da en de da en da da da da it sv da da en da en da de en da da da da da id fr de da de de en da de de fr en en en fi da en en da da en en sv en en en en en en en en en en en en fr en en en en en en en en en en en en en nb en sv en en en en en en es en en en da bn en en en en en fr en en en en en en en da da da de de es da en da en en id en en en en en en en en en en en en en en en en en en de en en en en en en en en pl en en en en sv en en en en de de da da nb en da en da da en da da da nl da es da en da fi en de de da da da da da en da en da de en de de da da da da da da da da en de ro en da en da fi en en da da de en da da da da da da eu da da da da da en eu en da fr en da da da da da da da da da da da da da da da da da da da da da da da da da da da da da da da da da da da da da da da da da da da de en en sv da da da da da en eu en da ro de da ar da es tr es es en en en sv da da da en nl it da en en en en en en en en
Kryptering af e-mails er også relevant for uddannelsesinstitutioner | EY Danmark
Søg Open search Close search
See all results in Search Page Close search
Din søgning gav ingen resultater
Skærpede krav om revisionspligt og brug af revisor for mindre selskaber
EY køber Tofte & Company og cementerer førerposition inden for Tech M&A
15 aug. 2022 Strategy and Transactions
Skal man være verdensmester fra første dag for at blive revisortrainee?
Open Navigation Menu Close Navigation Menu
Vi stiller nye spørgsmål for at finde nye svar på de komplekse problematikker, vores samfund står overfor.
EY Center for Board Matters
Se mere (EN) C-suite agendaer
EY hjælper vores kunder med at skabe langsigtet værdi. Ved hjælp af data og teknologi giver vores services og løsninger tillid gennem tryghed og hjælper vores kunder med vækst, drift og transformation.
Corporate and growth strategy (EN)
Transaction strategy and execution (EN)
Restructuring and turnaround strategy (EN)
Se mere Close Strategy by EY-Parthenon
Recognition and reward advisory
Se mere Close People and workforce (EN)
Transactions and corporate finance
Transactions and corporate finance
Sustainability and ESG Services (EN)
M&A technology and tools (EN)
Value creation, preservation and recovery (EN)
Se mere Close Transactions and corporate finance
Climate change and sustainability services
Financial accounting advisory services
Forensic and integrity services
Se mere Close Assurance
Tax function operations (EN)
Tax policy and controversy (EN)
Global tax reform (EN)
Se mere Close Tax
Fonde og selvejende institutioner
Se mere Close Law
Connected capital technologies (EN)
Alliances and ecosystems (EN)
Close Managed services (EN)
EY Private - kundeoplevelsen
Se mere Close EY Private
Climate change and sustainability services
ESG strategy services (EN)
Supply chain transformation (EN)
Climate and decarbonization (EN)
Environment, Health and Safety (EN)
Se mere Close EY Sustainability
Climate change and sustainability services
Alliances and ecosystems (EN)
Opdag hvordan EY's indsigt og services hjælper med til at nytænke fremtiden for din branche.
Advanced manufacturing og mobilitet
Offentlig sektor og infrastruktur
Technology, media and telecommunications
Ejendomme, hotel og restauration samt byggeri
Government and public sector Hvordan læring styrker fokus på værdien af automatisering
Strategy and Transactions Vækst på recept: Sektorerfaring gjorde milliardopkøb til en succes
EY Entrepreneur Of Te Year Det er virksomhedens tarv, der kommer først
Vi bringer kompetente og engagerede mennesker, ligesom dig, sammen for at skabe en bedre verden.
Det kan du arbejde med hos os
Sådan er det at arbejde her
Sådan bliver du en del af os
Muligheder for studerende og Graduates
Ledige stillinger for erfarne
EY-Parthenon strategy consulting careers in Denmark (EN)
Hos EY er vores globale formål: Building a better working world. Den indsigt og de services vi leverer, er med til at skabe tillid og stabilitet på kapitalmarkederne og til økonomier over hele verden.
