data på arbejdsudstyr. Hvad virksomheden gør, når den støder på private data, står i når I støder på private data. Her er den tekniske side.
Hvor de private data ligger
Private data samler sig typisk bestemte steder, og det gør adskillelsen mulig:
- Brugerprofilen · Mapper med navne som Privat, Billeder, Downloads; private dokumenter på skrivebordet
- Browserprofiler · Separate profiler eller konti med privat historik, gemte logins, webmailcache
- Synkroniseringsklienter · Privat OneDrive, Dropbox, iCloud eller Google Drive, der synkroniserer ved siden af firmaets
- Beskedapps · Private samtaler i apps på computeren eller telefonen
- Telefonen · Fotos, sundhedsdata, private konti og apps uden for arbejdsprofilen
- Mailklienten · Private konti tilføjet i samme klient, eller private mails i arbejdspostkassen
På telefoner med en adskilt arbejdsprofil, fx via enhedsadministration, er adskillelsen delvist indbygget. På computere uden den adskillelse må den skabes i analysen.
Teknikker til adskillelse
Stifiltre og profiler
Det enkleste filter er at udelukke bestemte stier fra analysesættet: en mappe ved navn Privat, en privat browserprofil eller en privat synkroniseringsmappe. Filtret er let at dokumentere og let at efterprøve. Det er ikke fuldstændigt, fordi private filer også ligger andre steder, og fordi en mappe kaldet Privat også kan indeholde firmadata.
Kontofiltre
Mails, chats og cloudfiler kan ofte filtreres på konto: arbejdskontoen med, den private konto ude. Filtret bygger på metadata, ikke indhold, og det er derfor mindre indgribende end en søgning i alt.
Metadata før indhold
Mange spørgsmål kan besvares uden at åbne en fil. Filnavn, sti, størrelse, hashværdi og tidsstempler viser, om en fil er kopieret til et USB-drev eller uploadet, uden at indholdet læses. En analyse, der starter med metadata og kun åbner indhold, hvor det er nødvendigt, minimerer indgrebet. Systemartefakter som genvejsfiler og jumplists viser også, hvilke filer der er åbnet, uden at indholdet skal ses.
Hashlister
Kendte filer kan identificeres med hashværdier og sorteres fra eller til. Standardfiler fra styresystem og programmer frasorteres, og en liste over firmaets fortrolige dokumenter kan bruges til at finde netop dem uden at gennemse alt andet. Se hashlister og kendte filer.
Søgning før læsning
Søgninger på aftalte søgeord afgrænser, hvad der vises. Søgningen skal være gennemtænkt, fordi danske bøjningsformer og sammensatte ord let giver både for mange og for få hits. Se søgetermer teknisk.
To-trinsgennemgang
Hvor private og arbejdsrelaterede data er tæt blandet, bruges ofte en gennemgang i to trin:
- Første trin foretages af en person uden interesse i sagen, typisk den uvildige sagkyndige. Elementer klassificeres som arbejdsrelateret, privat eller tvivlsomt, og private elementer markeres og spærres.
- Andet trin er den egentlige analyse, som kun omfatter de elementer, der ikke er spærret.
Tvivlsomme elementer afgøres efter en aftalt procedure, fx ved at advokaten eller medarbejderens repræsentant inddrages. Det vigtige teknisk er, at markeringerne gemmes i analyseværktøjet, så det kan vises, hvilke elementer der blev spærret, og at de ikke indgik i senere søgninger eller rapporter.
Markeringerne skal også overleve, når data flyttes. Eksporteres et analysesæt til et andet værktøj, eller genbehandles kopien med en ny version, kan spærringer gå tabt, hvis de kun findes som etiketter i det første værktøj. Gem derfor en liste over spærrede elementer med hashværdi og sti, så spærringen kan genskabes og kontrolleres uafhængigt af værktøjet.
Faldgruber
- Miniaturer og forhåndsvisninger. Et galleri med tusinder af miniaturer viser private billeder, selvom ingen fil blev åbnet. Slå automatisk forhåndsvisning fra i private områder.
