sou · H1B316 · 2013-03-08 00:00:00 — I avvaktan på att ett sådant biträde inställer sig får inte påbörja undersökningen. Detta gäller dock inte, om 1.undersökningen härigenom onödigt fördröjs, eller 2.undersökningen har beslutats enligt 7 § första stycket. 10 § får begära handräckning av för att genomföra de åtgärder som avses i 6 § 1, 2 eller 4. Vid handräckning gäller bestämmelserna i utsökningsbalken om verkställighet av förpliktelser som inte avser betalningsskyldighet eller avhysning. ska dock inte underrätta den hos vilken undersökningen ska genomföras innan verkställighet sker. 11 § Åtgärder enligt 1 eller 6 § får inte avse en skriftlig handling 1.vars innehåll kan antas vara sådant att en advokat eller en advokats biträde inte får höras som vittne om innehållet, och 2.som innehas av advokaten eller biträdet eller av den till förmån för vilken tystnadsplikten gäller. Om anser att en viss handling bör omfattas av en undersökning och den som åtgärden avser åberopar att handlingen är skyddad enligt första stycket, ska handlingen förseglas och skyndsamt överlämnas till av . Tingsrätten ska utan dröjsmål pröva om handlingen ska omfattas av undersökning. Säkring av bevis och krav på företag vid platsundersökningar 12 § Vid åtgärder som vidtar enligt 1 eller 6 § finns det inte någon skyldighet att röja företagshemligheter av teknisk natur. 13 § Den som är uppgiftsskyldig eller är föremål för undersökning enligt denna lag får inte betungas onödigt. Konkurrenslagen innehåller alltså inget uttryckligt krav på att företagen, när de blir föremål för en platsundersökning, ska samarbeta med . Inte heller finns någon uttrycklig reglering om hur ska förfara när verket samlar in och går igenom digitalt lagrat material. De bestämmelser i konkurrenslagen som reglerar vad har för befogenheter under platsundersökningar är 5 kap 6 § konkurrenslagen men också 5 kap. 1 § konkurrenslagen som gäller generellt vid utredning av konkurrensärenden. I 5 kap 6 § konkurrenslagen stadgas att under platsundersökningar bland annat har rätt att granska bokföring och andra affärshandlingar och ta kopior av eller göra utdrag ur bokföring och affärshandlingar. Vidare kan verket, enligt bestämmelsen i 5 kap. 1 § konkurrenslagen, begära att företaget tillhandahåller uppgifter och handlingar. Nämnda bestämmelser har i dessa delar överförts oförändrade års konkurrenslag. I förarbetena till konkurrenslag skrivs avseende begreppet handling att Ett åläggande att tillhandahålla handlingar kan avse varje form av skriftligt material, exempelvis avtal, korrespondens, affärsböcker, prislistor m.m. Begreppet handling skall ha samma innebörd som i 2 kap. tryckfrihetsförordningen, dvs. omfatta också upptagningar som kan läsas, avlyssnas eller på annat sätt uppfattas endast med hjälp av tekniska hjälpmedel, t.ex. en bildskärm.11 Motsvarande uttalande finns beträffande bestämmelsen om granskning och kopiering av handlingar under platsundersökning.12 Beträffande de krav som ställs på företagen nämns i förarbetena att Det bör därför liksom enligt konkurrenslagen [1982:729] finnas en allmän uppgiftsskyldighet för företag och andra som inträder efter åläggande av verket.13 1992/93:56 s. 107, specialmotivering avseende 45 § konkurrenslagen (1993:20) som motsvaras av 5 kap 1 § konkurrenslagen (2008:579). 1992/93:56 s. 110, specialmotivering avseende 51 § konkurrenslagen (1993:20) som motsvaras av 5 kap 6 § konkurrenslagen (2008:579). 