Sikker mail i lægehuse og klinikker: hvad kræver reglerne?

Datatilsynet vurderer, at kryptering som udgangspunkt er en passende sikkerhedsforanstaltning, når fortrolige og følsomme personoplysninger sendes med mail over internettet – for både offentlige og private. Minimumsniveauet er TLS 1.2. Ved højere risiko, fx mange eller regelmæssige forsendelser med følsomme oplysninger, kan kryptering af selve indholdet være nødvendig. Reglerne kræver ikke et bestemt produkt; valget skal bygge på klinikkens egen risikovurdering.

Kort fortalt

• Helbredsoplysninger er følsomme, og cpr-numre er fortrolige – begge typer bør som udgangspunkt sendes krypteret.
• TLS 1.2 er Datatilsynets minimum for transportkryptering, og tvungen TLS er mere sikker end den TLS, der bruges, hvis modtageren tilbyder det.
• Patienter må ikke opfordres til at sende følsomme oplysninger ukrypteret.
• Ingen kan samtykke sig ud af et lavere sikkerhedsniveau end det, risikovurderingen kræver.

Hvad siger Datatilsynet – og siden hvornår?

I juli 2018 skærpede Datatilsynet sin praksis: Kryptering anses nu som udgangspunkt for en passende sikkerhedsforanstaltning, når fortrolige og følsomme personoplysninger sendes med mail over internettet. Før var det kun en anbefaling for private virksomheder. Tilsynet håndhævede den nye praksis fra 1. januar 2019, og den gælder både offentlige og private.

I Datatilsynets katalog over sikkerhedsforanstaltninger (siden om sikker transmission, opdateret oktober 2025) står, at krypteringen som minimum skal være TLS 1.2. Kravet udspringer af databeskyttelsesforordningens artikel 32, som kræver et sikkerhedsniveau, der passer til risikoen. Det er altså en risikovurdering – ikke en liste over godkendte produkter.

Tilsynet skriver også, at hverken patienten eller klinikken kan samtykke til et lavere sikkerhedsniveau, end risikovurderingen tilsiger – heller ikke hvis patienten selv beder om almindelig mail.

Hvilke oplysninger er omfattet i en klinik?

Datatilsynet skelner mellem almindelige, fortrolige og følsomme personoplysninger. Helbredsoplysninger er følsomme. Cpr-nummeret er ikke følsomt i forordningens forstand, men Datatilsynet regner det som en fortrolig oplysning. Følsomme oplysninger er altid fortrolige.

I praksis betyder det, at næsten al mail i en klinik, der handler om en bestemt patient, falder ind under kravet: henvisninger, prøvesvar, epikriser, svar på spørgsmål om behandling og mails med cpr-nummer. En mail til et laboratorium om en leverance eller en mødeindkaldelse til personalet er derimod normalt ikke omfattet.

Transportkryptering og indholdskryptering – forskellen

Der findes to grundformer af kryptering til mail. Transportkryptering (TLS) krypterer forbindelsen mellem to mailservere, så mailen ikke kan læses undervejs mellem dem. Den beskytter ikke mailen, når den ligger på serverne. Indholdskryptering (fx S/MIME eller krypteringsfunktioner i mailsystemet) krypterer selve beskeden, så kun modtageren kan læse den, uanset hvilken vej den tager.

Datatilsynet skelner desuden mellem to måder at bruge TLS på. Ved opportunistisk kryptering bruges TLS kun, hvis modtagerens server tilbyder det – ellers sendes mailen alligevel. Ved tvungen kryptering sendes mailen ikke, hvis der ikke kan etableres en tilstrækkeligt stærk forbindelse. Kun den tvungne form giver sikkerhed for, at mailen faktisk blev krypteret.

Hvornår er TLS ikke nok?

I en afgørelse fra 2021 (en kommune, der ved en fejl sendte en ukrypteret mail med oplysninger om tusindvis af elever) udtalte Datatilsynet, at transportkryptering normalt er et minimumsniveau. Ved en konkret højere risiko – fx når der sendes fortrolige eller følsomme oplysninger om mange personer eller med jævne mellemrum – vil kryptering af indholdet være passende.

