Email hosting til læger og sundhedspersonale: krav til sikkerhed og GDPR 2026

Sundhedsdata er den mest beskyttede kategori af personoplysninger i GDPR. Det gælder oplysninger om patienters helbred, diagnoser, behandlingsforløb og medicin. Når patienter emailer deres læge eller psykolog, indeholder det ofte sådanne oplysninger, og ansvaret for at beskytte dem hviler på behandleren.

Hvad siger reglerne om email og sundhedsdata?

Sundhedspersoner er som udgangspunkt ikke forpligtede til at bruge krypteret email til al kommunikation. Men de er forpligtede til at sikre, at behandlingen af personoplysninger sker med passende sikkerhed. Det betyder i praksis:

• Email-hosting-udbyder skal overholde GDPR og bør have databehandleraftale
• Oplysningerne må ikke gemmes i systemer uden for EU uden lovhjemmel
• Adgang til email skal begrænses til autoriserede personer
• Databrud skal anmeldes til Datatilsynet inden for 72 timer

Risikoen ved gratis email-tjenester

Mange klinikker bruger Gmail eller Outlook.com. Begge opfylder teknisk GDPR for europæiske brugere via Googles og Microsofts databehandleraftaler. Men der er et praktisk problem: dataene er hos en multinational virksomhed uden for Danmark, og du har begrænset kontrol over, hvad der sker med dem.

Datatilsynet har tidligere udtalt sig kritisk om brugen af Google Workspace i dansk offentlig forvaltning, specifikt på grund af usikkerhed om dataoverførsler. Selvom private klinikker ikke er underlagt de samme regler, viser det, at tilliden til disse systemer ikke er ubetinget.

Dansk hosting som risikominimering

Når email-data er hostet i Danmark af en dansk virksomhed, er lovgivningen entydig og dokumentationen simpel. Du kan til enhver tid redegøre for, hvor data er, hvem der har adgang, og under hvilken lovgivning de behandles. Det forenkler compliance-arbejdet og giver ro i maven.

Tekniske sikkerhedskrav

En email-hosting-løsning til sundhedspersonale bør som minimum tilbyde:

• Krypteret opbevaring og transport af emails
• SPF og DKIM for at forhindre forfalskning af afsenderadresse
• To-faktor-godkendelse ved login
• Logning af adgangshændelser
• Backup med mulighed for gendannelse

Krav til databehandleraftale

Enhver email-hosting-udbyder du bruger til at behandle patientdata er din databehandler. GDPR kræver at du har en skriftlig databehandleraftale med dem. Mange store udbydere tilbyder standard-DPA'er, men det er dit ansvar at sikre at vilkårene er acceptable.

Hos Mahoje Hosting indgår vi databehandleraftale med alle kunder. Al data er placeret i Danmark. Se vores sider til læger og sundhedspersonale, fysioterapeuter og private klinikker.