Sender I fortrolige eller følsomme personoplysninger med mail via internettet, er det Datatilsynets vurdering, at kryptering som udgangspunkt vil være passende, og at TLS 1.2 er et minimum. Det står i foranstaltningen om sikker transmission, som tilsynet senest opdaterede 17. oktober 2025. Almindelig forretningspost uden den slags oplysninger er omfattet af jeres egen risikovurdering. Den vigtigste praktiske pointe er, at et mailsystem ofte bruger TLS, når det kan, uden at kunne garantere det hver gang.
Hvad TLS gør, og hvad det ikke gør
TLS er den kryptering, der beskytter forbindelsen mellem to mailservere. Beskeden er krypteret, mens den er på vej, og ligger derefter i læsbar form hos modtagerens mailsystem. Det svarer til en lukket transport fra dør til dør. Det er ofte nok, fordi Datatilsynet skriver, at ansvaret for risiciene ved transmissionen som udgangspunkt ophører, når oplysningerne er afleveret i modtagerens systemer, fx hos den mailudbyder, modtageren har valgt.
Datatilsynet skelner mellem to måder at bruge TLS på.
Opportunistisk TLS betyder, at krypteringen bruges, hvis den modtagende server understøtter den. Det øger sikkerheden, men giver ikke altid den fortrolighed, der er brug for, fordi beskeden stadig bliver sendt, hvis krypteringen ikke kan etableres.
Påtvunget TLS betyder, at beskeden ikke bliver sendt, medmindre der kan etableres tilstrækkelig stærk kryptering med den modtagende server.
For fortrolige og følsomme oplysninger er det den anden, der giver jer noget at dokumentere. Hvordan I sætter den op, afhænger af jeres mailsystem. Mange systemer kan håndhæve kravet for bestemte domæner eller for beskeder, der er mærket.
Når TLS ikke rækker
Nogle gange skal oplysningerne beskyttes, også efter de er afleveret, eller også kan I ikke vide, om modtageren understøtter TLS. Så er en krypteret vedhæftning et alternativ. Datatilsynet nævner stærk kryptering, krav til koden eller automatisk dannede koder, at koden ikke genbruges, og at koden sendes ad en anden kanal, fx filen med mail og koden over telefonen. Tilsynet tilføjer, at I skal kontrollere, at beskeden og modtagerens kontaktoplysninger hører til den rigtige modtager.
Det sidste er vigtigt, for kryptering beskytter ikke mod den almindeligste fejl. Går mailen til den forkerte, modtager den forkerte person den også krypteret og læsbar. Det emne behandles i mail til forkert modtager.
Personen beder selv om en almindelig mail
Spørgsmålet kommer ofte. Et menneske skriver, at det bare er fint at få sin journal eller sit lønbilag i en almindelig mail. Datatilsynet skriver på siden, at hverken den registrerede eller den dataansvarlige med samtykke kan sænke sikkerhedsniveauet under det, risikovurderingen kræver. Tilbyd i stedet en sikker kanal, og beskriv den i jeres procedure.
Hvad der skal bestemmes af risikovurderingen
Hvad der er “fortroligt og følsomt”, følger jeres vurdering efter art. 32. Tilsynet nævner typen og mængden af oplysninger og antallet af registrerede. Dataminimering, pseudonymisering eller anonymisering kan mindske behovet for kryptering. Pas dog på indirekte oplysninger. Tilsynets eget eksempel er en mødeindkaldelse til et misbrugscenter, der afslører noget følsomt, selvom der ikke står en diagnose.
I hverdagen er det typisk lønsedler, sygefravær, ansøgninger, personalesager, CPR-numre, kundedokumenter fra banker eller rådgivere og oplysninger om helbred. Hvor CPR-numre gemmer sig, står i CPR-numre i virksomheden.
Hvad der skal testes hos mailleverandøren
Datatilsynet anbefaler, at TLS er korrekt sat op og tilstrækkelig stærkt, og at nogen har ansvaret for at opgradere, når der opstår svagheder eller ny teknologi. Dermed har I tre ting at spørge om. Listen er vores egen.
- Hvilke versioner tillader serveren? Bed leverandøren dokumentere, at ældre versioner end TLS 1.2 er slået fra, både for ind- og udgående post. Offentlige testværktøjer kan vise, hvad jeres mailservere svarer.
- Sker der noget, hvis krypteringen fejler? Få svar på, om jeres opsætning sender videre uden kryptering. Spørg, hvilke beskeder eller modtagere der håndhæves for.
- Hvem holder øje? Send en testmail til en modtager, I kender, og se i beskedens tekniske hoved, hvilken forbindelse den brugte. Find ud af, hvem der får besked, hvis opsætningen ændrer sig.
Tilsynet henviser også til vejledningen om sikker brug af TLS fra Styrelsen for Samfundssikkerhed. Den er god at give videre til leverandøren.
Formularer på hjemmesiden
Datatilsynets side om sikker transmission nævner ikke webformularer. Vores læsning er, at den samme risikovurdering gælder. Sender en besøgende en ansøgning, en skadesanmeldelse eller en sag om helbred gennem en formular på jeres hjemmeside, skal forbindelsen være krypteret med HTTPS, og det, der sker bagefter, skal også kunne tåle at blive set på. Mange formularer ender nemlig som en almindelig mail til en fælles postkasse. Så er krypteringen på siden ligegyldig for det sidste stykke af turen. Spørg jeres webbureau, hvor indholdet lander, om det gemmes i hjemmesidens database, og hvor længe det ligger der.
Den samme tanke gælder interne mails. Datatilsynet nævner, at kryptering også beskytter mod indbrud på det interne netværk og mod misbrug indefra, så mail mellem egne medarbejdere er ikke automatisk uden for vurderingen.
Det skal I lade være med
· At sige ja til en lavere sikkerhed, fordi modtageren beder om det. Samtykke flytter ikke kravet.
· At sende koden i samme mail som filen. Den skal ad en anden kanal.
· At regne med, at leverandøren har styr på det. Bed om dokumentation for versioner og håndhævelse.
Det skal I kræve af den eksterne
- ☐ En gennemgang af, hvilke oplysninger I sender med mail, og til hvem.
- ☐ En vurdering af, hvor påtvunget TLS eller krypteret vedhæftning er passende.
- ☐ En test af mailopsætningen med dokumenterede svar fra leverandøren.
- ☐ Forslag til en sikker kanal over for personer, der beder om en usikker.
- ☐ Kontrol af, hvor indhold fra formularer ender.
Kilder
- Datatilsynet: Sikker transmission: senest opdateret 17. oktober 2025, læst 5. november 2026.
- Databeskyttelsesforordningen: art. 32.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Datatilsynets katalog over foranstaltninger · Mail til forkert modtager
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
