Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen
Næsten alle sikringer af en arbejdscomputer, en postkasse eller en telefon indeholder følsomme persondata: sygemeldinger, lægeerklæringer, fagforeningsmails, oplysninger om religion eller seksualitet, og CPR-numre i lønsedler og kontrakter. De kan sjældent undgås i sikringen, men de kan identificeres tidligt, holdes ude af analysesættet og beskyttes med strammere adgang end resten af materialet. Det kræver, at nogen leder efter dem, før de dukker op tilfældigt i en hitliste.
Hvilke oplysninger det drejer sig om
Databeskyttelsesforordningens artikel 9 har en særlig beskyttelse af visse kategorier: race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold, genetiske data, biometriske data til entydig identifikation, helbredsoplysninger samt seksuelle forhold og seksuel orientering. Dansk ret har desuden særlige regler for CPR-numre i databeskyttelsesloven, og de kræver i praksis samme omhu.
Det juridiske grundlag for at behandle oplysningerne i en sag er beskrevet i GDPR og bevisførelse. Den tekniske opgave er at vide, hvor de ligger, og at kunne vise, hvordan de er håndteret.
Hvor de typisk ligger
- Postkasser · Sygemeldinger, korrespondance med læge eller psykolog, fagforeningsmails, mails om graviditet eller familieforhold
- HR- og lønmapper · Lønsedler med CPR-numre, kontrakter, fraværsregistreringer, personalesager
- Telefoner · Sundhedsapps, træningsdata, cyklusapps, kalenderaftaler hos læger, beskeder
- Browserhistorik · Søgninger og besøg på sider om sygdom, tro, politik eller seksualitet
- Billeder · Ansigter som biometrisk grundlag, fotos fra sundhedssammenhænge
- Scannede dokumenter · Lægeerklæringer, journaler og attester, ofte uden søgbar tekst
Browserhistorik er værd at fremhæve. Selv en undersøgelse, der kun handler om tidspunkter for webbesøg, eksponerer domænenavne, der i sig selv kan afsløre helbred eller overbevisning.
Identifikation
Mønstre for CPR-numre
CPR-numre kan findes med mønstersøgning på seks cifre for fødselsdato efterfulgt af fire cifre, med eller uden bindestreg. Søgningen giver mange falske positiver, fx ordrenumre og telefonnumre. Kontrolcifferberegningen kan ikke bruges til at sortere dem fra, fordi CPR tildeler numre uden kontrolciffer, når numrene med modulus 11-kontrol for en fødselsdato er brugt op. Kombinér i stedet med en kontrol af, at de første seks cifre er en gyldig dato, og med kontekst, fx ord som CPR eller personnummer i nærheden.
Ordlister
Ordlister med danske termer for sygdom, fravær, diagnoser, behandlinger, fagforeninger, trosretninger og lignende fanger en stor del. De skal tage højde for bøjningsformer og sammensatte ord, ellers rammer sygemelding men ikke sygemeldingen eller langtidssygemeldt. Se søgetermer teknisk.
Kilder og afsendere
Mails fra og til kendte domæner, fx lægepraksisser, hospitaler, fagforeninger og a-kasser, kan identificeres på metadata uden at åbne indholdet. Det samme gælder apps på telefonen, der kan identificeres som sundheds- eller trosrelaterede ud fra pakkenavn.
Ikke-søgbart materiale
Scannede attester og fotograferede dokumenter findes ikke med tekstsøgning. OCR kan hjælpe, men giver fejl, især på håndskrift. Det skal fremgå, at identifikationen ikke dækker billeder uden tekstgenkendelse. Se OCR og ikke-søgbare filer.
Telefonens sundhedsdata
På telefoner ligger helbredsoplysninger ofte i strukturerede databaser: skridttællere, pulsmålinger, søvndata, cyklusregistreringer og medicinpåmindelser. Udtræksværktøjer kan vise dem som pæne tabeller, og de dukker derfor let op i en bred gennemgang. Er spørgsmålet fx, hvor telefonen var på et bestemt tidspunkt, kan bevægelsesdata være relevante, men pulsmålinger og søvndata er det næppe. Afgræns på datatype, ikke kun på app, og notér, hvilke tabeller der indgik.
Biometri
Ansigtsgenkendelse i fotobiblioteker danner ansigtsgrupper og navngivne personer. Selve grupperingen er en biometrisk behandling foretaget af telefonen, ikke af analytikeren, men en analyse, der bruger grupperingerne til at finde billeder af en bestemt person, bygger på dem. Det bør overvejes, om det er nødvendigt, og det bør fremgå af dokumentationen, hvis det er brugt.
