Databeskyttelsesforordningens ikrafttrædelse betyder, at tidligere retningslinjer ikke længere finder anvendelse. Dette har skabt tvivl om, hvorvidt SMS-beskeder stadig kan anvendes. Særligt i det offentlige, der tidligere kunne støtte sig op ad særlige retningslinjer.

Databeskyttelsesforordningen har stort fokus på den risikobaserede fremgangsmåde (hvilket forsimplet betyder, at enhver handling skal begrundes med en risikoanalyse). Dette har styrket tvivlen om, hvorvidt SMS-beskeder fremadrettet kan bruges til transmission af personoplysninger, da SMS-beskeder jf. Datatilsynet kan læses af personer, der indgår som et led i kæden af mobiltelefonantennestationer, hvorved disse uvedkommende personer kan få adgang til at se de oplysninger, der transmitteres. Der er altså en stor sandsynlighed for, at uvedkommende får adgang til de afsendte personoplysninger.

Datatilsynet har d. 16. juli 2019 offentliggjort en tekst om, hvad en risikovurdering angående brugen af SMS-beskeder skal omfatte. Vores mål med denne artikel er at belyse, hvornår I som virksomhed må sende SMS-beskeder til jeres registrerede.

De tre hurtige svar uddybet – du må sende SMS til kunder og borgere, hvis:

1. SMS til kunder og borgere ikke indeholder følsomme eller fortrolige informationer
   Overstående er ikke helt definitivt, men det vil være meget besværligt at begrunde, at en sendt SMS-besked, der indeholder følsomme informationer, ikke er et brud på databeskyttelsesforordningen. Vi anbefaler derfor, at man helt enkelt opererer med, at ”SMS-beskeder må ikke indeholde følsomme eller fortrolige informationer”.
   Datatilsynet lægger dog op til, at SMS-beskeder ikke bør indeholde følsomme informationer, da risikoen forbundet med denne type af transmissionsform er særlig høj, grundet bl.a. muligheden for spoofing, og at folk i teleinfrastrukturbranchen kan se indholdet af en sms. Dette er blot eksempler på risici, der skal tages med og afklares i risikoanalysen, hvis man ønsker at sende en SMS-besked, der indeholder følsomme eller fortrolige informationer.
2. SMS’er kun indeholder almindelige personoplysninger
   Som nævnt i overstående afsnit er det – grundet databeskyttelsesforordningens risikobaserede tilgang – et krav, at der laves en risikovurdering. Dette er også tilfældet, når almindelige personoplysninger sendes via SMS. Risikoen for at oplysninger bliver læst af en uvedkommende tredjepart, er jo fortsat den samme; konsekvensen er blot blevet mindre grundet informationernes mindre følsomme indehold.
3. Dataminimeringsprincippet bliver fulgt
   Princippet om dataminimering går ud på, at personoplysninger ikke må behandles i længere tid end nødvendigt, og at personoplysningerne skal være relevante for behandlingen. Datatilsynet ønsker, at dette princip følges i langt større omfang end tidligere, grundet den førnævnte høje risici, der er for at SMS-beskeder ses af uvedkommende. Det vil derfor være nødvendigt, at fortrolige og følsomme informationer tages ud af SMS-beskeder, herunder også servicebeskeder.

Datatilsynet nævner en række eksempler på, hvordan en tilpasset servicebesked kan se ud:
”Husk din aftale [dato/kl.] med [X] Kommune, [adresse]. Evt. afbud på [tlf.nr./e-mailadresse].”
”Husk din aftale [dato/kl.] hos lægen, [adresse]. Evt. afbud på [tlf.nr./e-mailadresse].”
”Vi har indsat kr. 2.400,- på din konto. Mvh. [X] Kommune.”

Det vigtige at tage med fra disse eksempler er følgende:

1. Der fremgår ikke noget specifikt om, hvad aftalen er i de to første eksempler, og der nævnes i det tredje eksempel intet om, hvorfor der indsættes penge på borgerens konto. Dermed reducerer man mængden af følsomme informationer, der potentielt kunne være i SMS’en. Vi anbefaler af denne grund, at hvis en aftale omhandler en speciallæge, så skal dette ikke kunne aflæses af SMS-beskeden.
2. Det fremgår ikke, hvor aftalen finder sted. Dette reducerer mængden af personoplysninger, der kan udledes om personen baseret på, hvor aftalen finder sted. Det anbefales af samme grund, at eventuelle adresser ikke oplyses i en SMS.

Det er fortsat muligt at sende SMS til kunder og borgere til at orientere registrerede om aftaler, men SMS-beskeder bør anses som den mindst sikre kommunikationskanal, og bør derfor ikke anvendes til andet end afsendelse af påmindelser.

Den indledende kontakt til en registreret samt sagsbehandling bør af denne grund ske gennem andre kommunikationskanaler som fx e-mail eller e-Boks, da disse kanaler i langt større grad kan sikres. Det er dog vigtigt at huske, at uanset hvad, så skal der foretages en risikoanalyse, og at enhver kommunikationskanal har sine egne svagheder, som der skal tages stilling til.

Vi anbefaler derfor, at SMS til kunder og borgere, alene anvendes af virksomheder og private institutioner til at sende påmindelser, og at enhver anden kontakt med registrerede sker via krypterede e-mails.