E-discovery

E-discovery, voluit electronic discovery, is het proces waarbij elektronisch opgeslagen informatie systematisch wordt gezocht, verzameld, verwerkt en geanalyseerd voor gebruik als bewijsmateriaal in juridische procedures of interne onderzoeken. Het gaat om het doorzoeken van grote hoeveelheden digitale data, van e-mails en documenten tot chatberichten, databases en cloudopslag. Binnen cybersecurity speelt e-discovery een cruciale rol bij het onderzoeken van datalekken, fraude, compliance-schendingen en andere security-incidenten waarbij digitaal bewijs moet worden veiliggesteld en geanalyseerd.

Hoe werkt e-discovery? Stappen

Het e-discovery-proces volgt een gestandaardiseerd model dat bekendstaat als het Electronic Discovery Reference Model (EDRM). Dit model beschrijft negen fasen die je doorloopt van het eerste moment dat je weet dat digitaal bewijs relevant kan zijn tot de uiteindelijke presentatie in een rechtszaak of onderzoeksrapport.

De eerste fase is identificatie: vaststellen welke databronnen relevant zijn en waar ze zich bevinden. Dit omvat e-mailservers, bestandsshares, clouddiensten, mobiele apparaten, back-upsystemen en applicatiedatabases. In een gemiddelde organisatie gaat het om tientallen tot honderden databronnen. De tweede fase is bewaring (preservation): ervoor zorgen dat relevante data niet wordt gewijzigd of verwijderd. Dit wordt vaak afgedwongen via een legal hold, een formele instructie aan medewerkers en IT-systemen om specifieke data te bewaren.

Vervolgens komt de verzameling (collection): het forensisch veiligstellen van de geidentificeerde data. Dit moet op een manier gebeuren die de integriteit van het bewijs waarborgt, met gedocumenteerde chain of custody. Na verzameling volgt verwerking (processing): de ruwe data wordt geconverteerd naar een doorzoekbaar formaat, ontdubbeld en geindexeerd. Moderne e-discovery-platforms kunnen miljoenen documenten verwerken en doorzoekbaar maken. De review-fase is het meest arbeidsintensieve onderdeel: juristen en onderzoekers beoordelen de gevonden documenten op relevantie, privilege en vertrouwelijkheid.

Wanneer voer je e-discovery uit?

E-discovery wordt ingezet bij verschillende scenario's. Het meest voorkomend is bij civiele rechtszaken waarbij partijen verplicht zijn om relevante documenten te delen (disclosure of discovery). In Nederland kennen we geen Amerikaanse-stijl discovery, maar ook hier kunnen rechters partijen verplichten om specifieke documenten te overleggen op grond van artikel 843a Rv.

Binnen cybersecurity is e-discovery relevant bij het onderzoeken van security-incidenten. Na een ransomware-aanval of datalek moet je vaak vaststellen welke data is geraakt, wie er toegang heeft gehad en hoe de aanval is verlopen. E-discovery-technieken helpen bij het doorzoeken van logbestanden, e-mailcommunicatie en systeemdata om het incident te reconstrueren. Bij interne fraude-onderzoeken wordt e-discovery gebruikt om communicatie en transacties van verdachte medewerkers te analyseren.

De AVG heeft e-discovery complexer gemaakt. Bij het doorzoeken van bedrijfsdata kom je onvermijdelijk persoonsgegevens tegen. Je moet ervoor zorgen dat de e-discovery-procedure voldoet aan de privacy-beginselen: dataminimalisatie, doelbinding en bewaartermijnen. Dit betekent dat je niet zomaar alle data mag doorzoeken, maar gericht moet werken en niet-relevante persoonsgegevens moet beschermen of verwijderen.

Wat kost e-discovery?

De kosten van e-discovery variieren sterk afhankelijk van de omvang van het onderzoek. Voor een klein intern onderzoek met beperkte databronnen liggen de kosten tussen vijfduizend en vijfentwintigduizend euro. Grote internationale onderzoeken met miljoenen documenten kunnen honderdduizenden tot miljoenen euro's kosten. De review-fase is doorgaans het duurste onderdeel, omdat dit specialistisch werk is dat niet volledig geautomatiseerd kan worden.

Moderne e-discovery-platforms helpen de kosten te beheersen door technologie-ondersteunde review (TAR) en predictive coding. Deze AI-gestuurde tools leren van de beoordelingen van reviewers en kunnen vervolgens documenten automatisch classificeren op relevantie. Dit kan de reviewtijd met 50 tot 80 procent reduceren. Grote aanbieders van e-discovery-platforms zijn onder andere RelativityOne, nuix, OpenText en ZyLAB, waarvan de laatste een Nederlandse oorsprong heeft.

