Waarom een e-discoveryplatform, en niet ter plaatse filteren

Vroeg of laat stelt de tegenpartij de vraag: waarom heeft u de volledige mailbox meegenomen, terwijl de opdracht over een beperkte periode en een handvol trefwoorden ging? Die vraag is terecht en ze verdient een technisch antwoord. Wie terugvalt op “zo werkt dat nu eenmaal”, heeft ze verloren.

Het antwoord is dat selecteren ter plaatse technisch niet kan op een manier die standhoudt. Daar zijn drie redenen voor. Ze staan los van elkaar en elk van de drie volstaat op zichzelf.

Een mailclient exporteert geen deelselectie

De ingebouwde zoekfunctie van een mailclient laat je zoeken en de treffers bekijken, maar ze kan die treffers niet als aparte set wegschrijven. Exporteren gaat per postvak: alles of niets. Er bestaat geen tussenweg waarbij de gefilterde set naar buiten gaat en de rest blijft staan.

Wie het toch ter plaatse wil oplossen, moet de gevonden items handmatig naar een aparte map verplaatsen. Dat is een schrijfhandeling in de mailbox van een betrokkene: na je bezoek is het systeem niet meer wat het was toen je binnenkwam.

Herindexeren duurt langer dan je bezoek

Zoeken veronderstelt een index, en die is er op het moment dat je hem nodig hebt meestal niet. Een geëxporteerd of gekopieerd postvak dat je opent in een mailclient begint van nul. Die index opnieuw opbouwen kost makkelijk twaalf tot vierentwintig uur, afhankelijk van het volume en van de schijf eronder. Dat is meer dan een volledige werkdag op locatie.

De achterliggende valkuil is erger dan het wachten. Een zoekopdracht op een index die nog aan het opbouwen is, levert onvolledige resultaten op zonder dat de zoekfunctie meldt dat ze niet klaar is. Het resultaat ziet er geslaagd uit. Wie op dat moment beslist wat mee mag en wat achterblijft, neemt die beslissing op een halve dataset en weet dat niet.

Contentzoeken is formaatafhankelijk

Er bestaat geen enkele zoekopdracht die tegelijk in PDF, Word, PowerPoint en platte tekst kijkt. Elk formaat heeft zijn eigen tekstextractie nodig, en waar die ontbreekt valt de zoekfunctie stilzwijgend terug op bestandsnamen en metadata. Een corpus dat door elkaar uit al die formaten bestaat (de normale situatie op een bedrijfsschijf) is met de middelen die op de machine zelf staan niet volledig op inhoud te doorzoeken.

Het alternatief is elk bestand openen in de toepassing die het aankan. Bij een corpus van enkele tienduizenden bestanden is dat op één bezoek onhaalbaar. Dat is geen kwestie van doorwerken.

Waarom achteraf filteren nauwkeuriger is

Wie ter plaatse selecteert, neemt beslissingen die nergens worden vastgelegd: staand naast andermans bureau, onder tijdsdruk, op basis van wat de zoekfunctie op dat ogenblik toont. Achteraf valt niet meer na te gaan waarom het ene bestand wel en het andere niet in de selectie zat, en de bestanden die je liet staan zijn geen tweede keer te beoordelen.

In een e-discoveryplatform is elke filterstap een afzonderlijke handeling met een aantal ervoor en een aantal erna. Mapbereik, datumgrens en trefwoorden worden na elkaar toegepast en elke tussenstand blijft bestaan. Die trechter is navolgbaar: een tegendeskundige die dezelfde stappen zet, komt op dezelfde aantallen uit. Alles capteren en daarna verantwoord filteren is dus niet slordiger dan ter plaatse selecteren. Het is nauwkeuriger, want het oordeel wordt reproduceerbaar in plaats van definitief.

Wat overcollectie je oplegt

De keuze is alleen verdedigbaar met het sluitstuk erbij. Zonder dat sluitstuk heb je enkel meer meegenomen dan gevraagd.

Wat buiten de opdracht valt, wordt niet geproduceerd. Het feit dat je het in handen hebt gehad, geeft je geen enkele grond om het te leveren. Twijfelgevallen beslecht je niet zelf: die leg je voor aan wie de opdracht gaf.

De brondata wordt na afloop onherroepelijk gewist. Van het platform en van je eigen dragers. Noteer wanneer, waar en met welke methode, en zet dat in het verslag. Zolang die vernietiging niet is aangetoond, blijft de captatie voor de betrokkene een openstaand risico waar hij zelf niets aan kan doen.

Verwittig alle partijen, ook wanneer er niets te zien valt

Verwittig alle partijen schriftelijk van een datacaptatie, ook wanneer de stap puur technisch lijkt en er inhoudelijk niets te bespreken valt. Het recht op tegenspraak hangt niet af van de vraag of er iets te bespreken is; het geldt voor de handeling zelf.

Een captatie is bovendien het ene moment in het onderzoek dat niet over te doen valt. De toestand van het systeem op dat ogenblik komt niet terug. Wie achteraf moet uitleggen waarom een partij daar niet bij was, discussieert niet meer over zijn methode maar over zijn onpartijdigheid.

Verder lezen

Craig Ball, Don’t BE a Tool, GET a Tool! (22 maart 2021). Ball benadert dezelfde vraag vanuit het integriteitsargument: bewijsmateriaal beoordelen in de toepassing die het bestand normaal opent, wijzigt metadata en breekt de hashwaarde. Zijn conclusie loopt gelijk met die hierboven, langs een andere weg.