27 virksomheder abonnerer på danskeres CPR-numre: Direktør stiller skarpt spørgsmål

Efter nyheden om det store CPR-læk loggede Lars Neupart, adm. direktør i sikkerhedsfirmaet Resiliate, ind på borger.dk og undersøgte sin "Registerindsigt". Det han fandt, overraskede ham: CPR-kontoret sælger data videre til abonnenter - og i hans eget tilfælde er det 27 konkrete virksomheder, der har fået adgang til at abonnere på hans personnummer.

I et debatindlæg på Version2 rejser Neupart en række spørgsmål til, hvad CPR-registret egentlig gemmer og deler. Han peger på, at myndighederne opbevarer langt mere om borgerne, end de fleste forventer - blandt andet hvor voksne boede som børn, datoer for skift af folkekirkestatus og ægteskabelig status i mange flere år end nødvendigt, samt levende og afdøde forældres personnummer gemt på deres børns profil og omvendt.

"Ville det ikke være rimeligt, hvis man kun indsamlede strengt nødvendige data om borgerne, og at data kun må deles med andre, hvis borgeren har accepteret det - samt at borgeren efterfølgende nemt kan trække sit samtykke tilbage?" skriver Neupart, der blandt andet har fundet markedsføringsmateriale fra en virksomhed med personnummer-abonnement på ham, en data- og analysevirksomhed med speciale i B2C-markedsanalyse og forbrugersegmentering.

Problemet stopper ifølge Neupart ikke ved de 27 virksomheder. Ifølge hans eget selskabs leverandøranalyser har de 27 virksomheder tilsammen 609 direkte, offentligt kendte it-leverandører - en kæde, der potentielt giver mange flere parter adgang til data om ham og op til 8,8 millioner andre danskere.

Neupart bemærker, at det nye store CPR-læk ikke blev opdaget af overvågning, men på grund af en usædvanligt stor faktura for dataudtræk. Han peger desuden på, at det efter hans oplysninger er den samme CPR-leverandør, der heller ikke opdagede, da alle danskere med kørekort fik lækket deres personnummer i 2012.

Han mener, CPR-kontoret må have et ansvar for, hvem de giver adgang, og for at kontrollere leverandørernes sikkerhed - statslige styrelser skal efter hans oplysninger efterleve både ISO27001 og NIS2, som begge kræver risikobaseret leverandørstyring. Neupart rejser også spørgsmålet om digital suverænitet: om leverandører af kritiske systemer med store mængder danske persondata bør kunne være ejet uden for Danmark eller EU.

"Jeg synes, det er relevant at drøfte, hvor meget data det er rimeligt, at myndighederne får lov til at gemme om os, og hvem de må dele det med. De kan ikke beskytte det tilstrækkeligt - det ved vi nu!" skriver han.

Kilde: Version2 (Lars Neupart, holdning)
https://www.version2.dk/holdning/27-virksomheder-abonnerer-paa-mit-personnummer-hvorfor-maa-cpr-give-saadan-en-adgang