1992/93:56 s. 52. Säkring av bevis och krav på företag vid platsundersökningar 5.2.2Konkurrensverkets metoder vid platsundersökning De flesta ärenden inleds med att ett tips kommer in till . Det är oftast upphandlare, anställda, konkurrenter eller kunder till de misstänkta företagen som tipsar myndigheten. Ärenden inleds också till följd av eftergiftsansökningar, anonyma tips eller på egna initiativ, när exempelvis ekonomisk analys har visat tecken på problem på en viss marknad. Det är dock långt ifrån alla ärenden som lämpar sig för en platsundersökning. När en platsundersökning bedöms som den mest effektiva utredningsåtgärden i ett visst ärende påbörjas planeringen inför platsundersökningen, vilket kan ta allt , beroende på hur omfattande kartläggning och utredning som behövs för att platsundersökningen ska kunna genomföras på ett effektivt sätt. Eftersom platsundersökningarna på grund av den ökade andelen digitalt material blir alltmer tekniska behöver de personer som arbetar med platsundersökningarna behärska digitalforensiska frågor. har därför byggt upp en organisation som ger utrymme för ökad specialisering hos de personer som planerar och leder platsundersökningar. har utsett två personer till metodansvariga för karteller, vari ingår ett metodansvar för platsundersökningar. Dessa två personer leder den s.k. rädgruppen, som är sammansatt av personer med stor erfarenhet av platsundersökningar, goda ledaregenskaper och ett intresse för metodfrågor. Deltagarna i rädgruppen ska med kort varsel kunna leda platsundersökningar hos alla typer av företag. Mellan platsundersökningarna får de utbildning i bland annat ledarskap och digitalforensiska frågor. har också tillsatt en digitalforensisk samordnare. Samordnaren har ett ansvar för att hålla sig själv och organisationen i övrigt uppdaterad i digitalforensiska frågor. Tanken är att samordnaren ska tjäna som en brygga mellan framför allt och rädgruppen. Samordnaren ingår i rädgruppen och har en stående punkt på agendan när rädgruppen sammanträder där samordnaren informerar gruppen om viktiga digitalforensiska frågor. Samordnaren ansvarar även för interna utbildningar i relevant forensisk programvara (Forensic Säkring av bevis och krav på företag vid platsundersökningar Toolkit, FTK, som är den programvara som använder sig av i sina sökningar i digitalt kopierat material). Ett stort antal medarbetare vid har fått intern utbildning i att söka i FTK. Ett antal personer i rädgruppen har också fått en fördjupad utbildning för att behärska mer avancerade sökmetoder i FTK. Samordnaren och IT-personalen har vidare genomgått en specialistutbildning i FTK. Övergripande om spegling och kopiering av digitalt lagrat material kan säkra åtkomst till företagets digitalt lagrade information på två sätt; spegling eller kopiering. Både spegling och kopiering av data sker med forensisk programvara som resulterar i en forensisk kopia av det speglade eller kopierade materialet. Genom att använda en forensisk programvara kontamineras inte materialet av hantering. Vanlig kopiering, som innebär att man för över filer till en CD-skiva eller ett USB-minne, används inte av i samband med platsundersökningar om det kan undvikas, eftersom det inte ger forensiskt säkerställda kopior. Vid spegling skapas en exakt kopia av det lagringsmedium som speglas, inklusive metadata (dvs. uppgifter om när ett dokument skapades, av vem, när det ändrats etc.). Spegling påverkar inte det lagringsmedium som speglas och förfarandet lämnar inte några elektroniska spår. Spegling gör det också möjligt att återskapa raderade filer. Vid kopiering skapas bara en kopia av de dokument som finns lagrade på lagringsmediet. Även vid kopiering erhålls metadata men, beroende på hur kopieringen sker, kan metadata förändras. Kopiering kan lämna elektroniska spår i det medium som kopierats, men påverkar som regel inte de kopierade filerna. Spegling tar i regel än kopiering och kräver dessutom mer omfattande hantering men ger i gengäld alltså möjlighet att hitta även raderade filer. Vid spegling plockas hårddisken ut ur användarens dator och speglas, varvid en s.k. imagefil skapas. Denna imagefil är en exakt kopia av originalhårddisken. All information samt metadata såsom tidsstämplar m.m. på imagefilen är identisk med originalet. För att spegla en hårddisk krävs inget lösenord. För att säkra information lagrad på hårddiskar behöver således verkets personal enbart hjälp med att identifiera var i företaget dessa finns. Säkring av bevis och krav på företag vid