Datatilsynet har netop offentliggjort fire nye afg\u00f8relser, der omhandler email-kryptering \u2013 eller manglen p\u00e5 samme. Der blev udtalt kritik i to af de fire afg\u00f8relser: Til et advokatkontorf\u00e6llesskab og til en fagforening. Der faldt dog ingen b\u00f8der.<\/p>\n\n\n\n
Her vil vi fokusere p\u00e5 advokatf\u00e6llesskabet. Her stod man med en genkendelig udfordring: Vi skal kunne kommunikere sikkert med myndigheder og professionelle. Men vi skal ogs\u00e5 kunne kommunikere sikkert med klienter og p\u00e5r\u00f8rende.<\/p>\n\n\n\n
Det f\u00f8rste var l\u00f8st fint. Datatilsynet noterede sig:<\/p>\n\n\n\n
At kontorf\u00e6llesskabet \u2013 i overensstemmelse med databeskyttelsesforordningens artikel 32 \u2013 anvender end-to-end kryptering ved udveksling af S\/MIME certifikat over tunnelmail f\u00e6llesskabet (herefter omtalt som tunnelmail) til fremsendelse af fortrolige og f\u00f8lsomme personoplysninger over internettet til politiet, domstole og andre modtagere p\u00e5 den offentlige tunnelliste. <\/p>Fra Datatilsynets afg\u00f8relse, 5. nov, Journalnummer: 2019-41-0029<\/cite><\/blockquote>\n\n\n\n
Men hvad s\u00e5 med de kommunikationen til private? Her m\u00e5tte datatilsynet konstatere:<\/p>\n\n\n\n
At kontorf\u00e6llesskabet ikke<\/span> forud for tilsynsbes\u00f8get havde indf\u00f8rt procedurer, der sikrer, at der anvendes kryptering p\u00e5 transportlaget via TLS til fremsendelse af fortrolige og f\u00f8lsomme personoplysninger til klienter mv. over internettet.<\/p>Fra Datatilsynets afg\u00f8relse, 5. nov, Journalnummer: 2019-41-0029 (vores understregning)<\/cite><\/blockquote>\n\n\n\n
Hvad gjorde de forkert?<\/h3>\n\n\n\n
N\u00e5r man sender en email indeholdende fortrolige eller f\u00f8lsomme personoplysninger, er det afsenders pligt at sikre den forn\u00f8dne kryptering. Kryptering p\u00e5 transport-laget, der i langt de fleste tilf\u00e6lde er tilstr\u00e6kkeligt, kan nemmest opn\u00e5s med s\u00e5kaldt TLS 1.2 (Transport Layer Security).<\/p>\n\n\n\n
Men det er ikke sikkert, at sende med s\u00e5kaldt opportunistisk TLS, for if\u00f8lge Google underst\u00f8tter 8-11 procent af verdens email-adresser ikke TLS.<\/p>\n\n\n\n
Derfor skal man have et system, der enten forhindrer, at mailen bliver sendt afsted, hvis ikke forsendelsen kan foreg\u00e5 sikkert, eller som tilbyder en anden form for kryptering. Det havde kontorf\u00e6lleskabet ikke.<\/p>\n\n\n\n
Hvad kunne de have gjort?<\/h3>\n\n\n\n
RMail l\u00f8ser problemet ved \u2013 automatisk \u2013 at unders\u00f8ge, om der er sikker TLS-forbindelse hele vejen til modtager. Hvis IKKE forbindelsen er sikker med TLS, vil RMail \u2013 automatisk \u2013 pakke mailen i en krypteret PDF, og p\u00e5 den m\u00e5de sikre, at mailen kommer krypteret frem til modtageren.<\/p>\n\n\n\n
Ovenik\u00f8bet modtager afsender en kvittering, der dokumenterer hvilken krypteringsmetode, der er anvendt. Den er s\u00e6rdeles brugbar, hvis en klient eller Datatilsynet stiller sp\u00f8rgsm\u00e5l til, hvorvidt en forsendelse er leveret sikkert.<\/p>\n\n\n\n
Anden afg\u00f8relse: Advokatkontor slap for kritik<\/h3>\n\n\n\n
Som sagt har Datatilsynet netop offentliggjort flere afg\u00f8relser. En anden drejede sig om et advokatkontor, der s\u00e5 at sige havde “best\u00e5et”. Der blev ikke rejst nogen kritik. Og hvordan havde disse advokater s\u00e5 h\u00e5ndteret det?<\/p>\n\n\n\n
Jo, de havde opsat et system, der afviste at sende en mail afsted, hvis ikke der kunne konstateres TLS 1.2 hele vejen til modtageren \u2013 alts\u00e5 s\u00e5kaldt “Forced TLS”. I de tilf\u00e6lde hvor en mail ikke kommer afsted, skulle en medarbejder s\u00e5 gennemg\u00e5 indholdet, eventuelt rense det for fortrolige eller f\u00f8lsomme oplysninger, og efter en konkret vurdering sende mailen afsted alligevel. Eller anvende fysisk post i stedet.<\/p>\n\n\n\n
Forced TLS: Sikkert men tidskr\u00e6vende<\/h3>\n\n\n\n
Dette advokatkontor levede alts\u00e5 op til reglerne men m\u00e5tte leve mere besv\u00e6ret med at skulle analysere en del af de afsendte mails, og i nogle tilf\u00e6lde tidsspildet ved at skulle flytte kommunikationen over i et fysisk brev. <\/p>\n\n\n\n
Arbejdsgange, som man slipper for, hvis man anvender RMail, idet systemet har en automatiseret plan B for de mails, der ikke kan fremsendes med TLS 1.2.<\/p>\n\n\n\n
L\u00e6s mere om RMail\u00a0her<\/a><\/p>\n\n\n\n