UDFASNING AF CPR-NUMMERET Af Ivan Damgaard og Anette Høyrup I slutningen af 2013 kom Rådet for Digital Sikkerhed med en anbefaling om at udfase cpr-nummeret i sin nuværende form, således at det fremover ikke indeholder informatio ner om borgernes alder og køn. Formålet er at tilpasse cpr-systemet i forhold til den digitale udvikling og derved mindske risikoen for identitetstyveri. Det fremgår også af anbefalingen, at man aldrig bør autentificere en persons identitet alene på baggrund af cpr-nummeret. Selv om en persons cpr-nummer ikke er blevet direkte kompromitteret, er der stadig en betydelig risiko for, at nummeret kan gættes, hvis angriberen kender offerets fødselsdato og køn. Rådets melding kommer på baggrund af en markant stigning af danskere, som udsættes for identitetstyverier og et stigende antal sager, hvor myndigheder og virksomheder uforvarende kommer til at offentliggøre eller får hacket borgernes personnumre. For eksempel lykkedes det i 2012 for hackere at skaffe sig adgang til alle personnumre i politiets kørekortregister. Rådet for Digital Sikkerhed foreslår ændringerne af cpr- systemet indført i følgende trin over nogle år – og at ændringerne ses som et første skridt i retning af et fremtidigt nyt dansk system for digital identifikation, som i højere grad sikrer borgerne en rimelig og tidssvarende privatlivsbeskyttelse: • Trin 1: Tilbud om nyt personnummer til personer, der har været udsat for identitetstyveri, og hvor personnummeret er blevet kompromitteret på uoprettelig vis. • Trin 2. Borgere, som ønsker det, skal for et rimeligt gebyr selv kunne anmode om at få et nyt personnummer, der ikke indeholder oplysning om alder og køn.
• Trin 4: På længere sigt skal cpr-systemet afløses af et nyt digitalt identifikationssystem (eID), hvor både it-sikkerhed og privatlivsbeskyttelse skal indbygges fra start. Rådet mener desuden, at en revision af cpr-systemet skal følges op med nye generelle retningslinjer for digitale identifikation og autentificering, og at disse retningslinjer skal være på plads, inden der igangsættes udbud af en afløser for den nuværende NemID-løsning. Anbefalingen blev fremlagt på Forbrugerrådet TÆNKs Miniseminar om identitetstyveri i januar 2014, og løsningsforslaget indgik i Forbrugerrådet katalog over forslag til løsningsmodeller på identitetstyveri, som er blevet præsenteret for Digitaliseringsstyrelsens interessentforum for identitetstyveri. Interessentforum for identitetstyveri har primært været et vidensudvekslingsmøde, hvor Rådets konkrete forslag om udfasning af cpr-nummeret ikke har været genstand for diskussion, men blot fremlæggelse. På Digitaliseringsstyrelsens 6. møde om identitetstyveri i december 2014 oplyste Digitaliseringsstyrelsen, at de er ved at forbedre informationen om it-sikkerhed – herunder om identitetstyveri – på websitet borger.dk, og også at Digitaliseringsstyrelsen ønsker at deltage i kampagnearbejde om it-sikkerhed sammen med Rådet for Digital Sikkerhed. Der er imidlertid ingen der for nuværende arbejder aktivt videre med at styrke cpr-systemet gennem udfasning af informationen om alder og køn i personnummeret, som foreslået af Rådet for Digital Sikkerhed.
• Trin 3: Øvrige borgere tildeles nye personnumre uden oplysninger om alder og køn i takt med, at der udstedes nye sygesikringsbeviser, kørekort og pas.
Ivan Damgaard er professor i teoretisk datalogi og medlem af bestyrelsen for RfDS. Anette Høyrup er jurist ved Forbrugerrådet Tænk og medlem af bestyrelsen for RfDS.
12
DIGITAL SIKKERHED I DANMARK / 2014