EY Danmark udvider rapportering om bæredygtighed
Søg Open search Close search
My EY My EY
Open country language switcher Close country language switcher
Vælg din lokation Close country language switcher
Velkommen til EY Danmark (DA)
Du besøger EY Danmark (DA)
5 minutters læsetid 5 dec. 2019
Kryptering af e-mails er også relevant for uddannelsesinstitutioner
EY er en af verdens førende organisationer inden for revision, skat, transaktioner og rådgivning.
5 minutters læsetid 5 dec. 2019
Relaterede emner Government and public sector Law Digital
EY Entrepreneurskab Barometer 2019/2020
Siden 1. januar 2019 har det været et krav at anvende kryptering ved fremsendelse af fortrolige og følsomme personoplysninger via e-mails.
I forbindelse hermed har Datatilsynet i foråret gennemført tilsynsbesøg hos en række private virksomheder, og tilsynet har truffet afgørelse i fire sager om behandlingssikkerhed med særlig fokus på kryptering af e-mails med fortrolige og/eller følsomme personoplysninger. Disse afgørelser er også relevante for uddannelsesinstitutioner, herunder som inspiration til, hvordan institutionerne bør tilpasse sine systemer.
Fortrolige og følsomme personoplysninger i uddannelsesinstitutioner
Uddannelsesinstitutionerne behandler typisk såvel fortrolige som følsomme personoplysninger, herunder bl.a. cpr-nummer, karakterer, oplysninger om trivsel og eventuelle helbredsoplysninger om eleverne.
Uddannelsesinstitutionerne skal i den forbindelse være opmærksomme på at sikre en passende krypteringsløsning, når disse oplysninger udveksles via e-mail, fx ved:
Institutionernes korrespondance med elever og eventuelt forældre.
Institutionernes håndtering af indsigtsanmodninger og udlevering af data i forbindelse hermed.
Eventuelle indberetninger til offentlige myndigheder.
Har institutionerne implementeret særlige studieadministrative it-systemer til brug for fx korrespondancen med elever og forældre samt deling af relevante uddannelsespapirer m.v., skal sådanne systemer ligeledes efterleve krypteringskravet.
Samtidig understreger afgørelserne vigtigheden af, at uddannelsesinstitutionerne får gennemført skriftlige risikovurderinger for samtlige af deres behandlingsaktiviteter, herunder deres mailkorrespondance over internettet indeholdende fortrolige og/eller følsomme personoplysninger.
I to af afgørelserne (vedr. et advokatfirma samt et revisionsfirma) konkluderede Datatilsynet, at virksomhederne efterlevede bestemmelserne i databeskyttelsesforordningen mht. kryptering af e-mails samt udarbejdelse af risikovurdering, hvor der er taget stilling til risikoen forbundet med fremsendelse af fortrolige og følsomme personoplysninger over internettet.
I to øvrige afgørelser har Datatilsynet udtalt kritik af et kontorfællesskab for advokater samt af en fagforening. Nedenfor opsummeres væsentlige punkter fra de to afgørelser.
Du kan også læse mere om Datatilsynets nyhed her.
Manglende kryptering og risikovurdering hos kontorfællesskab for advokatfirmaer
Kontorfællesskabet af advokatfirmaer fik udtalt kritik af manglende kryptering samt manglende risikovurdering af behandlingsaktiviteten vedr. fremsendelse af e-mails indeholdende personoplysninger.
Kontorfællesskabet anvendte tre krypteringsløsninger:
1. Send sikkert-løsning (S/MIME) anvendes typisk med NemID-certifikater til medarbejdere og virksomheder for at verificere, at det kun er den tiltænkte modtager, som kan åbne e-mailen.
2. Tunnelmail krypterer domæne til domæne, hvor brugere på et domæne tilmeldt tunnelmail-listen, som man har tillid til, kan kommunikere med alle andre brugere på et andet domæne, som også er tilmeldt tunnelmail-listen.
3. TLS krypterer ikke data men derimod forbindelsen (transportlag) mellem to mailsystemer og sikrer, at personer, der evt. kunne opfange posten undervejs, ikke kan læse den. TLS kræver, at både afsenders og modtagers system understøtter TLS.