- Søgeresultater med uddrag. Hitlister viser ofte tekst omkring søgeordet. Et hit i en privat mail afslører indhold, selvom mailen ikke åbnes.
- Indeksering af alt. De fleste analyseværktøjer indekserer hele kopien. Indekset indeholder dermed også private data. Det er forsvarligt, når adgangen er begrænset, men skal nævnes.
- Fællesmapper med private filer. Filtre på stier fanger ikke private filer, der ligger i arbejdsmapper.
- Gendannede og ikke-allokerede data. Carving af slettede filer tager ikke hensyn til mappenavne. Private slettede billeder dukker op mellem arbejdsdokumenter. Begræns carving til de filtyper og den periode, spørgsmålet kræver.
Telefonen kræver særlig omhu
En telefon er langt tættere knyttet til privatlivet end en computer, også når den er firmaets. Fotos, helbredsdata, placeringshistorik, private beskedapps og konti ligger side om side med arbejdsmail og arbejdskalender. Tre greb er særligt relevante:
- Selektivt udtræk, hvor kun bestemte apps eller datatyper overføres fra telefonen. Det begrænser, hvad der overhovedet findes i kopien, men kan fjerne sammenhænge, der senere viser sig vigtige.
- Filtrering på app-niveau i analysen, så analysesættet kun indeholder de apps, opdraget omfatter, mens resten bliver i den krypterede masterkopi.
- Arbejdsprofil eller administreret container, hvor enhedsadministrationen allerede adskiller firmaets apps fra de private. Her kan det ofte dokumenteres, at kun den administrerede del er undersøgt.
Uanset metoden skal det fremgå, hvilke kategorier der blev udeladt, og hvilke spørgsmål udtrækket derfor ikke kan besvare. Selektive udtræk af firmatelefoner er behandlet i firmatelefonen i en ansættelsessag.
Logning af hvad der blev set
Det stærkeste værn er en log over analytikerens handlinger: søgninger, åbnede elementer, markeringer og eksporter. Nogle værktøjer fører den log automatisk; ellers må den føres manuelt i arbejdsnoterne. Med loggen kan det dokumenteres, at private elementer ikke blev åbnet, eller hvilke få der blev åbnet, og hvorfor. Se logning af analytikerens egen adgang.
Når noget privat alligevel er relevant
Nogle gange er et privat element relevant, fx når en privat synkroniseringsmappe er destinationen for firmadata. Så er det mappens metadata og firmafilerne i den, der er relevante, ikke de øvrige private filer. Analysen bør afgrænses til det, der kan kobles til firmadata, fx via hashværdier eller filnavne, og resten forblive uåbnet.
Støder analysen på noget privat, der ligger uden for opdraget, gælder en særlig procedure, beskrevet i fund uden for opdraget.
Dokumentation i rapporten
Rapporten bør beskrive:
- hvilke områder der blev identificeret som private, og med hvilke kriterier,
- hvilke filtre der blev anvendt, og hvor mange elementer de omfattede,
- om der blev foretaget to-trinsgennemgang, og hvem der foretog første trin,
- hvilke private elementer der blev åbnet, og begrundelsen,
- at private elementer ikke indgår i rapportens bilag, medmindre det er særskilt begrundet.
Beskrivelsen er ikke en formalitet. Den gør det muligt for modparten og retten at vurdere indgrebet, og den beskytter den sagkyndige mod beskyldningen om at have gennemsøgt alt.
Kilder og versioner
- Databeskyttelsesforordningen (GDPR), EUR-Lex
- Datatilsynet: Hvornår må du behandle personoplysninger
- NIST: National Software Reference Library (hashlister over kendte filer)
Senest gennemgået: oktober 2026.
Næste skridt
- Uvildighed i praksis: metodiske værn i forensisk arbejde
- Når IT bliver bedt om at undersøge en kollega
Del af: Kvalitet og standarder
Læs også: Dataminimering i forensic: filtrér før, under eller efter sikring? · Pseudonymisering og maskering i rapporter og produktioner
→ Uvildig IT-sagkyndig med forensic-baggrund · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