De keuze tussen in-house e-discovery en uitbesteding hangt af van de frequentie en omvang van je onderzoeken. Organisaties die regelmatig met e-discovery te maken hebben, investeren in eigen tooling en expertise. Voor incidentele onderzoeken is het vaak kostenefficienter om een gespecialiseerd bureau in te schakelen dat beschikt over de juiste tools, gecertificeerde processen en forensische expertise. Let bij de selectie van een e-discovery-partner op certificeringen, ervaring met Nederlandse en Europese regelgeving en de mogelijkheid om data binnen de EU te verwerken.

De bewaring van digitaal bewijs is een kritiek onderdeel van het e-discovery-proces dat nauwe samenwerking vereist tussen juridische en IT-afdelingen. Een effectief preservation-proces begint met het identificeren van alle relevante custodians (personen wier data relevant kan zijn) en het uitvaardigen van een legal hold-notice. IT moet vervolgens zorgen dat automatische verwijderprocessen, retentiebeleid en e-mailarchivering worden aangepast om de relevante data te bewaren. Het niet adequaat bewaren van data kan leiden tot juridische sancties, adverse inferences en reputatieschade.

Cross-border e-discovery is een groeiende uitdaging voor internationale organisaties. Wanneer een onderzoek data omvat die in meerdere landen is opgeslagen, krijg je te maken met uiteenlopende privacywetten, datalocalisatie-eisen en juridische procedures. De EU Blocking Statute kan bijvoorbeeld conflicteren met Amerikaanse discovery-verplichtingen. Nederlandse organisaties die internationaal opereren, moeten hiervoor een juridische strategie ontwikkelen die rekening houdt met zowel Nederlandse als buitenlandse regelgeving.

De technologische ontwikkelingen op het gebied van artificial intelligence veranderen het e-discovery-landschap fundamenteel. AI-gestuurde reviewtools kunnen niet alleen documenten classificeren op relevantie maar ook conceptuele verbanden leggen, sentimentanalyse uitvoeren en communicatiepatronen identificeren die menselijke reviewers mogelijk missen. Deze tools reduceren niet alleen kosten maar verbeteren ook de kwaliteit van het onderzoek. Tegelijkertijd roepen ze vragen op over de betrouwbaarheid en verklaarbaarheid van AI-gestuurde beslissingen in juridische contexten.

Veelgestelde vragen over e-discovery

Wat is het verschil tussen e-discovery en digital forensics?

E-discovery richt zich op het vinden en analyseren van relevante documenten en communicatie voor juridische doeleinden. Digital forensics gaat dieper en richt zich op het technisch reconstrueren van incidenten, inclusief het herstellen van verwijderde data en het analyseren van malware. Beide disciplines vullen elkaar aan bij security-onderzoeken.

Is e-discovery verplicht bij een datalek?

Bij een datalek moet je onder de AVG vaststellen welke persoonsgegevens zijn geraakt. E-discovery-technieken helpen bij het doorzoeken van getroffen systemen om de omvang van het lek te bepalen. Hoewel e-discovery als methode niet wettelijk verplicht is, is het onderzoek naar de omvang van het lek dat wel.

Hoe lang duurt een e-discovery-traject?

Een klein onderzoek kan in enkele weken worden afgerond. Grote, complexe onderzoeken met miljoenen documenten duren drie tot twaalf maanden. De doorlooptijd hangt af van de hoeveelheid data, het aantal databronnen en de complexiteit van de zoekvragen.

Mag je als werkgever de e-mail van medewerkers doorzoeken?

In Nederland gelden strikte regels voor het doorzoeken van werknemersdata. Je hebt een gerechtvaardigd belang nodig, moet proportioneel handelen en de privacy van medewerkers respecteren. Informeer medewerkers vooraf via het privacybeleid dat monitoring mogelijk is en betrek de ondernemingsraad bij het opstellen van beleid.

Wat is een legal hold?

Een legal hold is een formele instructie om relevante data te bewaren wanneer een juridische procedure dreigt of is gestart. Het voorkomt dat bewijs wordt vernietigd door reguliere retentie-processen of door medewerkers die data verwijderen. Het niet naleven van een legal hold kan leiden tot juridische sancties.

Vind een specialist voor digitaal onderzoek via Incident Response op IBgidsNL.