Punkt 1 og 2 ovenfor var for afsenderen i kontorfællesskabet integreret i Outlook via en knap med teksten ”Send sikkert”. Ved tryk på denne knap kunne det undersøges, om den angivne modtageradresse kunne modtage krypterede e-mails enten via Send sikkert-løsningen eller via tunnelmail løsningen. Hvis modtageren understøttede en af de to nævnte løsninger, ville feltet blive markeret med grøn farve og ellers med rød farve. Hvis modtageren ikke understøttede en af løsningerne, kunne afsenderen vælge at sende e-mailen alligevel. I så fald foregik afsendelsen med opportunistisk TLS uden nogen garanti for, at e-mailen blev afsendt krypteret.
I de tilfælde, hvor løsninger jf. punkt 1 og 2 blev anvendt, vurderede Datatilsynet, at kontorfællesskabet anvendte tilstrækkelig behandlingssikkerhed.
Blev krypteringsløsning jf. punkt 3 anvendt uden yderligere tiltag, kunne der ikke opnås en garanti for, at modtagerdomænet understøttede krypteringen. Da kontorfællesskabet ikke på tidspunktet for tilsynet havde indført procedurer, som sikrede, at modtagerdomænet understøttede TLS kryptering forud for afsendelse af fortrolige og følsomme personoplysninger, udtalte Datatilsynet kritik af dette forhold.
Kontorfællesskabet meddelte efter tilsynsbesøget, at der ville blive indført procedurer for, at det i tvivlstilfælde kan undersøges, om modtagerdomænet understøttes af TLS forud for afsendelse af en e-mail indeholdende fortrolige eller følsomme personoplysninger.
Kontorfællesskabet havde forud for tilsynsbesøget fremsendt risikovurdering for kontorfællesskabets behandling af personoplysninger, men risikovurderingen indeholdt ikke overvejelser om behandlingsaktiviteten for e-mails indeholdende personoplysninger, der tog stilling til risikoen forbundet med fremsendelse af fortrolige og følsomme personoplysninger over internettet.
Det er Datatilsynets vurdering, at den manglende risikovurdering har medført utilstrækkelige sikkerhedsforanstaltninger i forhold til e-mails til klienter og pårørende.
Kontorfællesskabet meddelte efter tilsynsbesøget, at behandlingsaktiviteten for e-mail kontakt med klienter ville blive indarbejdet i den eksisterende risikovurdering.
Anvendelse af personnummer som password, afsendelse af ikke krypterede e-mails samt manglende anmeldelse af brud på persondatasikkerheden hos fagforening
Efter tilsynsbesøg hos fagforeningen konkluderede Datatilsynet, at fagforeningen på 4 ud af 6 punkter efterlevede databeskyttelsesforordningens bestemmelser om behandlingssikkerhed i forbindelse med kryptering af e-mails samt udarbejdelse af risikovurdering.
Fagforeningen modtog dog kritik af:
4. at have anvendt personnummeret på den person, e-mailen vedrørte, som password til læsning af krypteret e-mail.
5. i en periode fra 1. januar 2019 til 9. april 2019 at have sendt ikke krypterede e-mails, hvor der kunne udledes oplysninger om fagforeningsmæssigt tilhørsforhold, og uden at have anmeldt hændelserne til Datatilsynet som brud på persondatasikkerheden.
Fagforeningen oplyste til Datatilsynet, at personnummeret var valgt som password, så både modtageren og en evt. tredjepart – fx en advokat eller arbejdsgiver – kunne tilgå e-mailen, og at personnummeret fungerede som genkendelsesmetode for både medlemmet og tredjeparten. Personnummeret blev ikke oplyst, men det blev anført, at personnummeret udgjorde password.
Datatilsynet vurderede, at fagforeningen ikke har gennemført passende sikkerhedsforanstaltninger, idet tilsynet lagde vægt på, at:
fødselsdato er en almindelig, ikke-følsom personoplysning, der ofte vil være kendt af andre end den registrerede,
tildeling af et personnummer følger en offentlig kendt metode, hvormed de mulige personnumre for en given fødselsdato kan indskrænkes til et lille antal muligheder,
personnummer anvendes bredt på tværs af myndigheder m.v., hvilket medfører en høj sandsynlighed (og dermed forhøjet risiko) for, at fortroligheden af de oplysninger, som adgangskontrollen skal sikre, kompromitteres.
