CPR-nummeret er ikke problemet – den manglende overvågning er

Når uvedkommende kan hente navne, adresser og CPR-numre på 8,8 millioner mennesker gennem en lovlig adgang, er det ikke sikkerheden omkring selve CPR-nummeret, der bør stå for skud. Det bør derimod overvågningen af, hvordan adgangen til CPR-registret bliver brugt. Sagen rejser spørgsmål, som både databranchen og myndighederne bør tage alvorligt.

Hvad er der sket?

Ifølge Forsknings-, Uddannelses- og Digitaliseringsministeriet har uvedkommende misbrugt en dansk virksomheds lovlige adgang til CPR-systemet. Dermed har de fået fat i navne, adresser og CPR-numre på ca. 8,8 millioner registrerede personer – levende, udrejste og døde. CPR rummer i alt ca. 11 millioner personer.

Personer med navne- og adressebeskyttelse er ifølge ministeriet ikke omfattet. CPR-administrationen har lukket virksomhedens adgang og anmeldt sagen til Datatilsynet, og politiet efterforsker. Ministeren har bestilt en grundig sikkerhedsgennemgang af CPR-systemet.

CPR-administrationen blev fredag den 2. oktober opmærksom på, at der havde været uregelmæssig adfærd i systemet flere dage i løbet af september.

Hvorfor tog det så lang tid at opdage?

Opslag på 8,8 millioner personer er ikke en lille afvigelse, der gemmer sig i støjen. En almindelig erhvervskunde med et legitimt formål – for eksempel at opdatere adresser på sine egne kunder – slår op på et begrænset og nogenlunde stabilt antal personer.

Når en enkelt virksomheds adgang pludselig bruges til at trække oplysninger på millioner af personer, bør det udløse en hurtig alarm.

CPR-nummeret er ikke problemet – se bare til Sverige

Debatten vil hurtigt komme til at handle om, at danskernes CPR-numre nu er ”lækket”. Men CPR-nummeret er ikke en hemmelighed, og det bør det heller ikke være. Det er et identifikationsnummer, ikke en adgangskode.

I Sverige er personnummeret omfattet af offentlighedsprincippet. Oplysningerne i folkeregistret hos Skatteverket er offentlige, og som udgangspunkt kan enhver bede om at få udleveret en persons navn, personnummer og adresse – medmindre personen har beskyttet folkeregistrering. Svenskerne lever altså i forvejen i en virkelighed, hvor nummeret er lige så tilgængeligt som nummerpladen på bilen.

Det fungerer, fordi det svenske samfund er indrettet efter, at nummeret er kendt. Tre eksempler:

• Nummeret giver ikke adgang til noget. Når man skal identificere sig over for banker, myndigheder og virksomheder, sker det med BankID eller fysisk legitimation – ikke ved at oplyse sit personnummer. At kende nummeret er ikke det samme som at være personen.
• Borgeren får besked, når nogen slår op. Efter den svenske kreditoplysningslov skal en person automatisk og gratis have skriftlig besked, når der indhentes en kreditoplysning om vedkommende – herunder hvem der har bestilt den. Den, der bestiller, skal desuden have et legitimt behov. Forsøger en svindler at optage lån i ens navn, opdager man det med det samme.
• Myndighederne tjekker ændringer aktivt. Skatteverket sender brev til dem, der allerede bor på en adresse, når nogen anmelder flytning dertil. Alene i 2024 blev 12.878 formodet forkerte folkeregistreringer stoppet på den måde, før de blev registreret.

Sverige er ikke fri for identitetstyveri. Men det svenske eksempel viser, at sikkerheden ikke ligger i at holde CPR-nummeret hemmeligt. Den ligger i, hvordan nummeret bruges – og i, at misbrug opdages hurtigt.

Hvad Danmark bør lære af sagen

Vi har i Danmark i årevis behandlet CPR-nummeret som en halv hemmelighed. Mange virksomheder bruger det stadig som en slags bevis på, at man er den, man udgiver sig for. Det er her, sårbarheden ligger – ikke i selve CPR-nummeret.

Vi mener, at sagen bør føre til fire ting:

1. Løbende overvågning af CPR-adgange. Alle adgange til CPR – både myndigheders og virksomheders – bør overvåges automatisk for usædvanlige mønstre, så eventuelt misbrug stoppes så hurtigt som muligt.
2. Faste lofter over antal opslag. Ingen adgang bør teknisk kunne bruges til at trække oplysninger på millioner af personer. Lofterne bør afspejle det konkrete, legitime behov.
3. CPR-nummeret må aldrig være en nøgle. Virksomheder og myndigheder bør stoppe med at bruge CPR-nummeret som identifikation. Til det har vi MitID.
4. Borgeren skal kunne se, hvem der slår op. Ligesom i Sverige bør danskerne have indsigt i, hvem der har hentet oplysninger om dem.

Dagens sag er alvorlig, og den rammer millioner af danskere. Men løsningen er ikke at give alle danskere et nyt CPR-nummer – eller at gøre CPR-nummeret til en endnu større hemmelighed.

Har du spørgsmål til, hvordan BiQ sikrer adgangen til eksterne datakilder, er du velkommen til at kontakte os på [email protected].