Persondata: Krav om kryptering af mails
1. august 2018
2 minutters læsetid
Vil du gerne prioritere kendskab til persondataområdet, men har du for travlt med den daglige drift i virksomheden? Her giver vi dig et kort og præcist overblik over de seneste nyheder på persondataområdet, der blandt andet handler om kryptering af mails.
Tidligere kunne den private sektor efter en konkret sikkerhedsvurdering undlade at kryptere e-mails, som indeholder fortrolige eller følsomme oplysninger. Datatilsynet har nu meddelt, at denne praksis forlades, og at tilsynet fremover normalt vil kræve kryptering af fortrolige og følsomme personoplysninger ved transmission med e-mail via internettet. Datatilsynet forventer dog først at håndhæve denne skærpelse fra den 1. januar 2019.
Datatilsynet har offentliggjort nye standardblanketter til brug for ansøgning om videregivelse af personoplysninger i forbindelse med informationsdatabaser og forskning. De nye blanketter kan findes i Datatilsynets blanketoversigt.
Datatilsynets nye vejledning gennemgår på 37 sider, hvorledes danske dataansvarlige bør håndtere sikkerhed gennem design og standardindstillinger. De væsentligste opsummeringspunkter er:
– Informationssikkerhedsstandarder som ISO/IEC27001:2013, og ISO/EIC29134:2017 kan tjene som eksempler på den risikobaserede tilgang, som den dataansvarlige bør følge.
– Den dataansvarlige skal tage højde for både tekniske og organisatoriske problemstillinger, når nye systemer designes, eller standardindstillinger indstilles.
– Persondataforordningen kræver ikke uden videre at alle eksisterende IT-systemer re-designes. Dette er en risikovurdering i hvert enkelt tilfælde.
– Standardindstillingerne skal sikre, at der kun behandles de personoplysninger, som er nødvendige for hvert af behandlingens specifikke formål.
Datatilsynet har offentliggjort sin kalender over de planlagte tilsyn for resten af 2018. Dermed er der god grund til at være særligt opmærksom på netop disse fokusområder, særligt hvis man driver virksomhed i samme branche som de udtrukne faggrupper.
– Behandlingsgrundlag og persondatasikkerheden hos private virksomheder
– Sletning af personoplysninger hos private virksomheder
– Anvendelse af databehandlere hos kommunerne
– Persondatasikkerheden i større it-systemer på sundhedsområdet
– Udpegning af databeskyttelsesrådgiver – offentlige myndigheder og en række private virksomheder
– Udarbejdelse af en fortegnelse hos kommunerne
– De registreredes rettigheder efter retshåndhævelsesloven
– Databehandlingsaktiviteter i forhold til en række EU-informationssystemer
Datatilsynet har erfaret, at to personer udgav sig for at være på tilsynsbesøg for Datatilsynet i et forsøg på at opnå ulovlig adgang til personoplysninger. Datatilsynets tilsynschef, Jesper Husmer Vang, giver følgende råd om hvordan man kan kontrollere, hvorvidt et tilsynsbesøgt er legitimt:
”Når vi kommer på tilsynsbesøg, har vi i almindelige sager meldt vores ankomst i forvejen. Vi foreviser billedlegitimation fra Datatilsynet og er i øvrigt klædt i civil. Hvis man alligevel skulle være i tvivl, om et tilsynsbesøg er et forsøg på snyderi, er man velkommen til at ringe til os og dobbelttjekke.”
Skal vi hjælpe dig med persondata? Kontakt os allerede i dag på telefon 72 30 12 05
Du er altid velkommen til at henvende dig til os og få en indledende drøftelse af din sag. Vi har stor erfaring i at analysere situationen og give dig råd om, hvad der er bedst at gøre.