Fagforeningen har oplyst til Datatilsynet, at fagforeningen har kendskab til fire tilfælde siden 1. januar 2019, hvor e-mails var blevet sendt uden kryptering, hvoraf oplysninger om fagforeningsmæssigt tilhørsforhold kunne udledes. De pågældende e-mails var sendt med opportunistisk TLS.
I perioden 1. januar til 28. februar 2019 blev 1.544 adviseringsmails desuden sendt via opportunistisk TLS, hvoraf oplysninger om fagforeningsmæssigt tilhørsforhold muligvis kunne udledes, grundet en fejl, hvor der i brødteksten fremgik ordet ”Fagforening” i stedet for ”Fagforeningens navn”.
Fagforeningen har efter egen vurdering ikke anmeldt hændelserne til Datatilsynet, idet fagforeningen lagde vægt på, at fagforeningen var sikker på, at e-mailen var stilet til den korrekte modtager, samt at e-mails var fremsendt med opportunistisk TLS. Det er dog Datatilsynets vurdering, at de pågældende brud på persondatasikkerheden burde have været anmeldt.
Løbende risikovurdering i uddannelsesinstitutioner
Uddannelsesinstitutioner har generel megen dataudveksling, såvel via internettet og e-mails, men tillige via studieadministrative systemer.
Det er således fortsat relevant løbende at vurdere risikoen forbundet hermed.
Bodil Hald Brabæk, Director, Head of Data Privacy Law, tlf. 2529 3268
Peter K. Jensen, Senior Consultant, Local Region Advisory, tlf. 2529 3358
Uddannelsesinstitutionerne behandler typisk såvel fortrolige som følsomme personoplysninger, herunder bl.a. cpr-nummer, karakterer, oplysninger om trivsel og eventuelle helbredsoplysninger om eleverne. Uddannelsesinstitutionerne skal i den forbindelse være opmærksomme på at sikre en passende krypteringsløsning, når disse oplysninger udveksles via e-mail.
EY er en af verdens førende organisationer inden for revision, skat, transaktioner og rådgivning.
Related topics Government and public sector Law Digital
Juridiske forhold og privatlivspolitik
EY henviser til den globale organisation og kan referere til et eller flere medlemsfirmaer inden for Ernst & Young Global Limited, som hver især udgør en selvstændig juridisk enhed. Ernst & Young Global Limited, som er et engelsk ‘company limited by guarantee’, yder ikke kunderådgivning.
EY | Assurance | Tax | Strategi og transaktioner | Advisory
EY er en af verdens førende organisationer inden for revision, skat, transaktioner og rådgivningDen indsigt og de ydelser, vi leverer, hjælper med at opbygge tillid til kapitalmarkederne og den globale økonomi. Vi udvikler dygtige ledere og medarbejdere, som sammen leverer det, vi lover vores interessenter. De bidrager til, at arbejdsverdenen og arbejdslivet fungerer bedre - for vores medarbejdere, vores kunder og det omgivende samfund.
EY henviser til den globale organisation og kan referere til et eller flere medlemsfirmaer inden for Ernst & Young Global Limited, som hver især udgør en selvstændig juridisk enhed. Ernst & Young Global Limited, som er et engelsk ‘company limited by guarantee’, yder ikke kunderådgivning.
Flere oplysninger om vores organisation kan findes på ey.com
© 2019 EYGM Limited. Alle rettigheder forbeholdes.
Dette materiale er udarbejdet alene til orientering, og oplysningerne i det tilsigter ikke at være fyldestgørende, og de træder ikke i stedet for udførlige analyser eller udøvelsen af professionelle skøn.I konkrete sager opfordres brugere til at henvende sig til EY’s rådgivere.
In addition to cookies that are strictly necessary to operate this website, we use te following types of cookies to improve your experience and our services: Functional cookies to enhance your experience (e.g. remember settings), Performance cookies to measure te website's performance and improve your experience, Marketing/Targeting cookies which are set by third parties with whom we execute marketing campaigns and allow us to provide you with content relevant to you.
You may withdraw your consent to cookies at any time once you have entered te website through a link in te privacy policy, which you can find at te bottom of each page on te website.
Review our cookie policy for more information.
I decline optional cookies