Lowell Danmark A/S

I en konkret sag om kryptering af e-mails havde Lowell Danmark A/S foretaget en risikovurdering, hvor fremgangsmåden blev vurderet som en passende sikkerhedsforanstaltning af Datatilsynet. Datatilsynet har behandlet en klage, hvor en borger har klaget over, at Lowell Danmark A/S har sendt fortrolige oplysninger om borgeren ukrypteret over internettet. Datatilsynet traf den 26. juni 2019 afgørelse i sagen. Efter Datatilsynets opfattelse var Lowell Danmark A/S' behandling af oplysningerne om borgeren sket i overensstemmelse med databeskyttelsesforordningens artikel 32, stk. 1. Afgørelsen skal ses som et konkret begrundet eksempel på, at en dataansvarlig kan anvende en opportunistisk TLS 1.2-kryptering (kryptering på transportlaget, der kun virker, hvis modtagerens server understøtter det), når der fremsendes fortrolige oplysninger over internettet, hvis den dataansvarlige ud fra en risikovurdering korrekt har vurderet, at en sådan opsætning udgør en passende sikkerhedsforanstaltning. I den konkrete sag havde Lowell Danmark A/S blandt andet lagt vægt på, at det generelt kun er et fåtal af deres modtagere, der benytter sig af meget gamle e-mailklientversioner eller tjenesteudbydere, hvor en e-mail vil blive sendt ukrypteret, og at de konkret vurderer dette for de enkelte modtagere. De e-mails, sagen handler om, var i øvrigt afsendt krypteret på transportlaget til klager. Datatilsynet havde efter det oplyste i sagen ikke grundlag for at tilsidesætte den risikovurdering Lowell Danmark A/S havde foretaget, og lagde til grund at de tekniske og organisatoriske foranstaltninger i situationen var passende. Efter Datatilsynets opfattelse havde Lowell Danmark A/S således ud fra en risikovurdering implementeret passende sikkerhedsmæssige foranstaltninger jf. databeskyttelsesforordningens artikel 32. Datatilsynet vender hermed tilbage i sagen, hvor X den 5.