GDPR artikkel 32: sikkerhet og kryptering av e-post

Hva artikkel 32 faktisk krever

Artikkelen sier at behandlingsansvarlig og databehandler skal iverksette egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet i forhold til risikoen. Det skal tas hensyn til den tekniske utviklingen, gjennomføringskostnadene, behandlingens art, omfang, formål og sammenheng, og risikoene for de registrerte. Det er altså ikke en sjekkliste du krysser av, men en plikt til å vurdere egen risiko og velge tiltak som svarer på den.

Teksten nevner selv flere typer tiltak: pseudonymisering og kryptering, evne til å sikre fortrolighet, integritet, tilgjengelighet og robusthet i systemene, evne til å gjenopprette tilgjengeligheten etter en hendelse, og en prosess for regelmessig testing og vurdering av tiltakene. For en liten bedrift betyr det at både det tekniske (tilgangsstyring, kryptering, sikkerhetskopi) og det organisatoriske (rutiner, opplæring, ansvar) teller.

Artikkel 32 står ikke alene. Du trenger et behandlingsgrunnlag etter artikkel 6 før sikkerhetstiltakene i det hele tatt er relevante, og du må vite hva som regnes som personopplysninger etter artikkel 4. I tillegg krever artikkelen at alle som har tilgang til opplysningene, bare behandler dem etter instruks fra den behandlingsansvarlige. Det gjelder felles innbokser, vikarer, frilansere og eksterne regnskapsførere som får tilgang til e-post.

Kryptering av e-post: tre nivåer du bør kjenne

Kryptering av e-post er ikke ett tiltak, men flere, og de beskytter mot ulike ting. Mange bedrifter tror de er ferdige fordi leverandøren har kryptering på listen over funksjoner. Det er verdt å skille nivåene.

Transportkryptering (TLS) beskytter meldingen mellom avsender og mottakers server. Dette er i dag normalt og bør være på plass, men det beskytter bare underveis. Når meldingen er levert, ligger den lesbar i innboksen for alle som har tilgang til kontoen. Kryptering i hvile betyr at leverandøren krypterer lagringen på sin side. Det beskytter mot fysisk tyveri og enkelte typer feil, men leverandøren og de med nøkkeltilgang kan i prinsippet lese innholdet. Det er leverandørens tiltak, ikke ditt, selv om du kan kreve det dokumentert.

Innholdskryptering, der bare mottaker kan lese meldingen, gir sterkest beskyttelse, men er tyngre i bruk. For særlige kategorier av personopplysninger, som helseopplysninger, er det ofte riktigere å ikke sende dem på vanlig e-post i det hele tatt, men bruke en sikker portal eller et kryptert vedlegg der nøkkelen formidles i en annen kanal. Vurderingen bør stå skriftlig: hvilke opplysningstyper, hvilken risiko, hvilket tiltak.

En enkel gjennomgang i fire steg

Steg 1 er å kartlegge e-postflyten. Hvor kommer henvendelsene inn, for eksempel via skjema på nettsiden, og hvor havner de? Hvem har tilgang til innboksen, videresendes post til privatadresse, hvor lenge blir den liggende, og tas det sikkerhetskopi? De fleste blir overrasket over hvor mange kopier av samme kundedialog som finnes.

Steg 2 er å vurdere risikoen konkret. Hva skjer hvis innboksen blir tilgjengelig for feil person, eller hvis en ansatt slutter og beholder tilgangen? Hvilke opplysninger ville gjort mest skade? Denne vurderingen er grunnlaget for hvilke tiltak som er egnede etter artikkel 32, og den bør oppdateres når behandlingen endres.

Steg 3 er å prioritere tiltak. To-faktor-innlogging, egne brukerkontoer i stedet for delt passord, tilgangsstyring som ryddes ved personalendringer, og en rutine for å sende sensitive opplysninger i en sikker kanal. Sørg også for en databehandleravtale med e-postleverandøren. Gir behandlingen høy risiko for de registrerte, kan du i tillegg måtte gjøre en konsekvensvurdering etter artikkel 35.

