En virksomhed bør kun sende et CPR-nummer på mail, når forsendelsen er krypteret, og virksomheden har lov til at bruge nummeret. Datatilsynets vurdering er, at mail med fortrolige og følsomme personoplysninger som udgangspunkt skal krypteres på vejen over internettet, og personnummeret er en fortrolig oplysning. Svaret ændrer sig, når det er kunden, der selv skriver nummeret. Sender en kunde det uopfordret ukrypteret, er I ikke ansvarlige for forsendelsesmåden. Beder I kunden om det, er I.
Når virksomheden sender
To spørgsmål skal besvares i rækkefølge.
Det første er, om I må bruge nummeret. Private har de veje, der står i databeskyttelseslovens § 11, stk. 2, og de er gennemgået i CPR-numre i virksomheden. Mange gange løser sagen sig her, for en mail kan ofte klare sig med et kundenummer eller en sagsreference. Datatilsynet nævner selv, at behovet for beskyttelse kan blive mindre eller falde bort, hvis der først sker dataminimering eller pseudonymisering.
Det andet er forsendelsen. Kravet stammer fra art. 32 og Datatilsynets katalog over foranstaltninger, som angiver TLS 1.2 som minimum. Risikovurderingen afgør resten, og tilsynet peger bl.a. på mængden og typen af oplysninger og antallet af berørte personer.
Ansvaret stopper som udgangspunkt, når mailen er afleveret i modtagerens system, fx hos den udbyder, modtageren selv har valgt. Vejen dertil er jeres. Fejl i adressen er emnet i mail til forkert modtager.
Når kunden selv skriver det
Her skelner Datatilsynet efter, om I har bedt om oplysningen.
- Kunden sender nummeret uopfordret i en almindelig mail · I er ikke ansvarlige for forsendelsesmåden
- Kunden sender det ukrypteret, selvom I har anvist en sikker vej · I er ikke ansvarlige for forsendelsesmåden
- I beder kunden sende det · I er dataansvarlige for indsamlingen og skal tilbyde en sikker vej
Det tredje punkt rammer mange formularer og skabeloner. Står der “send venligst CPR-nummer retur” i en standardmail, er det en opfordring. Datatilsynet siger, at I skal anbefale en krypteret forbindelse, fx Digital Post eller en krypteret selvbetjeningsløsning.
En aftale med kunden ændrer ikke på det. Hverken den registrerede eller den dataansvarlige kan give samtykke til et lavere sikkerhedsniveau, end risikovurderingen viser er nødvendigt, heller ikke når kunden selv beder om mail.
Sms og chatbeskeder
Må man sende CPR-nummer på sms? Svaret er normalt nej. Datatilsynet skriver, at følsomme og fortrolige oplysninger normalt ikke kan sendes sikkert som sms, og at sms er god til påmindelser og korte servicebeskeder. Beder I kunder om fortrolige oplysninger, skal I stille en anden, sikker vej til rådighed.
Om chatbeskeder siger kataloget, at risiciene og mulighederne for beskyttelse ofte er anderledes, og at det er op til den dataansvarlige at undersøge hvert led. Der er altså ingen liste over godkendte tjenester. Har I ikke undersøgt en kanal, så brug den ikke til fortrolige oplysninger.
Hvad I gør i stedet
Hvordan sender man personfølsomme oplysninger på mail? Kataloget nævner flere tiltag, som kan kombineres. For en mindre virksomhed er disse de mest brugbare.
- Påtvunget krypteret tunnel. Mailen sendes kun, hvis der kan etableres tilstrækkelig stærk kryptering til modtagerens system. Opportunistisk kryptering giver bedre sikkerhed, men sikrer ikke altid fortroligheden.
- Krypteret vedhæftet fil. Koden sendes ad en anden kanal, fx telefonisk på et nummer, I kender i forvejen, og den må ikke være svag eller gå igen.
- Sikker portal eller selvbetjening. Kunden henter eller afleverer dokumentet ét sted, og mailen er alene en besked om, at noget ligger klar.
- Ingen oplysning i mailen. Står nummeret der ikke, er der intet at beskytte.
Tunnelen beskytter vejen mellem to systemer, og kryptering af filen skjuler ikke afsender og modtager. De to dækker altså forskelligt. Teknikken er beskrevet i kryptering af mail.
Medarbejderne bør ikke selv skulle vælge hver gang. Datatilsynet peger på, at valget ved hver forsendelse kan gøre fejl mere sandsynlige, og at det derfor kan være nødvendigt med en fast metode med høj sikkerhed. Reglerne skrives bedst i få linjer: hvad må aldrig stå i en almindelig mail, og hvor sender man det i stedet.
Når nummeret lander i indbakken
Kunden har sendt det, og nu ligger det hos jer. Datatilsynets svar om forsendelsen siger intet om, hvad I gør bagefter. Disse råd er vores og bygger på art. 5 og § 11.
- Har I brug for nummeret? Har I ingen vej i § 11, skal mailen slettes eller nummeret fjernes.
- Svar uden at gentage nummeret. Et citeret svar sender det ud igen, og den forsendelse er jeres.
- Skal I bruge det, så flyt det til det system, hvor det hører hjemme, og slet det fra postkassen. Det gælder især fælles postkasser, hvor mange kan læse med.
- Fortæl kunden, hvordan oplysninger sendes sikkert næste gang.
Ligger der mange numre rundt om i mailen, er det en opgave for kortlægningen. Mailsystemets autofuldførelse er et punkt for sig, som tilsynet har skærpet sin praksis om.
Kan I ikke dokumentere jeres praksis for mail og fortrolige oplysninger, er GDPR-gennemgangen det naturlige sted at begynde.
Det skal I lade være med
- At bede om CPR-nummer i en standardmail · så har I opfordret til forsendelsen.
- At bruge kundens accept som begrundelse · samtykke kan ikke sænke sikkerhedsniveauet.
- At lægge nummeret i emnefeltet · brug en reference, der intet siger om personen.
- At citere kundens mail i svaret · så sender I selv nummeret videre.
Det skal I kræve af den eksterne
- ☐ En gennemgang af skabeloner og formularer, der beder om fortrolige oplysninger.
- ☐ Kontrol af, hvad mailsystemet gør, når modtageren ikke understøtter kryptering.
- ☐ Rådgivning om en fast metode, som medarbejderne kan følge uden at vurdere.
- ☐ Stikprøver i fælles postkasser, mens virksomheden selv rydder op.
Kilder
- Datatilsynet: Sikker transmission: opdateret 17/10 2025.
- Datatilsynet: Må man opfordre borgere til at bruge en ukrypteret forbindelse?, 22/10 2020.
- Datatilsynet: Bed ikke dine kunder sende følsomme eller fortrolige oplysninger på SMS, 3/2 2024.
- Datatilsynet: Sikkerhed ved transmission af personoplysninger via SMS, 16/7 2019.
- Datatilsynet: Hvad er personoplysninger?: fortrolige oplysninger og personnummer.
- Databeskyttelsesloven, LBK nr. 289 af 8/3 2024: § 11.
- Forordning (EU) 2016/679, dansk tekst: art. 5 og art. 32.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kryptering af mail · Alle kan se alt
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
