Medarbejderen skriver Sonja i modtagerfeltet. Mailprogrammet foreslår det første navn. Hun trykker send. CPR-numre på 50 børn er netop sendt til en fremmed borger.
Eksemplet er ikke opdigtet. Det står i Datatilsynets egen officielle vejledning som illustration af et typisk brud på persondatasikkerheden.
Scenariet der går galt
Scenariet er en kommunal børne- og ungeafdeling. Medarbejderen ville sende et regneark med helbredsoplysninger til kollegaen Sonja Jensen. Mailprogrammets auto-complete foreslog Sonja Jansen, en borger. Hun klikkede. Hun tænkte ikke over det. Mailen var væk.
Det samme kan ske i forsikringsselskabet, hvor policemedarbejderen sender policeoversigt og helbredsoplysninger til den forkerte forsikringstager. Det kan ske hos advokaten, revisoren, HR-chefen, skolelederen.
Ingen hacker. Ingen phishing. Bare en medarbejder der var lidt for hurtig og en softwarefunktion der var for hjælpsom.
Over 100 brud alene fra auto-complete
Datatilsynet fik alene i 2022 over 100 anmeldelser om brud på persondatasikkerheden, der kunne føres direkte tilbage til auto-complete. En kontorchef hos tilsynet kaldte det i august 2023 “en lavthængende frugt”.
Samme måned skærpede Datatilsynet praksis. Pr. 1. marts 2024 er det ikke længere nok at have retningslinjer og awareness-træning. Organisationer, der i et vist systematisk omfang sender fortrolige eller følsomme oplysninger via mail, skal også gennemføre tekniske foranstaltninger.
Tilsynsområde i 2026
Den 7. januar 2026 udpegede Datatilsynet “sikker anvendelse af auto-complete” som ét af sine prioriterede tilsynsområder under persondatasikkerhed. De skriver selv, at tilsynet målrettes dataansvarlige, der behandler følsomme og fortrolige personoplysninger i stort omfang.
Oversat: Sender I systematisk CPR-numre, helbredsoplysninger, ansættelsesforhold eller sagsakter via mail, kigger Datatilsynet med i 2026.
Tre ting at gøre i denne uge
Bed jeres databeskyttelsesansvarlige om en risikovurdering af auto-complete inden fredag. Ét spørgsmål afgør alt: Sender vi fortrolige eller følsomme oplysninger via mail i et systematisk omfang? Hvis ja, er awareness alene ikke længere nok.
Tjek derefter med IT-ansvarlige, om I har aktiveret meddelelsesforsinkelse, modtageradvarsel eller DLP. Forsinkelse og advarsel fanger den forkerte modtager. DLP fanger det forkerte indhold. I skal bruge begge typer, hvis risikoen kræver det.
Kør en test af begge dele. Send en mail med “CPR 123456-7890” til en ekstern testadresse. Blev den stoppet, forsinket eller udløste advarsel? Prøv derefter at sende en uskyldig mail til en modtager, I aldrig har skrevet til før. Kom der en advarsel om ny modtager? Hvis svaret er nej begge gange, har I dokumenteret hul inden Datatilsynet finder det.
En uafhængig sikkerhedsgennemgang kan afdække, om jeres tekniske foranstaltninger matcher de risici, I reelt har.
Hvornår gennemgik I sidst, præcis hvilke tekniske foranstaltninger der er aktiveret mod fejlsendte mails i jeres organisation?
Har du brug for en gennemgang af jeres databeskyttelse og tekniske sikkerhedsforanstaltninger?
Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
