В JWT кладут отдел, роль и почту сотрудника, считая, что токен зашифрован. Он не зашифрован

[vlad_gatsenko]

Вот тут можно быстро посмотреть все данные по токену: jwt.io

[Andy_U]

Или локально: https://pypi.org/project/jwt/

[Cordekk]

Всегда конфиденциальность информации нарушается ленью.

[eoanermine]

Забыли написать, что JWT-токены можно шифровать (RFC 7516 JSON Web Encryption).