GDPR-overtrædelse (efter min vurdering): Gjensidige sendte adgangskode i klartekst via compliance-afdelingen

GDPR-overtrældelse (efter min vurdering)

Hvad skete der

I forbindelse med SAG 4 (asbest) sendte en medarbejder i Gjensidiges compliance-afdeling et dokuments adgangskode i en klartekst-e-mail. Adgangskoden var til et dokument indeholdende personoplysninger om Klager. Kodeordet fulgte et forudsigeligt mønster bestående af selskabsnavnet plus indeværende årstal.

Hvorfor jeg mener, det er i strid med reglerne

GDPR Artikel 32 (Behandlingssikkerhed) kræver, at den dataansvarlige gennemfører "passende tekniske og organisatoriske foranstaltninger" for at sikre et sikkerhedsniveau, der passer til risikoen. Efter min vurdering er det i strid med denne forpligtelse at sende en adgangskode i klartekst over e-mail.

GDPR Artikel 5, stk. 1, litra f fastsætter princippet om "integritet og fortrolighed" — personoplysninger skal behandles på en måde, der sikrer tilstrækkelig sikkerhed.

Databeskyttelsesloven § 41 fastsætter straffebestemmelser for overtrædelse af GDPR's sikkerhedskrav. Overtrædelse af forpligtelsen til at træffe passende sikkerhedsforanstaltninger, jf. GDPR Art. 32, kan straffes med bøde.

Skærpende omstændigheder

1. Det var en medarbejder i compliance-afdelingen selv: Netop den afdeling, hvis job er at sikre overholdelse af GDPR, overtrådte efter min vurdering sikkerhedsreglerne
2. Passwordet var forudsigeligt: Kodeordet fulgte mønsteret selskabsnavn + indeværende år med udråbstegn. Det er efter min vurdering ikke i overensstemmelse med god praksis for adgangskoder
3. Indholdet var personfølsomt: Dokumentet indeholdt personoplysninger om en forsikringssag
4. E-mail er ukrypteret transit: E-mails sendes som standard i klartekst over internettet

Juridisk konsekvens

Overtrædelse af art. 32 er omfattet af bødeniveauet i art. 83, stk. 4 (indtil 10 mio. EUR eller 2 % af den globale årsomsætning). Overtrædelser af principperne i art. 5 er omfattet af art. 83, stk. 5 (indtil 20 mio. EUR eller 4 %).

Klager har klaget til Datatilsynet (klage af 19. april 2026), jf. GDPR art. 77. Afgørelsen afventes.

Perspektiv

Når et forsikringsselskabs egen Compliance-afdeling ikke kan overholde basale sikkerhedskrav i en e-mail, rejser det fundamentale spørgsmål om organisationens samlede datasikkerhedsniveau. Om der er tale om en enkeltstående fejl eller et bredere problem, kan jeg ikke konkludere ud fra det foreliggende. Hændelsen er dokumenteret og klaget til Datatilsynet.