Almindelige personoplysninger som navn, stilling og arbejdsmail må gerne sendes i en almindelig e-mail, når der er et sagligt formål. Fortrolige og følsomme oplysninger, for eksempel CPR-numre og helbredsoplysninger, skal sendes krypteret. Det har været Datatilsynets praksis for private virksomheder siden 1. januar 2019.
Så langt hovedreglen. I praksis opstår problemerne i detaljerne: den forkerte modtager, den lange tråd med gamle vedhæftninger og indbakken, der er blevet til et arkiv. E-mail er også et af Datatilsynets fokusområder for tilsyn i 2026, hvor tilsynet ser på dataansvarlige, der behandler fortrolige og følsomme oplysninger over mail, som Dansk Industri har beskrevet det i sin gennemgang af tilsynets fokusområder.
Hvad må stå i en almindelig e-mail?
Det meste af det, medarbejdere sender i løbet af en dag, er uproblematisk. Mødeindkaldelser, tilbud, spørgsmål til en kollega og aftaler med en kundes kontaktperson indeholder almindelige personoplysninger, og dem må I sende uden særlige foranstaltninger, så længe der er et arbejdsmæssigt formål.
To forbehold gælder altid. Send kun de oplysninger, modtageren har brug for. Og send kun til dem, der har brug for dem. “Svar alle” til 30 personer om én kollegas ferieønsker er sjældent nødvendigt.
Hvad kræver kryptering?
Indeholder mailen eller den vedhæftede fil fortrolige eller følsomme personoplysninger, skal den krypteres, når den sendes over internettet. Det gælder blandt andet:
- CPR-numre
- helbredsoplysninger, herunder diagnoser og detaljer om sygefravær
- oplysninger om fagforeningsmedlemskab, religion, politisk overbevisning og seksuel orientering
- oplysninger om strafbare forhold
- løn, gæld og andre økonomiske forhold om privatpersoner
- personalesager som advarsler og opsigelser
Minimumskravet er kryptering på transportlaget, også kaldet TLS, i en opdateret version. Ved høj risiko for de berørte personer anbefaler Datatilsynet kryptering hele vejen fra afsender til modtager. Hvilket niveau der er nødvendigt, skal virksomheden afgøre i en risikovurdering.
Medarbejderne skal først og fremmest kende virksomhedens løsning. Mange mailsystemer bruger TLS automatisk, når modtagerens server understøtter det, men medarbejderen kan ikke se, om det skete. Derfor har de fleste organisationer en fast metode til fortrolige oplysninger, for eksempel en “Send sikkert”-knap, en portal, hvor modtageren logger ind, eller Digital Post. Findes den, skal den bruges hver gang.
Er I i tvivl om, hvorvidt en oplysning er fortrolig eller følsom, har vi samlet reglerne i artiklen om almindelige og følsomme personoplysninger.
Fem fejl, der går igen
Størstedelen af de brud på persondatasikkerheden, der anmeldes til Datatilsynet, handler om utilsigtet deling med forkerte modtagere. Det skriver tilsynet i sin vejledning om de 10 typiske brud. Mail står for en stor del af dem.
Autoudfyld vælger den forkerte. To kontakter hedder Mette, og mailprogrammet foreslår den, I skrev til sidst. Læs hele adressen, før I sender. En kort forsinkelse på afsendelse, som IT kan slå til, gør, at en mail kan trækkes tilbage inden for det første minut.
Cc i stedet for bcc. En invitation til 200 kunder med alle adresser synlige i cc-feltet er et brud. Brug bcc eller et udsendelsesværktøj til masseudsendelser.
Den forkerte vedhæftning. Åbn filen, før I sender. Tjek især regneark for skjulte faner og kolonner.
Videresendelse af hele tråden. En tråd på tolv mails kan indeholde oplysninger længere nede, som den nye modtager ikke skal se. Skriv en ny mail med det relevante.
Personoplysninger i emnefeltet. Emnefeltet vises i notifikationer og oversigter og bliver ikke altid krypteret på samme måde som indholdet. Skriv “Vedr. din sag” frem for navn, CPR-nummer eller diagnose.
Når I modtager noget, I ikke bad om
Kunder og borgere sender tit CPR-numre og helbredsoplysninger i almindelige mails på eget initiativ. Virksomheden har ikke bedt om dem, og alligevel har den ansvaret for oplysningerne, fra de lander.
Flyt oplysningerne over i det system, hvor de hører hjemme, og slet mailen, når det er gjort. Svar uden at gentage de fortrolige oplysninger i svaret. Og henvis venligt til den sikre kanal til næste gang.
Ryd op i indbakken
GDPR’s krav om, at oplysninger slettes, når formålet er opfyldt, gælder også i mailsystemet. En indbakke med ti års korrespondance indeholder ansøgninger, sygemeldinger og kundeoplysninger, som for længst burde have været slettet eller journaliseret et andet sted.
Det gør også skaden større, hvis kontoen bliver overtaget. En angriber, der kommer ind i en mailkonto via phishing, får adgang til alt, hvad der ligger i den. Jo mindre der ligger, jo mindre er bruddet.
En realistisk rutine er at flytte det, der skal gemmes, over i fagsystemet eller sagsmappen løbende, og rydde op i resten et par gange om året. Automatisk sletning efter et fast antal år kan tage sig af det, der bliver overset.
Må I sende nyhedsbreve og markedsføring?
Søger man på GDPR og e-mail, er det tit markedsføring, man tænker på. Det er et andet regelsæt. Markedsføringslovens § 10 kræver som udgangspunkt, at modtageren har givet samtykke, før I sender reklame på mail, og det er Forbrugerombudsmanden, der fører tilsyn. GDPR gælder ved siden af for selve behandlingen af mailadresserne.
For medarbejdere uden for marketing er den praktiske regel enkel: brug ikke kundernes mailadresser til at sende tilbud og nyheder, medmindre marketing har bekræftet, at der er samtykke.
Regler, medarbejderne kan huske
En mailpolitik bliver fulgt, når den er kort, og når medarbejderne har prøvet den af på situationer, de kender. En sagsbehandler, en sælger og en HR-partner sender meget forskellige mails, og de har brug for hver deres eksempler.
Sådan arbejder vi med emnet i vores GDPR træning. Forløbet er udviklet i samarbejde med specialister i databeskyttelsesret, og scenarierne kan tilpasses jeres egen hverdag, så medarbejderne øver sig på de valg, de træffer i deres eget mailprogram. Læs også vores overblik over GDPR-regler for medarbejdere, eller kontakt os for at se en demo.