For en klinik er det relevant at tænke over: Sender I fx lister med mange patienter, regelmæssige udtræk eller oplysninger om børn, bør I vurdere, om indholdskryptering eller en anden sikker kanal er nødvendig.

Datatilsynet bemærker også, at når kun indholdet krypteres, er afsender- og modtageradresse stadig synlige. Hvem der skriver sammen, kan i sig selv være fortroligt – fx en mail fra en patient til en psykiatrisk klinik.

Patienter, der skriver til jer

Datatilsynet har udtalt, at virksomheder og myndigheder ikke bør opfordre borgere til at sende følsomme eller fortrolige oplysninger over en ukrypteret forbindelse, men bør stille en sikker løsning til rådighed – fx Digital Post eller en krypteret selvbetjeningsløsning.

Sender en patient selv følsomme oplysninger ukrypteret uden at være bedt om det, er klinikken ikke ansvarlig for den forsendelse. Men jeres svar er jeres ansvar og bør gå via en sikker kanal.

Ansvaret for transmissionen ophører som udgangspunkt, når mailen er afleveret i modtagerens system, fx hos den mailudbyder, patienten selv har valgt.

• Skriv ikke på hjemmesiden eller i autosvar, at patienter kan maile om helbredsforhold, hvis mailen ikke er sikret.
• Henvis til e-konsultation, Digital Post eller en sikker formular, hvor I har en sådan.
• Svar ikke med helbredsoplysninger i en almindelig mail, selv om patienten har skrevet ukrypteret.

Sådan kan det løses i Microsoft 365

Der er flere måder at få sikker mail på, og det er ikke et krav at bruge Microsoft. Bruger klinikken Microsoft 365, findes disse muligheder:

Tvungen TLS til faste modtagere: I Exchange Online kan man oprette connectors (forbindelsesregler) til bestemte domæner, der kræver TLS. Mails, der ikke lever op til kravet, bliver afvist i stedet for at blive sendt ukrypteret.

Indholdskryptering: Microsoft Purview Message Encryption er ifølge Microsoft en del af blandt andet Microsoft 365 Business Premium, og hver bruger, der skal sende krypteret, skal have en licens, der omfatter funktionen.Medarbejderen kan kryptere en mail direkte fra Outlook, eller en regel kan gøre det automatisk – fx når der står et bestemt ord i emnefeltet. Modtagere uden Microsoft 365 læser mailen via en webportal med en engangskode.

Krypterede vedhæftninger: Er en fil krypteret med en kode, skal koden sendes ad en anden kanal, fx telefonisk, og må ikke genbruges, skriver Datatilsynet.

Et eksempel fra Datatilsynets tilsyn

I 2019 førte Datatilsynet tilsyn med et advokatfirma, som brugte S/MIME-certifikater (indholdskryptering) over for offentlige myndigheder og virksomheder, tvungen TLS 1.2 over for klienter og pårørende, hvor det var muligt, og almindelig post til klienter, der ikke kunne modtage krypteret mail. Firmaet havde dokumenteret en risikovurdering og en prioriteret rækkefølge for kanalerne. Datatilsynet fandt, at håndteringen levede op til reglerne.

Eksemplet er ikke fra sundhedsområdet, men det viser princippet: en dokumenteret vurdering, flere kanaler efter modtager og en klar reserveplan, når kryptering ikke er mulig.

Spørgsmål og svar

Kilder (tjekket oktober 2026): Sikker transmission – Datatilsynet · Skærpet praksis ift. krypteret e-mail – Datatilsynet · Følsomme oplysninger i ukrypteret mail fra Silkeborg Kommune – Datatilsynet · Må man opfordre borgere til at bruge en ukrypteret forbindelse? – Datatilsynet · Tilsyn med behandlingssikkerhed hos advokatfirma – Datatilsynet · Personoplysninger – få et hurtigt overblik – Datatilsynet · Message Encryption FAQ – Microsoft Learn · Set up connectors for secure mail flow with a partner organization – Microsoft Learn