Forordningen nævner kryptering, og alligevel findes der ikke en regel om, at alle personoplysninger skal være krypteret. Art. 32, stk. 1, litra a, står i en liste over foranstaltninger, der bruges alt efter, hvad der er relevant, og hvad risikoen kræver. Det gør kryptering til et valg, I skal kunne begrunde. Fravælger I det for en behandling, hvor risikoen taler for det, står I svagt. Og har I valgt det, er det nøglerne og styrken, der afgør, om det holder, den dag noget går galt.
Hvad reglerne siger
Art. 32 er risikobaseret og fastsætter ingen fast liste. Kryptering og pseudonymisering er de to eksempler, forordningen selv fremhæver først. Hvor Datatilsynet er mest konkret, er ved transmission. Her er vurderingen, at det som udgangspunkt vil være passende at kryptere fortrolige og følsomme personoplysninger, der sendes med e-mail via internettet, se kryptering af mail.
For oplysninger i ro, altså på diske, i databaser og i backup, afhænger svaret af jeres risikovurdering. Spørgsmålene er de samme hver gang. Hvor stor er sandsynligheden for, at nogen får fat i mediet eller filen? Hvad ville det betyde for personerne? Hvad koster det at beskytte dem, og hvad er teknisk muligt i dag? Bærbare computere, telefoner og USB-nøgler er oplagte, for de bliver væk. En database, der indeholder følsomme oplysninger, er også oplagt, når en kopi kan ende hos en leverandør eller i en backup.
Tre scenarier fra Datatilsynet
Datatilsynets vejledning om brud, opdateret 14. maj 2025, viser i sit første eksempel, hvad kryptering betyder, når et flytbart medie bliver stjålet.
Er oplysningerne ikke krypteret, er det et brud på fortroligheden, fordi tyven kan få adgang, uanset om adgangen faktisk bliver brugt.
Er mediet beskyttet af stærk kryptering, der ikke kan omgås, siger vejledningen, at der ikke er tale om et brud, for det kan lægges til grund, at tyven ikke kan læse data.
Er krypteringen svag, eller er der tvivl om, hvorvidt nøglen var ordentligt beskyttet, eller om koden kan gættes, skal I overveje, om tyven kan bryde beskyttelsen. Det afhænger bl.a. af nøglens længde og af den tid, det ville tage.
Vejledningens eksempel 2 viser grænsen. Bliver en pc stjålet med de eneste eksemplarer af krypterede oplysninger, er det stadig et brud, fordi virksomheden har mistet oplysningerne. Kryptering beskytter fortroligheden. Tilgængeligheden kræver backup.
Hvad det betyder efter et brud
Sker der et brud med høj risiko for personerne, skal de som udgangspunkt underrettes efter art. 34. Efter art. 34, stk. 3, litra a, er det ikke nødvendigt, hvis oplysningerne var gjort uforståelige for uvedkommende, fx ved kryptering. Hvordan underretningen foregår, er behandlet på underretning af de registrerede. For GDPR-arbejdet er pointen, at beskyttelsen skal være på plads, før hændelsen sker, og at I skal kunne vise det bagefter.
Den dokumentation er tit det svage punkt. Når en bærbar er væk, skal nogen kunne svare på, om netop den maskine var krypteret, hvornår det blev slået til, og hvor nøglen lå. Kan I ikke svare, har I reelt ikke kunnet bruge krypteringen til noget i vurderingen. Bed derfor om en rapport, der viser krypteringsstatus for alle enheder, og gem den. Noter også jeres vurdering i tilfælde, hvor I lander på, at der ikke var et brud. Skal bruddet vurderes nærmere, så se skal bruddet anmeldes?.
Nøglerne afgør, om det holder
Kryptering flytter problemet fra data til nøglen. Eksemplerne herunder er vores egne og viser, hvor det typisk svigter.
- Nøglen ligger ved låsen. Ligger gendannelsesnøglen til disken på et ark i computertasken eller i en fil på samme drev, har tyven begge dele.
- Svag kode foran stærk kryptering. Stærk kryptering hjælper kun lidt, hvis koden kan gættes, for så er det koden, der skal brydes.
- Maskinen var låst op. Diskkryptering beskytter en slukket maskine. Står den tændt og ulåst, kan oplysningerne læses.
- Leverandøren har nøglen. Hos en cloudleverandør skal det stå klart, hvem der kan få fat i nøglerne, og om det passer med jeres vurdering af leverandøren.
- Backup uden for rammen. Produktionsdata er krypteret, men kopien i backup er det ikke, eller nøglen er væk, når den skal bruges.
Det, kryptering ikke løser
Et brud kan også ske gennem en stjålet konto. Her logger angriberen ind som en lovlig bruger, og systemet dekrypterer oplysningerne automatisk for vedkommende. Kryptering på disken ændrer intet ved det. Det gælder også ansatte, der ser mere, end de skal, og derfor skal kryptering altid ses sammen med adgangsstyring og logning, se alle kan se alt. Datatilsynet skriver i rettighedsvejledningen, at mange brud kun kan undgås med en kombination af foranstaltninger.
Kryptering fritager heller ikke fra reglerne. Oplysningerne er stadig personoplysninger for den, der har nøglen, og krav om sletning, indsigt og opbevaring gælder fortsat. Et krypteret arkiv uden slettefrist er stadig et arkiv, I skal kunne forsvare.
Det skal I lade være med
· At skrive “alt er krypteret” i politikken. Skriv, hvad der er krypteret, hvordan, og hvem der holder nøglen.
· At lægge gendannelsesnøgler ved siden af data. De skal ligge adskilt og kun være tilgængelige for få.
· At regne kryptering for backup. Det beskytter mod, at andre læser data, og ikke mod, at I mister dem.
Det skal I kræve af den eksterne
- ☐ En vurdering af, hvor kryptering er passende efter jeres risiko.
- ☐ Kontrol af krypteringsstatus i en rapport, og ikke på leverandørens ord.
- ☐ En gennemgang af, hvor nøglerne ligger, og hvem der kan få fat i dem.
- ☐ Rådgivning, der lader udførelsen ligge hos jer og jeres leverandør.
Kilder
- Databeskyttelsesforordningen: art. 32, stk. 1, litra a, og art. 34, stk. 3, litra a.
- Datatilsynet: Håndtering af brud på persondatasikkerheden: eksempel 1 og 2, opdateret 14. maj 2025.
- Datatilsynet: Sikker transmission: senest opdateret 17. oktober 2025.
- Datatilsynet: Styr på rettighedsstyring: december 2023.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kryptering af mail · Pseudonymisering eller anonymisering
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
