Synspunkt: Gør CPR-registret til en telefonbog

Dette er et synspunkt. Indholdet udtrykker skribentens egen holdning, ikke Version2's.

Mandag kom nyheden om, at stort set alle danskeres CPR-numre er blevet lækket sammen med navne og adresser fra det centrale personregister. Digitaliseringsminister Christina Egelund har siden brugt sin tid på dels at beklage, dels at henvise borgerne til statens oplysningskanal mod identitetstyveri, sikkerdigital.dk. Det skriver Ask Foldspang Neve, ph.d. og senior manager i Ajeto, i et synspunkt på Version2.

Ifølge Neve er lækket kritisk, fordi CPR-numre — på trods af at de i praksis er bredt tilgængelige — behandles af stat, virksomheder og de fleste danskere som en hemmelighed. Det er et "mentalt dobbeltregnskab," skriver han, rundet af Danmarks tillidskultur. Problemet er, at et CPR-nummer kan bruges til at misbruge andres bankkonti eller udgive sig for en offentlig myndighed, for eksempel ved telefonsvindel. Som Digitaliseringsstyrelsen selv formulerer det: "Hvis kriminelle får fat på dit CPR-nummer eller NemID, kan de misbruge det til fx at hæve penge fra din konto, optage lån eller forskellige former for chikane."

Neve peger på, at CPR dermed sidestilles med MitID (tidligere NemID), selv om MitID er et reelt identifikationssystem med adgangskode og app, mens CPR "bare er en nøgle" — en måde at pege unikt på hver borger. Nummeret står trykt på sundhedskortet, som folk ofte taber, og bibliotekarer, sygeplejersker, sagsbehandlere og bankrådgivere har adgang til det. Alligevel giver selve kendskabet til nummeret i dag adgang til at handle på borgerens vegne, som var det et kodeord.

Dobbeltbogføringen har også retlige konsekvenser. Neve nævner en sag, DR dækkede i 2021: En dengang 54-årig kvinde fik i 2018 optaget et lån på 50.000 kroner i sit navn hos Bank Norwegian, efter en svindler havde fået hendes CPR-nummer. Banken forfulgte hende retligt i knap fire år — selv efter svindleren havde tilstået — med den begrundelse, at hun havde handlet groft uagtsomt ved at oplyse sit CPR-nummer. Først i 2020 nøjedes Østre Landsret med at kalde det simpel uagtsomhed og frifandt hende. Ifølge Neve har Bank Norwegian ikke lært af sagen: Man kan den dag i dag logge ind på bankens kundeservice uden MitID blot ved at oplyse CPR-nummer og modtage en sms-kode.

Han peger også på, at borger.dk's frivillige "kreditadvarsel"-markering på CPR-nummeret kun giver mening, hvis nummeret i forvejen fungerer som en lånenøgle — og at det er frivilligt for banker og virksomheder, om de overhovedet tjekker den.

Lækket er ifølge Neve ikke første gang. I 2014 slap 900.000 CPR-numre ud via den såkaldte Robinson-liste, efter en virksomhed vedhæftede et regneark med numrene i en mail til flere firmaer. I 2019 sendte en TastSelv-løsning, som DXC drev for Skat i knap fem år, 1,26 millioner CPR-numre til Google og Adobe.

Neves konklusion: CPR-numre er ikke hemmelige, har aldrig været det, og bør ikke have nogen plads i en sikkerhedsarkitektur — kun som borgernes unikke nøgle. Havde registret været behandlet sådan fra start, ville ugens læk ifølge ham svare til, at nogen havde lækket telefonbogen. Hans forslag er at gøre CPR-nummeret til fuld, offentlig viden — ligesom i en telefonbog, med navne- og adressebeskyttelse som eneste undtagelse — og afskaffe det som sikkerhedstrin hos banker, forsikringsselskaber og myndigheder inden for en fastsat frist.

Kilde: Version2.dk (Ingeniøren)