Datatilsynet skærper praksis for brugen af auto-complete i e-mails

Normalt fungerer auto-complete-funktionen sådan, at når en bruger indtaster starten af en mailadresse – så modtager brugeren forslag til modtagere, hvorefter brugeren let kan vælge modtager ved et enkelt klik på det foreslåede navn i stedet for at skulle indtaste hele modtagerens/modtagernes e-mailadresse(r). Mailprogrammet gemmer med andre ord navne og e-mailadresser på modtagere af e-mails, som en bruger tidligere har sendt en e-mail til.

Auto-complete forårsager risiko for sikkerhedsbrud

Når tilsynet har valgt at skærpe praksis for brugen af auto-complete, skyldes det, at brugere ofte kommer til at vælge en forkert modtager med den konsekvens, at e-mailen bliver sendt til uvedkommende. Hvis der indgår personoplysninger i e-mailen, vil der dermed ske et sikkerhedsbrud.

Datatilsynet modtager et betydeligt antal anmeldelser om fejlfremsendelse af oplysninger til forkerte modtagere, hvor mange af dem skyldes anvendelsen af funktionen ”auto-complete”. I 2022 blev der anmeldt over 100 sikkerhedsbrud, hvor fejlen opstod på grund af auto-complete.

Hvad er dit ansvar som dataansvarlig?

Datatilsynet har frem til denne ændring af praksis udtalt, at du som dataansvarlig som minimum skal overveje at indføre tekniske og/eller organisatoriske foranstaltninger, der kan mindske risikoen ved brugen af auto-complete. Langt de fleste af dem, der har indberettet denne type brud, peger dog alene på organisatoriske foranstaltninger i form af øget awareness som tiltag til at imødegå denne type brud. Derfor meldte DT ud i sidste halvår af 2023, at praksis nu ville blive skærpet. 

Den nye og skærpede praksis trådte i kraft den 1. marts 2024.

Hvem omfattes af de skærpede regler?

Nedenfor kan du læse Datatilsynets eksempler på, når en dataansvarlig i et vist systematisk omfang anvender e-mails til at sende fortrolige eller følsomme personoplysninger :

• Medarbejderne i en kommunes børne- og unge afdeling behandler ofte sager, der indeholder meget store mængder af personoplysninger om kommunens borgere, herunder oplysninger af fortrolig og/eller følsom karakter og om mindreårige. Kommunen har faste procedurer for, at der ikke sendes fortrolige og følsomme personoplysninger via e-mail ud af organisationen, men at de altid skal sende til borgernes e-Boks. Dette er medarbejderne yderst opmærksomme på – men de kommunikerer tit med borgere via e-mail, når de skal aftale mødetidspunkter og koordinere indsatser med andre myndigheder mv., så der ligger også borgeres e-mailadresser i e-mailprogrammet.
  
  Ofte er der travlt i afdelingen og generelt bliver sagers dokumenter sendt frem og tilbage internt via e-mail i forbindelse med sagsbehandlingen. Grundet et øjebliks uopmærksomhed kommer en medarbejder til at sende en e-mail vedhæftet et excel-ark med helbredsoplysninger om 50 børn til en borger ved navn Sonja Jansen i stedet for – som tiltænkt – til sin kollega Sonja Jensen. Fejlforsendelsen hang sammen med anvendelsen af funktionen ”auto-complete”, som, automatisk genererede Sonja Jansens e-mailadresse som det øverste forslag, da medarbejderen skrev fornavnet i modtagerfeltet.  

• Policemedarbejderne i et forsikringsselskab sidder til dagligt og tegner livsforsikringer og sender i den forbindelse policer samt helbredoplysninger mv. til de respektive forsikringstagere. Til dette anvendes e-mail oftest som kommunikations- og kontaktform. Forsikringsselskabet har som dataansvarlig foretaget en vurdering af den risiko, der er forbundet med at transmittere fortrolige og følsomme personoplysninger med e-mail via internettet og har på den baggrund gennemført en sikkerhedsforanstaltning, i form af kryptering ved transmission, for at imødegå den identificerede risiko.
  
  Det er gentagende gange hændt, at policemedarbejderne ved en fejl sender en mail, indeholdende en policeoversigt samt helbredoplysninger, til en forkert forsikringstager, da medarbejderne vælger det forkerte navn på listen af modtagere, som bliver foreslået af Outlooks auto-complete funktion.
  
  

I disse eksempler fra Datatilsynet er organisationerne dermed omfattet af den skærpede praksis, idet de regelmæssigt udsender mails med fortrolige eller følsomme personoplysninger.

Eksempler på dataansvarlige, der ikke i et vist systematisk omfang anvender e-mails til at sende fortrolige og/eller følsomme personoplysninger:

• En virksomhed varetager eftersyn af legepladser. De kommunikerer med mange borgere og myndigheder hver dag omkring godkendelsesprocedurer, sender rapporter ud med resultatet af gennemgangen samt regninger for de gennemførte eftersyn. Materialet indeholder aldrig oplysninger af fortrolig eller følsom karakter.
  
  Hvis virksomheden derimod også har en HR-afdeling, som ofte behandler oplysninger af fortrolig og følsom karakter, da virksomheden ofte har ansatte med skånehensyn eller som er aktiveret på baggrund af en kommunal beskæftigelsesindsats, vil der formentlig kunne være tale om behandling i et vist systematisk omfang for så vidt angår de medarbejdere, som er aktivt beskæftiget med HR.

• En lille privat virksomhed behandler personoplysninger om borgere, herunder oplysninger af fortrolig og følsom karakter i form af bl.a. genetisk data som en del af deres kerneydelse. Virksomheden har faste procedurer for, at al sagsbehandling foregår i virksomhedens interne system, og alle medarbejdere indskærpes jævnligt, at der under ingen omstændigheder må sendes oplysninger af fortrolig og følsom karakter via e-mail, hverken internt eller ud af huset. Dette overholdes generelt af medarbejderne, og det sker yderst sjældent, at e-mail anvendes som kommunikations- og kontaktform, da virksomhedens medarbejdere typisk ikke har meget ekstern kontakt

I disse eksempler fra Datatilsynet er organisationerne dermed ikke omfattet af den skærpede praksis, da de ikke udsender mails med fortrolige eller følsomme personoplysninger.

Det er HjulmandKaptains opfattelse, at der er rigtig mange organisationer, herunder både private virksomheder og offentlige myndigheder, der rammes af den skærpede praksis. Det er derfor vigtigt, at din organisation får iværksat tekniske foranstaltninger til at mindske risikoen for fejlsendinger, som skyldes auto-complete, hvis I ønsker at fortsætte brugen af denne funktion i jeres mailsystem. Alternativt skal auto-complete-funktionen deaktiveres.

Lad HjulmandKaptains specialister i databeskyttelse hjælpe dig

Har du spørgsmål til ovenstående eller brug for vejledning i forbindelse med håndteringen af et sikkerhedsbrud, så er du altid velkommen til at kontakte vores specialister i databeskyttelse. Vi vil altid gerne hjælpe dig.