Siden 2008 har det været Datatilsynets praksis, at det alene er en anbefaling – og dermed ikke et krav – at private virksomheders mails skal krypteres, hvis de indeholder fortrolige og følsomme personoplysninger. Modsat offentlige myndigheder der siden år 2000 har skullet anvende kryptering.
Fremadrettet er det Datatilsynets opfattelse, at det normalt vil være en passende sikkerhedsforanstaltning – for både offentlige og private aktører – at anvende kryptering, når fortrolige og følsomme personoplysninger sendes med e-mail via internettet.
Da en sådan praksisændring vil kræve noget tilpasning i den private sektor, har tilsynet besluttet ikke at håndhæve det nye udgangspunkt om kryptering før 1. januar 2019. Den private sektor har således 6 måneder til at indrette sig på den nye praksis.
Fortrolige oplysninger
Fortrolige oplysninger er en særlig kategori af oplysninger, der ikke nævnes udtrykkeligt i databeskyttelsesreglerne, men hvor særlige beskyttelsesbehov kan have betydning ved anvendelsen af databeskyttelsesreglerne. Fortrolige oplysninger vil endvidere ofte være underlagt særregulering i anden lovgivning. Personnummer (CPR-nummer) er en fortrolig oplysning, der er særskilt reguleret i databeskyttelsesloven.
Det afgørende for, om en oplysning skal anses for fortrolig, vil være en vurdering af, om oplysningen efter den almindelige opfattelse i samfundet bør kunne forlanges unddraget offentlighedens kendskab, jf. straffelovens § 152 sammenholdt med forvaltningslovens § 27. Det kan undertiden også være oplysninger om indtægts- og formueforhold, arbejds-, uddannelses- og ansættelsesmæssige forhold. Det samme gælder oplysninger om interne familieforhold, herunder for oplysninger om for eksempel selvmordsforsøg og ulykkestilfælde.
Følsomme personoplysninger
De er udtømmende reguleret i persondataforordningen og omfatter bl.a. oplysninger om fagforening, helbredsforhold, seksuel orientering, religiøs og filosofisk orientering.
Har du spørgsmål til artiklen eller brug for hjælp? Kontakt din Ret&Råd advokat idag.