Datatilsynet skærper praksis for transmission af personoplysninger via e-mail

Datatilsynet har medio juli offentliggjort, at de fremadrettet vil anse det for "en passende sikkerhedsforanstaltning – for både offentlige og private aktører – at anvende kryptering ved transmission af fortrolige og følsomme personoplysninger med e-mail via internettet".


Hidtil har kun offentlige myndigheder været underlagt dette krav.

Datatilsynet begrunder sin nye praksis med, at anvendelsen af e-mail som kommunikationsform de seneste år er blevet til standarden for skriftlig kommunikation. Dette har betydet, at e-mailkorrespondancer er under betydelig overvågenhed fra personer, der ønsker at få uautoriseret adgang til indholdet af en e-mail, inkl. fortrolige og følsomme personoplysninger. Endvidere betyder den hyppige brug af e-mails, at der i større omfang end hidtil sendes mails til den forkerte modtager. Ved anvendelse af ukrypterede e-mails vil sådanne hændelser potentielt kunne medføre store læk af personoplysninger til uvedkommende. Risikoprofilen ved fremsendelse af mails med fortrolige eller følsomme personoplysninger er således efter Datatilsynets vurdering høj.

Databeskyttelsesforordningen betyder, at både offentlige myndigheder og private organisationer skal foretage en vurdering af den risiko, der er forbundet med at transmittere fortrolige og følsomme personoplysninger med e-mail via internettet, og gennemføre passende tekniske og organisatoriske foranstaltninger for at imødegå den identificerede risiko. Datatilsynet har med sin nye praksis præciseret, at det er passende at have kryptering som en sikkerhedsforanstaltning.


Benyt kryptering og undgå overtrædelse

Den nye praksis betyder, at hvis der ikke er foretaget kryptering af sådanne mails eller andre passende sikkerhedsforanstaltninger, vil dette blive anset som en overtrædelse af databeskyttelsesforordningen. Udgangspunktet vil således være, at der skal ske kryptering af sådanne mails fremadrettet.

Ifølge Datatilsynet skal alle virksomheder ved kryptering som minimum bruge TLS 1.2 kryptering. Hertil bør virksomheder sikre, at mailserverens indstillinger er indstillet således, at TLS 1.2 kryptering anvendes under hele transmissionen, idet krypteringen ellers risikerer at blive nedgraderet af en server, der ikke har TLS kryptering.

Henset til, at private organisationer forventeligt har behov for at tilpasse sig denne praksisændring, vil Datatilsynet først håndhæve det nye udgangspunkt om kryptering per 1. januar 2019.

Bird & Bird anbefaler, at private virksomheder og organisationer allerede nu begynder at overveje, hvilke muligheder virksomheden/organisationen har for at sende mails krypteret og få dette implementeret snarest muligt, så de kan overholde kravet fra den 1. januar 2019.

 



 

---