platsundersökningar optiska lagringsmedia, såsom DVD- och CD-skivor, säkras också oftast genom spegling. Skulle innehållet på en hårddisk eller ett USB-minne vara helt eller delvis krypterat, måste företagets personal bistå verket med att låsa upp krypteringen, varefter den digitala informationen kan speglas eller kopieras. Det finns metoder att låsa upp kryptering utan företagets medverkan, men dessa tar oftast . Servrar är oftast för stora för att speglas och får därför kopieras i stället. Filer lagrade på en server kan kopieras genom att de delar av servern där det finns material relaterat till de personer som är intresserat av kopieras klustervis. Detta betyder att samma kopiering görs för flera personer . Serverkopiering är oftast ett snabbare förfarande än spegling av hårddiskar, men till skillnad från spegling möjliggör inte serverkopiering att raderade filer återskapas, vilket kan ha betydelse för utredning. Om de aktuella servrarna inte finns i samma lokaler som företaget som är föremål för undersökningen, måste filerna på servern kopieras på distans. Om företaget inte har tillräckligt snabba dataförbindelser, kan serverkopiering då ta i anspråk. För att identifiera vilka delar av servern som är relevanta behövs också ofta hjälp från företagets egen IT-personal. När en platsundersökning planeras, kartläggs de personer hos de misstänkta företagen som tror kan ha tillgång till relevant bevisning. För varje person bedöms hur central han eller hon är i utredningen. Vissa personer bedöms som mer perifera i den misstänkta överträdelsen, varför bara delar av det digitala materialet avseende dessa personer behöver kopieras. Andra personer bedöms som centrala, och större delar av det digitala materialet i deras datorer kan vara intressant för utredningen. På så sätt kan verkets IT-personal uppskatta hur mycket lagringsmedium de behöver ta med samt hur platsundersökningen bör ta. Säkring av bevis och krav på företag vid platsundersökningar En platsundersökning hos ett företag inleds med att den tjänsteman från som biträder under platsundersökningen presenterar sig i företagets reception och ber att få tala med en företrädare för företaget. Kronofogden är alltid närvarande i det inledande skedet av platsundersökningen för det fall skulle behöver begära handräckning av Kronofogdemyndigheten.14 Det kan bli aktuellt om företaget till exempel inte ger tillträde till lokalerna. undersökningsledare delger därefter företagets representant beslutet där gett tillstånd att genomföra en platsundersökning hos företaget. Undersökningsledaren går sedan igenom med representanten vad en platsundersökning rent praktiskt innebär för företaget samt anger i generella drag hur undersökningen kommer att fortskrida. För att kunna genomföra platsundersökningen så effektivt som möjligt ber undersökningsledaren en representant för företaget att beskriva hur företaget är organiserat, vilka som arbetar i företagets lokaler och vad de har för ansvarområden. Undersökningsledaren ber om passerkort eller nyckel för att kunna röra sig fritt i företagets lokaler. Alternativt utser företaget en medarbetare som kan öppna dörrar och visa undersökningsledaren runt. Företaget har rätt att tillkalla ett juridiskt biträde att närvara vid platsundersökningen. får inte påbörja undersökningen förrän biträdet inställt sig, men det gäller inte om undersökningen därigenom onödigt skulle fördröjas eller om undersökningen har beslutats utan att företaget har fått tillfälle att yttra sig. Eftersom dessa undantag som regel är för handen får bestämmelsen mycket liten praktisk betydelse. brukar dock vänta med att inleda undersökningen så att ett biträde ska kunna inställa sig. vidtar dock alltid åtgärder för att se till att inte någon bevisning förstörs . Ett antal handläggare från placeras i de rum där de personer som har identifierats som intressanta för utredningen, s.k. målpersoner, har sina arbetsplatser. 