Styrelse: CPR-oplysninger må ikke stå alene som legitimation

Kort fortalt

Styrelsen for Samfundssikkerhed beder myndigheder og virksomheder om ikke at bruge CPR-oplysninger alene som legitimation.

Baggrunden er den uautoriserede adgang til CPR-registret.

Styrelsen anbefaler MitID-login, engangskoder, kontrolspørgsmål og opkald til kendte numre.

For borgeren betyder det flere kontrolspørgsmål, og at CPR-nummeret ikke beviser noget alene.

Styrelsen for Samfundssikkerhed beder nu myndigheder, organisationer og virksomheder om at stramme deres identitetskontrol. Baggrunden er den uautoriserede adgang til CPR-registret. Opfordringen kom den 6. oktober i en meddelelse fra styrelsen.

Budskabet er enkelt: Et CPR-nummer, et navn og en adresse må ikke længere være nok til at få udleveret følsomme oplysninger.

Hvad styrelsen beder om

Styrelsen skriver, at der er behov for at gennemgå de processer, der bruges til at fastslå, hvem en borger er. Som udgangspunkt bør kontrollen bygge på andre oplysninger end dem fra CPR. Den bør heller ikke alene bygge på viden om tidligere kontakt mellem borgeren og myndigheden eller virksomheden.

"Myndigheder, organisationer og virksomheder bør skærpe deres fokus på situationer, hvor CPR-nummer, navn eller adresse bruges til at bekræfte borgerens identitet," skriver Styrelsen for Samfundssikkerhed.

Det gælder især, når der deles følsomme personoplysninger, eller når en henvendelse kan få økonomiske følger for borgeren.

Seks konkrete greb

Styrelsen nævner en række metoder, som kan bruges i stedet:

Borgeren kan sendes til et selvbetjeningssystem, hvor der logges ind med fx MitID.
Der kan sendes en engangskode til et telefonnummer eller en mailadresse, som allerede er registreret.
Kontrolspørgsmålene kan tage udgangspunkt i den konkrete relation. Det kan være et kundenummer, et aftalenummer eller den seneste faktura. Hos det offentlige kan det være en tidligere adresse eller et sagsforløb.
Medarbejderen kan ringe tilbage på et nummer, der i forvejen er registreret, i stedet for det nummer, borgeren selv oplyser.
Handler det om særlige ændringer med økonomisk eller sikkerhedsmæssig betydning, kan borgeren bedes møde op med legitimation.
Samme type ændringer kan få manuel kontrol eller en karensperiode.

Baggrund

Rådene kommer i forlængelse af sagen om uautoriseret adgang til CPR-registret. Styrelsen for Samfundssikkerhed hører under Ministeriet for Samfundssikkerhed og Beredskab. Den udgiver trusselsvurderinger, koordinerer den nationale krisestyring og informerer borgerne om hjemmeberedskab.

Hvad sker nu

Opfordringen er en anbefaling, ikke et påbud. Det fremgår ikke af meddelelsen, hvornår eller hvordan styrelsen følger op. Der står heller ikke noget om, hvor mange myndigheder og virksomheder der allerede har ændret deres kontrol.

For borgeren betyder rådene, at man i den kommende tid kan møde flere kontrolspørgsmål. Man kan blive ringet op på et kendt nummer eller blive bedt om at logge ind med MitID, når man kontakter en myndighed eller en virksomhed. Det er ikke et tegn på mistillid, men på at kontrollen virker.

Hvad betyder det for din husstand

Regn ikke med, at CPR-nummer, navn og adresse beviser, hvem der ringer til dig. - Styrelsen vurderer, at netop de oplysninger kan være lækket, og at de derfor ikke bør stå alene som legitimation.

Bliver du ringet op af nogen, der kender dine oplysninger, så læg på og ring selv tilbage på et nummer, du finder hos myndigheden eller virksomheden. - Det er samme princip, styrelsen anbefaler myndighederne: kontakt på et kendt nummer frem for det, der oplyses i samtalen.

Brug MitID-login, når du bliver tilbudt det, frem for at bekræfte dig selv med CPR-nummer over telefon eller mail. - Login i selvbetjening er styrelsens første anbefaling til sikker identifikation.

Tag det roligt, hvis en virksomhed stiller flere spørgsmål end før eller beder dig møde op med legitimation. - Det er styrelsens anbefalede fremgangsmåde ved ændringer, der kan have økonomisk eller sikkerhedsmæssig betydning.