Steg 4 er å dokumentere og teste. Skriv ned hvilke tiltak som er valgt, hvorfor, hvem som er ansvarlig og når de sist ble kontrollert. Artikkelen krever regelmessig testing og vurdering. For en liten bedrift kan det være så enkelt som en fast gjennomgang av tilganger og en test av at sikkerhetskopien faktisk kan gjenopprettes.

Vanlige fallgruver

Passordbeskyttet zip er en klassiker. Svakheten er at passordet ofte sendes i samme kanal eller står i samme e-posttråd, og at beskyttelsen forsvinner når filen er pakket ut. Det er bedre enn ingenting, men det er ikke det artikkel 32 mener med kryptering av e-post.

Delt innboks uten loggføring, og videresending til privat e-post, er en annen. Det gir ingen oversikt over hvem som har lest hva, og opplysningene havner utenfor systemene du kontrollerer. Det samme gjelder arkiv og sletting: mange rydder i innboksen, men glemmer at meldingene ligger igjen i arkivmapper og sikkerhetskopi.

Den tredje fallgruven er å behandle artikkel 32 som et rent IT-prosjekt. Kryptering og tilgangsstyring hjelper lite hvis ingen vet hvordan sensitive opplysninger skal sendes, eller hvis en ansatt ikke tør å si fra om en feilsending. Rutiner og opplæring er også tiltak etter artikkelen.

Ansvar når noe går galt

Artikkel 32 har fått økt praktisk betydning gjennom rettspraksis. I en avgjørelse fra EU-domstolen, referert av advokatfirmaet Thommessen, legges det til grunn at en virksomhet ikke uten videre slipper erstatningsansvar ved å vise til at tap av personopplysninger skyldtes et hackerangrep. Det avgjørende er om virksomheten har oppfylt forpliktelsene til tilstrekkelig sikkerhetsnivå etter artikkel 32.

Praktisk betyr det at dokumentasjonen er det som redder deg. Du bør kunne vise risikovurderingen, tiltakene, opplæringen og hva dere gjorde da hendelsen inntraff. Har du et avvikssystem, bruk det også for feilsendinger på e-post, ikke bare for alvorlige hendelser. Ved brudd på personopplysningssikkerheten gjelder meldeplikten i artikkel 33 og underretning til de registrerte etter artikkel 34.

Mange henvendelser kommer inn via skjema på nettsiden og ender i en e-postinnboks. Da er nettsiden og e-postløsningen en del av samme behandling, og det er verdt å se på hvordan den er satt opp. Nettsaga lager nettsider for små bedrifter der skjema, lagring og tilganger er gjennomtenkt fra starten. Vil du se hvordan det ser ut, kan du book en demo.

Vanlige spørsmål

Er det pålagt å kryptere e-post etter GDPR?

Det finnes ikke et eget navngitt krav om e-postkryptering, men artikkel 32 nevner kryptering som eksempel på egnede tiltak. Jo høyere risiko opplysningene har, jo vanskeligere er det å forklare hvorfor du ikke har kryptert. Du må kunne begrunne valget.

Holder TLS-kryptering?

TLS beskytter meldingen under transport og er et grunnleggende tiltak, men den beskytter ikke innholdet når det ligger i innboksen eller i arkivet. For sensitive opplysninger må du kombinere med tilgangsstyring, kryptering i hvile eller en sikker kanal.

Hva regnes som personopplysninger i e-post?

Navn, e-postadresse, telefonnummer og alt som kan knyttes til en person, for eksempel ordrehistorikk eller en sak beskrevet i en henvendelse. Se [definisjonene i artikkel 4](/artikler/gdpr-artikkel-4-definisjoner/).

Trenger jeg databehandleravtale med e-postleverandøren?

Ja, når leverandøren behandler personopplysninger på dine vegne. Avtalen bør si noe om sikkerhetstiltak, underleverandører og sletting. Mer om kravene i [artikkel 28](/artikler/gdpr-artikkel-28-databehandleravtale/).

Hvor lenge kan jeg oppbevare e-post med kundedialog?

Artikkel 32 setter ingen fast frist. Lagringsbegrensningen følger av de grunnleggende prinsippene, og du bør sette en frist ut fra formålet med behandlingen og slette det som ikke lenger er nødvendig.