14 Jfr 5 kap. 10 § konkurrenslagen. Säkring av bevis och krav på företag vid platsundersökningar sedan igenom alla dokument och alla förvaringsutrymmen på målpersonernas arbetsplatser. De dokument som skulle kunna utgöra bevisning för den misstänkta överträdelsen markeras och kopieras i två exemplar, ett till och ett till företaget, så att företaget kan se exakt vilket material som har valt ut. Alla pappersdokument som kopierats protokollförs och numreras enligt ett system som gör att det går att urskilja var hos företaget de hittades. Alla kopierade pappersdokument och protokoll från de olika arbetsplatserna samlas sedan hos undersökningsledaren. Spegling och kopiering av digitalt material hos företaget Undersökningsledaren begär också i ett så tidigt skede som möjligt att få komma i kontakt med företagets IT-ansvariga för att IT-personal så fort som möjligt ska få information från företagets IT-avdelning om hur IT-miljön på företaget ser ut. ber företagets IT-ansvariga om lösenord och krypteringsnycklar och om hjälp att identifiera var i företagets server de personer är intresserade av lagrar information. Även servrarnas fysiska placering, vilken programvara som används m.m. efterfrågas då det underlättar för verket att prioritera och bestämma på vilket sätt kopiering/spegling ska ske samt uppskatta hur det kommer att ta. Spegling och kopiering av digitalt lagrat material är ofta den mest omfattande delen av en platsundersökning. Därför är det viktigt att den kan påbörjas . Det är inte ovanligt att spegling eller kopiering av någon hårddisk eller del av server pågår när för dagen avslutar sin platsundersökning, dvs. sökning efter pappersdokument. I sådana fall väljer oftast att låta spegling och kopieringen fortsätta även efter den ordinarie arbetstidens slut. För att detta ska fungera krävs att företaget ger tillgång till ett utrymme som kan försegla och där speglingen eller kopieringen kan fortgå ostört. När den sökningen har slutförts går tillsammans med företaget igenom vilka pappersdokument som kopierats och protokollen undertecknas av och företaget. Säkring av bevis och krav på företag vid platsundersökningar För varje enhet (hårddisk, eller motsvarande) som speglats eller kopierats upprättas ett speglingsprotokoll. I speglingsprotokollet antecknas uppgifter för att identifiera filen. Varje fil får ett unikt s.k. hash-värde som kan sägas fungera som ett digitalt fingeravtryck. Filen kan inte ändras utan att hash-värdet påverkas. Däremot kan filen läsas och skrivas ut utan att det påverkar hash-värdet. Genom att kontrollera hash-värdena kan man i efterhand se att materialet inte manipulerats och att dokumenten är autentiska. När alla relevanta digitala lagringsmedia är speglade eller kopierade får företaget en förteckning över samtliga speglingsprotokoll. Tillsammans med företagets representant går undersökningsledaren igenom denna förteckning, varefter båda parter undertecknar den. Företaget får en kopia av de kopierade diskarna om så önskas. kan det dock vara tidskrävande att skapa kopian, varför företaget då erbjuds att få den levererad i efterhand. Efter det att alla protokoll är undertecknade och företaget har fått papperskopior på samtliga av kopierade pappersdokument lämnar personal företaget. Papperskopiorna och – i de fall indexering och sökning ska ske i – de diskar som innehåller den digitalt lagrade informationen transporteras därefter av undersökningsledaren direkt till i taxi eller privat bil. Om platsundersökningen skett i andra delar av landet kan dock materialet komma att transporteras med tåg eller flyg. Undersökningsledaren har alltid uppsikt över materialet. När undersökningsledaren kommit till verket med diskarna med digitalt lagrad information, låses dessa in i ett särskilt utrymme i . Indexering av och sökning i digitalt material hos Efter det att speglingen och kopieringen av det digitala materialet har avslutats påbörjas nästa steg i processen – att indexera det kopierade materialet och sedan söka i det. Indexering och sökning sker