En mail med personoplysninger til den forkerte modtager er et brud på persondatasikkerheden. Datatilsynet får flere tusinde anmeldelser af den slags om året. Bruddet skal altid skrives ned, men det skal kun anmeldes, hvis en risiko for de berørte ikke er usandsynlig. Svaret afhænger af, hvad der stod i mailen, og hvem der fik den. Oven i det ligger et særligt krav: bruger I autofuldførelse, altså at mailprogrammet selv foreslår modtagere, forventer Datatilsynet en risikovurdering og mindst én teknisk foranstaltning. Funktionen er et af tilsynets fokusområder i 2026.
Hvorfor det er et brud
Vejledningen fra maj 2025 behandler situationen i eksempel 12. Eksemplet handler om et brev, og logikken er den samme for mail. To varianter er med: brevet går til en forkert modtager, eller det går til den rigtige, men indeholder oplysninger om en tredjemand. Begge er en utilsigtet, ulovlig videregivelse og et brud på fortroligheden.
Den anden variant overses let. En vedhæftet fil med én kundes data, der ender hos en anden kunde, er præcis samme brud, selvom adressen er rigtig. Det samme gælder et ark med en skjult fane.
Det første døgn
Tre ting skal ske hurtigt.
Få overblik. Hvad stod der præcist, også i bilag? Hvem fik det, og hvor mange? Blev mailen videresendt?
Begræns skaden. Skriv til modtageren, bed om sletning, og bed om en skriftlig bekræftelse. Kan I trække mailen tilbage i systemet, så gør det, men regn det ikke for en løsning, før I ved, at det virkede. Skriv selve henvendelsen, så den ikke gentager de følsomme oplysninger.
Skriv tidspunktet ned. Medarbejderen, der opdagede fejlen, er som udgangspunkt lig med virksomheden, så de 72 timer kan være begyndt. Derfor skal fejlen meldes internt med det samme, også selv om den er pinlig. Et klima, hvor folk tør melde egne fejl, er en reel del af sikkerheden.
Skal den anmeldes?
Bruddet vurderes efter de samme faktorer som andre brud. To af dem tæller særligt her.
Oplysningerne. En mødeindkaldelse med et navn er noget andet end en sygemelding, en lønseddel, et personnummer eller en personalesag. Vejledningen skriver, at oplysninger om gæld, sygdom og strafbare forhold må formodes at få mere vidtrækkende følger.
Modtageren. Vejledningen tillader, at I regner modtagerens troværdighed med. Kender I modtageren, har I stor tillid til vedkommende, og behandler modtageren normalt den slags oplysninger, trækker det ned. Ukendte privatpersoner, mange modtagere eller en mail på afveje uden for jeres kontrol trækker op. En tavshedspligt hos modtageren fjerner ikke risikoen af sig selv.
Antallet har også betydning. Vejledningen peger på, at en enkelt mailadresse til én forkert modtager ikke nødvendigvis er højrisiko, mens mange adresser til mange modtagere giver spredning. Det klassiske eksempel er et udsendelsesbrev med modtagerne i to-feltet.
Vurder, om en af de berørte er særligt udsat. En adresse kan være harmløs for de fleste og alvorlig for en person med adressebeskyttelse.
Et tænkt eksempel: En bogholder sender en lønseddel med personnummer til en kollega med næsten samme navn hos et andet firma. Kollegaen sletter den samme dag og bekræfter det. Risikoen er ikke nødvendigvis forsvundet, for et personnummer er tungt, og vurderingen skal laves og skrives ned. Tvivl bør som udgangspunkt føre til anmeldelse. Hvis I kommer frem til et nej, skal begrundelsen stå i brudloggen.
Autofuldførelse
Datatilsynet skærpede i august 2023 sin praksis om autofuldførelse i mailprogrammer, på engelsk auto-complete. Tilsynets side om fokusområderne i 2026 opsummerer kravet sådan: bruger I funktionen, skal der foreligge en risikovurdering og mindst én teknisk foranstaltning, som gør fejlsendinger mindre sandsynlige. Tilsynet modtager stadig anmeldelser om fejlen, og det har planlagt tilsyn hos dataansvarlige, der håndterer følsomme og fortrolige oplysninger i stort omfang.
Beslutningen om funktionen hører til ledelsen og er behandlet under autofuldførelse i mail. For DPO’en er spørgsmålet, om vurderingen findes, om den bygger på de data, der faktisk går gennem mailen, og om foranstaltningen er slået til. Spørg derfor IT at vise det frem. Bevismaterialet er indstillingen i systemet, en politik siger for lidt.
Funktionen findes også uden for mail. Datatilsynet beskrev i februar 2024 systemer, der sender beskeder til CPR- eller CVR-numre og husker tidligere modtagere. Tilsynets opfattelse er, at de samme regler gælder uanset modtagerens identifikation, så tag alle systemer til afsendelse af beskeder med i vurderingen.
Sikker mail hører med
En mail, der indeholder fortrolige eller følsomme oplysninger, rejser også spørgsmålet om kryptering. Eksempel 15 i vejledningen behandler ukrypteret transmission som et brud. Det er et selvstændigt emne, og det står under kryptering af mail.
Det, der skal ændres bagefter
Gå fejlen igennem som læring. Skyldes den autofuldførelse, en mailliste uden bcc, en skabelon med forkert flet eller en medarbejder under pres? Gentages samme type fejl, er det et signal om, at en foranstaltning mangler. Svaret hører med i loggen. Den enkelte medarbejder skal sjældent have skylden. Fejl, der går igen, er gode eksempler i GDPR-træningen.
Det skal I lade være med
- At lade fejlen ligge, fordi modtageren er venlig · bruddet skal registreres.
- At stole blindt på tilbagekaldelse · kontroller resultatet.
- At gentage oplysningerne over for modtageren · skriv kort og neutralt.
- At bruge autofuldførelse uden vurdering · Datatilsynet forventer den skriftligt.
Det skal I kræve af den eksterne
- ☐ En kort vejledning til, hvad medarbejderen gør i de første minutter.
- ☐ Rådgivning om vurderingen, når oplysningerne er følsomme.
- ☐ Kontrol af risikovurderingen for autofuldførelse og de valgte foranstaltninger.
- ☐ Opfølgning på gentagne fejl i brudloggen.
Kilder
- Datatilsynet: Håndtering af brud på persondatasikkerheden, maj 2025: eksempel 12 og 15, afsnit 3.2.2, 3.2.5 og 3.3.1.
- Datatilsynet: Fokusområder for tilsyn i 2026: afsnittet om auto-complete.
- Datatilsynet: Sikkerhedstip om auto-complete uden for mail, 29. februar 2024.
- Forordning (EU) 2016/679, dansk tekst: art. 33.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Brudloggen · Kryptering af mail
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
