Er det lov å sende personopplysninger på mail?

Er det lov å sende personopplysninger på e-post? Regler

Deling av data krever aktsomhet for å hindre brudd på personvernet. Sjekk om er det lov å sende personopplysninger på e-post før du deler sensitive detaljer digitalt.
Riktig håndtering beskytter personlige opplysninger mot misbruk og uautorisert innsyn. Lær kravene til sikker overføring for å unngå avvik.

Er det lov å sende personopplysninger på e-post?

Ja, det er fullt tillatt å sende vanlige personopplysninger på e-post, så lenge det foreligger et gyldig behandlingsgrunnlag etter personvernforordningen (GDPR). Dette kan for eksempel være i form av samtykke fra den som berøres, en gyldig avtale eller at behandlingen er knyttet til en lovpålagt oppgave. Likevel finnes det strenge grenser for hva som faktisk kan sendes på en helt vanlig og åpen e-postforbindelse.

Hva kan du sende på vanlig e-post?

Vanlige personopplysninger som navn, e-postadresser, telefonnumre eller generell korrespondanse kan trygt sendes på e-post dersom det er strengt nødvendig for formålet. Her spiller det en rolle om du har en saklig og god grunn til å dele opplysningene. Når det gjelder fødselsnummer, er dette i utgangspunktet ikke formelt definert som en sensitiv opplysning i lovens forstand. Likevel fraråder Datatilsynet sterkt å sende sende personopplysninger på e-post gdpr ukryptert via en åpen e-post, ettersom risikoen for feilsending og misbruk er betydelig.

Hva bør du absolutt unngå å sende?

Sensitive personopplysninger, som omfatter opplysninger om helseforhold, religion, politisk oppfatning, fagforeningsmedlemskap eller seksuelle forhold, skal aldri sendes ukryptert gjennom en ordinær e-postløsning. I tillegg skal taushetsbelagte opplysninger og pasientinformasjon unngås i åpne e-poster. Dersom slike opplysninger havner på avveie, kan det få store konsekvenser for personvernet til den det gjelder.

Sikkerhetstiltak og trygge alternativer

Når situasjonen krever at du absolutt må sende fødselsnummer eller sensitive opplysninger fordi det ikke finnes andre utveier, må du ta i bruk tilstrekkelige sikringstiltak. Dette kan innebære bruk av kryptering eller passordbeskyttede vedlegg, der selve passordet deles gjennom en helt annen kanal, for eksempel via SMS. Du bør også vurdere å bruke en sikker digital postløsning eller en egen portal der det er lagt til rette for trygg dataoverføring. Husk alltid å dobbeltsjekke mottakeradressen grundig, siden feilsending er en av de aller vanligste årsakene til avvik og brudd på personvernet som må meldes fra om.

Sammenligning av delingskanaler for personopplysninger

Vanlig e-post (ukryptert)

• Skal aldri brukes uten ekstra sikring som kryptering
• Lavt - kan snappes opp eller feilsendes enkelt
• Vanlige personopplysninger som navn og telefonnummer

E-post med passordbeskyttet vedlegg

• Kan fungere i nødsfall, men egne portaler foretrekkes
• Middels - krever at passord deles via alternativ kanal
• Fødselsnummer eller mer konfidensiell informasjon

Sikker digital postløsning / Portal

• Det foretrukne valget for virksomheter og offentlig etater
• Høyt - bygget spesielt for konfidensiell kommunikasjon
• Helseopplysninger, taushetsbelagt info og fødselsnummer

Erfaringer med feilsending av e-post i en bedrift

Kari, som jobber som HR-ansvarlig i en mellomstor bedrift, skulle sende en oversikt over ansattes lønn og fødselsnumre til en ekstern samarbeidspartner.

Hun tastet inn adressen i hastverk, og ics-filen med sensitive personopplysninger havnet hos en person med et svært likt navn i en helt annen organisasjon.

Feilen ble oppdaget da mottakeren ringe opp og gjorde oppmerksom på tabben, noe som utløste et potensielt alvorlig personvernbrudd som måtte håndteres internt.

Etter denne hendelsen innførte bedriften en rutine med alltid å bruke passordbeskyttede vedlegg og dobbeltsjekke alle mottakeradresser før sending.