vanligen i . För att det ska kunna ske i företagets egna lokaler krävs att man sätter upp ett IT- laboratorium med server och sökdatorer. Säkring av bevis och krav på företag vid platsundersökningar De forensiska kopior som skapats vid platsundersökningen kopieras först över på en server som används endast för detta ändamål. lägger alltså inte över informationen på sin ordinarie server. Syftet är att uppnå en hög säkerhet; verket vill ha en tydlig uppdelning mellan det forensiska materialet och myndighetens övriga handlingar. Att ha en speciell FTK-server minimerar risken att någon annan än de handläggare på som ska genomföra sökningar i materialet, s.k. sökare, och verkets IT-personal kan se materialet. FTK-servern är inte heller uppkopplad till Internet och kan endast nås av de i personal som har behörighet. Indexering: Indexering innebär att programmet går igenom alla dokument som finns lagrade på de forensiska kopiorna och märker upp varje ord i materialet. Vid indexeringen skapas ett register över var i det digitala materialet olika ord förekommer, vilket gör det möjligt att sedan söka snabbt och effektivt i materialet. Innan materialet är indexerat går det inte att göra effektiva sökningar i det. Det är visserligen möjligt att göra s.k. live-sökningar, men varje enskild sökning efter ett ord tar mycket , eftersom man då måste leta efter ordet i hela det digitala materialet, till skillnad från en sökning i den indexerade databasen som bara tar någon sekund. Att söka i ett material som inte är indexerat kan jämföras med att försöka hitta ett visst ord i en tjock bok utan register. Indexering av allt speglat och kopierat material efter en platsundersökning kan ta . Indexeringen kan ibland hänga upp sig och behöva startas om. Verkets IT-personal brukar därför med jämna mellanrum kontrollera att indexeringen löper på, men någon fortlöpande övervakning av indexeringen behövs inte. Sökning: När indexeringen är klar kan sökningen i det digitala materialet påbörjas. Företaget erbjuds alltid möjlighet att följa sökningen i det digitala materialet genom representanter eller ombud. Företaget ges en kort introduktion i verkets programvara innan sökningen påbörjas. Om indexering och sökning sker i , kan företaget med hjälp av särskild programvara från ett annat rum se exakt vad som sker på skärmarna i IT-laboratoriet. Om indexering och sökning sker i företagets lokaler, har företagets representanter möjlighet att i stället sitta bredvid sökare och därigenom direkt följa vad som sker. Säkring av bevis och krav på företag vid platsundersökningar Sökningen i det indexerade materialet sker utifrån en sökordslista. Verket öppnar de dokument som gett träff för ett sökord och bedömer om dokumentet omfattas av tingsrättens beslut och om det är intressant som bevisning för den misstänkta överträdelsen. Dokument som bedöms vara intressanta för utredningen bokmärks. Genom att företaget sitter i ett externt rum kan verkets personal diskutera de dokument som de ser på skärmen med varandra, vilket gör det lättare att förstå och värdera dem. Detta bidrar till en ökad precision i sökningarna. Om företaget har synpunkter på något dokument som sökarna har öppet på skärmen kan de ringa in till IT-laboratoriet och framföra synpunkterna. Alla bokmärkta dokument gås sedan igenom och dubbletter och irrelevanta dokument rensas bort. När verket har valt ut vilka av de bokmärkta dokumenten som det vill föra till akten, skrivs dessa ut och företaget får möjlighet att gå igenom dem. Därefter har undersökningsledaren en genomgång med företaget, liknande det som hålls i slutet av den platsundersökningen, varvid företagets eventuella ifrågasättanden av att vissa dokument valts ut diskuteras. Slutligen undertecknas protokollet där det framgår vilka dokument som har fört till akten. Indexering och sökning på plats hos företag kan också genomföra indexering och sökning i det digitala materialet på plats hos ett företag, vilket har skett . Verket kan dock