Medarbejderen skriver Sonja i modtagerfeltet. Mailprogrammet foreslår det første navn. Hun trykker send. CPR-numre på 50 børn er netop sendt til en fremmed borger.
Eksemplet er ikke opdigtet. Det står i Datatilsynets egen officielle vejledning som illustration af et typisk brud på persondatasikkerheden.
Scenariet der går galt
Scenariet er en kommunal børne- og ungeafdeling. Medarbejderen ville sende et regneark med helbredsoplysninger til kollegaen Sonja Jensen. Mailprogrammets auto-complete foreslog Sonja Jansen, en borger. Hun klikkede. Hun tænkte ikke over det. Mailen var væk.
Det samme kan ske i forsikringsselskabet, hvor policemedarbejderen sender policeoversigt og helbredsoplysninger til den forkerte forsikringstager. Det kan ske hos advokaten, revisoren, HR-chefen, skolelederen.
Ingen hacker. Ingen phishing. Bare en medarbejder der var lidt for hurtig og en softwarefunktion der var for hjælpsom.
Den hører til gennemgangen af mønstret bag Datatilsynets afgørelser.
Over 100 brud alene fra auto-complete
Datatilsynet fik alene i 2022 over 100 anmeldelser om brud på persondatasikkerheden, der kunne føres direkte tilbage til auto-complete. En kontorchef hos tilsynet kaldte det i august 2023 “en lavthængende frugt”.
Samme måned skærpede Datatilsynet praksis. Pr. 1. marts 2024 er det ikke længere nok at have retningslinjer og awareness-træning. Organisationer, der i et vist systematisk omfang sender fortrolige eller følsomme oplysninger via mail, skal også gennemføre tekniske foranstaltninger.
Tilsynsområde i 2026
Den 7. januar 2026 udpegede Datatilsynet “sikker anvendelse af auto-complete” som ét af sine prioriterede tilsynsområder under persondatasikkerhed. De skriver selv, at tilsynet målrettes dataansvarlige, der behandler følsomme og fortrolige personoplysninger i stort omfang.
Oversat: Sender I systematisk CPR-numre, helbredsoplysninger, ansættelsesforhold eller sagsakter via mail, kigger Datatilsynet med i 2026.
Tre ting at gøre i denne uge
Bed jeres databeskyttelsesansvarlige om en risikovurdering af auto-complete inden fredag. Ét spørgsmål afgør alt: Sender vi fortrolige eller følsomme oplysninger via mail i et systematisk omfang? Hvis ja, er awareness alene ikke længere nok.
Tjek derefter med IT-ansvarlige, om I har aktiveret meddelelsesforsinkelse, modtageradvarsel eller DLP. Forsinkelse og advarsel fanger den forkerte modtager. DLP fanger det forkerte indhold. I skal bruge begge typer, hvis risikoen kræver det.
Kør en test af begge dele. Send en mail med “CPR 123456-7890” til en ekstern testadresse. Blev den stoppet, forsinket eller udløste advarsel? Prøv derefter at sende en uskyldig mail til en modtager, I aldrig har skrevet til før. Kom der en advarsel om ny modtager? Hvis svaret er nej begge gange, har I dokumenteret hul inden Datatilsynet finder det.
En uafhængig sikkerhedsgennemgang kan afdække, om jeres tekniske foranstaltninger matcher de risici, I reelt har.
Hvornår gennemgik I sidst, præcis hvilke tekniske foranstaltninger der er aktiveret mod fejlsendte mails i jeres organisation?
Har du brug for en gennemgang af jeres databeskyttelse og tekniske sikkerhedsforanstaltninger?
Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