Afgrænsning og adgang
Når oplysningerne er identificeret, er der tre muligheder, som kan kombineres:
- Udelukkelse fra analysesættet. Elementerne markeres og indgår ikke i søgninger, visninger eller eksporter. De ligger fortsat i masterkopien. Dette er det almindelige udgangspunkt, når oplysningerne ikke er relevante for spørgsmålet.
- Særskilt gennemgang. Er oplysningerne relevante, fx i en tvist om sygefravær, placeres de i et separat sæt med en snævrere kreds af personer med adgang.
- Maskering ved udlevering. Indgår elementer i rapport eller produktion, maskeres de følsomme dele, medmindre de netop er det, der skal bevises. Se pseudonymisering og maskering.
Adgangsstyringen bør være teknisk, ikke kun aftalt. Et separat sæt med egne rettigheder i analyseværktøjet, en separat krypteret beholder eller en separat sag med egne brugere gør det muligt at dokumentere, hvem der kunne se hvad. Se opbevaring af beviskopier.
Når analysen alligevel rammer dem
Mange tekniske spørgsmål kræver adgang til data, hvor følsomme oplysninger indgår som bifangst. En tidslinje over brugeraktivitet kan vise, at en medarbejder besøgte en patientforenings side, mens det, sagen handler om, er en filoverførsel ti minutter senere. Her er reglen enkel: gengiv kun det, der er nødvendigt for konklusionen. Den følsomme hændelse kan stå som “webbesøg, ikke relevant” eller udelades med en note om, at ikke-relevante hændelser er udeladt.
Tidslinjer, hitlister og eksporterede regneark er de steder, hvor følsomme oplysninger oftest slipper ud, fordi de dannes automatisk og indeholder alt i et tidsrum. Gennemgå dem, før de deles, også internt.
Er de følsomme oplysninger selv det, sagen drejer sig om, fx i en tvist om sygefravær eller forskelsbehandling, vendes udgangspunktet om. Så skal oplysningerne med, men kun i det omfang spørgsmålet kræver, og med en snæver adgangskreds. Rapporten bør i så fald beskrive, hvorfor oplysningerne er nødvendige, og hvilke der bevidst er udeladt.
Arbejdsmiljøet
Følsomme oplysninger stiller også krav til selve arbejdspladsen. Skærme i delte lokaler, eksporter liggende i en almindelig downloadmappe og hitlister sendt som ukrypterede vedhæftninger er de praktiske huller. Eksporter med følsomme elementer bør kun dannes, når de er nødvendige, ligge i et krypteret område og slettes, når de er brugt.
Typiske fejl
- Identifikation efter analysen. Følsomme oplysninger findes først, når de står i en rapport eller et bilag.
- Kun tekstsøgning. Scannede dokumenter og billeder overses.
- Samme adgang for alle. Følsomme elementer ligger i samme sæt som alt andet, med samme rettigheder.
- Ufiltrerede tidslinjer. En automatisk dannet tidslinje deles med alle hændelser, inklusive webbesøg og app-brug, der afslører helbred eller overbevisning.
- Ingen sletteplan. Separate sæt og eksporter glemmes, når sagen slutter.
Dokumentation
Dokumentationen bør vise, at følsomme oplysninger blev forudset og håndteret:
- hvilke metoder der blev brugt til identifikation, og deres begrænsninger,
- hvor mange elementer der blev markeret i hver kategori, uden at gengive indholdet,
- hvilke elementer der blev udelukket, og hvilke der indgik i særskilt gennemgang,
- hvem der havde adgang til det særskilte sæt,
- hvordan oplysningerne er maskeret i rapport og produktion,
- hvordan og hvornår kopier og eksporter slettes.
Det generelle princip om at filtrere i lag er beskrevet i dataminimering i forensic. Følsomme oplysninger er det sted, hvor lagene skal være tættest.
Kilder og versioner
- Databeskyttelsesforordningen (GDPR), artikel 9, EUR-Lex
- Datatilsynet: Hvornår må du behandle personoplysninger (herunder personnummer)
- Danmarks Statistik: personnummer, modulus 11 og numre uden kontrolciffer
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Kvalitet og standarder
Læs også: Pseudonymisering og maskering i rapporter og produktioner · Fund uden for opdraget: når analysen viser noget andet
→ Uvildig IT-sagkyndig med forensic-baggrund · For DPO’er · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