inte säkra en lika stabil och robust IT-miljö i företagets lokaler som verket kan i sitt eget IT- laboratorium. När indexering och sökning sker hos företaget måste sökningen ske med sökdatorer som har samtliga funktioner i den enskilda datorn och utan att sökdatorerna är sammankopplade. Detta innebär att verket inte på samma sätt som i sina egna lokaler kan söka från flera datorer parallellt i samma digitala material. En sådan undersökning tar också eftersom man, när man är klar med en sökning, inte kan påbörja en ny förrän ett nytt material har lästs in i systemet och indexerats. Hos separeras de olika funktionerna som databas, lagring av data och sökning, vilket innebär att man dels kan göra flera saker , dels kan påbörja en ny sökning efter en föregående, då hela det digitala materialet har indexerats innan sökningen påbörjas. miljö med servrar för huvudfunktioner är också betydligt kraftfullare och snabbare än den miljö som skapas när man använder portabla datorer. SOU 2013:16 Säkring av bevis och krav på företag vid platsundersökningar interna IT-miljö regelbundna backuper, vilket gör att man löper mindre risk att behöva göra om sökningar om miljön skulle krascha. dokumenterar varje moment i hanteringen i s.k. filkopieringsrespektive speglingsprotokoll. Till varje kopierad eller speglad disk hör ett unikt protokoll och varje åtgärd i hantering av diskarna förs fortlöpande in i protokollet. Av protokollet framgår därmed vilket datum en åtgärd har utförts samt vem som har utfört den. Den sista åtgärden som anges i varje protokoll är att disken har raderats.15 Raderingen sker genom att en s.k. wipingprogramvara skriver över all information på disken , vilket gör det omöjligt att återskapa någonting från disken. Efter det att raderingen har genomförts, aktbilageras filkopierings- och speglingsprotokollen. Den som är part i ett ärende har rätt att granska filkopieringsprotokollen och speglingsprotokollen under ärendets handläggning för att se vilka åtgärder som har vidtagit. När en sådan granskning sker ska det noteras direkt i filkopieringsprotokollet eller speglingsprotokollet. Av noteringen ska framgå handläggarens signatur och datum för granskningen. 5.2.3Skillnad i kostnader mellan granskning på plats hos företaget och i verkets lokaler har framfört till utredningen att det medför ökade kostnader för verket att genomföra granskningen av kopierat och speglat material på plats hos företaget i stället för i verkets lokaler. För att åskådliggöra skillnaden i kostnader mellan de olika alternativen har lämnat uppgifter om vilka merkostnader som har uppstått i de två ärenden där verket genomfört indexering och granskning av digitalt lagrat material i företagens lokaler. Det första tillfället när satte upp ett IT- laboratorium i företagets lokaler för att genomföra indexering och 15 Jfr föreskrifter och allmänna råd om gallring hos RA-MS 2009:33 vari anges att handlingar och upptagningar för automatiseras behandling från undersökning på plats som inte omfattas att beslut i tingsrätten får gallras efter beslutet. Säkring av bevis och krav på företag vid platsundersökningar sökning i digitalt lagrat material på plats, rörde platsundersökningen ett företag med kontor på pendlingsavstånd från . Sökning och indexering pågick mellan två och . hade tillkommande kostnader för att ha IT-personal och undersökningsledare på plats. Vidare tillkom i detta ärende extra restid per person och dag. Förutom ytterligare kostnader uppkom även skillnader i tidsåtgång och kvalitet. IT-miljön var instabil. Sökningarna fick avbrytas på grund av upprepade datakrascher. Det mest framträdande problemet var att sökningarna var ineffektiva och inte kunde slutföras. Platsundersökningen präglades av stora IT- problem och kan därför inte anses representativ. Det är mer rättvisande att göra en kvantifiering av merkostnader utifrån den andra platsundersökningen där verket har genomfört indexering och sökning i digitalt lagrat material hos företaget.