Hvad kan man med et CPR-nummer?

Hvad kan man med et cpr-nummer? Statistik og svindel

Sager om it-kriminalitet og misbrug af personoplysninger rammer mange borgere årligt og kan føre til store økonomiske tab. Forstå risiciene og lær, hvordan du beskytter dine data effektivt mod økonomisk svindel ved at læse mere om dine hvad kan man med et cpr-nummer muligheder.

Hvad bruges et CPR-nummer til, og hvornår er det reelt nødvendigt?

Dit CPR-nummer er kernen i din digitale identitet i Danmark, men anvendelsen afhænger fuldstændig af den specifikke kontekst. Der findes mange situationer, hvor du ifølge lovgivningen skal udlevere det, mens private aktører ofte beder om det uden en gyldrig grund. Hovedreglen er, at offentlige instanser og udvalgte private virksomheder bruger dit personnummer til entydig identifikation samt lovpligtig indberetning til myndigheder som Skat.

I hverdagen er der en række helt legitime scenarier, hvor du skal opgive de 10 cifre. Det gælder primært, når du er i kontakt med det offentlige sundhedssystem, herunder hospitaler og praktiserende læger, eller når du starter i et nyt job, så din arbejdsgiver kan udbetale løn.

Private virksomheder som banker, forsikringsselskaber og el- eller naturgasselskaber har også lovligt krav på det, hvis der er tale om løbende mellemværender, eller hvis du skal låne penge. Endelig bruges det i specifikke forbrugersituationer - for eksempel hvis du skal bestille et personligt Rejsekort, have lavet en synsprøve hos en optiker, eller oprette en mundtlig Betalingsserviceaftale over telefonen.

Undersøgelser af danskernes digitale adfærd viser, at it-kriminalitet som identitetstyveri og misbrug af personoplysninger rammer omkring 4,1% af befolkningen mellem 16 og 74 år årligt. Det svarer til cirka 189.000 personer, som oplever den store frustration, det er at få kompromitteret sine data.

Selvom et hvad kan man med et cpr-nummer i sig selv sjældent er nok til, at kriminelle kan optage kviklån eller købe dyre varer på kredit online, fungerer det som en vigtig brik i puslespillet, hvis det tabes sammen med andre id-papirer som kørekort eller sundhedskort. Data viser, at ofre for denne type svindelsager ofte taber betydelige beløb, og for mange løber det økonomiske tab op i endnu større summer.^[3]

Hvem må bede om dit CPR-nummer i den private sektor?

regler for cpr nummer private virksomheder er strengt reguleret af databeskyttelsesloven, og her opstår der tit gråzoner. En privat forretning eller webshop må ikke indsamle dit CPR-nummer blot fordi det er praktisk eller nemt at administrere i deres kundesystem. Der skal være en legitim og tvingende nødvendighed til stede. Lovgivningen slår fast, at private må behandle oplysningen, hvis det direkte følger af anden lovgivning, hvis du giver udtrykkeligt samtykke, eller hvis det er af afgørende betydning for en entydig identifikation ved løbende økonomiske mellemværender.

Forståelsen af disse hvad bruges cpr nummer til afhænger af den præcise situation. Hvis du blot køber en t-shirt på nettet, kan butikken sagtens identificere dig via navn, adresse og e-mail. Her er kravet om CPR-nummer ulovligt. Men opretter du et mobilabonnement eller skifter elselskab, hvor der sker løbende fakturering og potentiel kreditvurdering, ændrer billedet sig. Virksomheden har her et sagligt formål. Men husk, at du altid har ret til at spørge præcis, hvilken lov eller hvilket administrative hensyn, der berettiger dem til at kræve dit personnummer. Du kan altid sige nej, men konsekvensen kan være, at de afviser at oprette dig som kunde.

Mange forveksler CPR-nummeret med en decideret følsom personoplysning i forhold til GDPR-reglerne. Ifølge Datatilsynet er er cpr nummer en følsom oplysning juridisk set en fortrolig oplysning med særskilt national regulering, og ikke en følsom kategori som for eksempel helbredsoplysninger eller politisk overbevisning. Beskyttelseskravet er dog stort set lige så højt. Siden 2019 har det været et ufravigeligt krav, at alle private virksomheder skal kryptere e-mails, som sendes til eksterne modtagere, hvis de indeholder enten følsomme eller fortrolige oplysninger som et CPR-nummer. Det sikrer, at dine data ikke kan opsnappes som ren tekst på internettet.

Tjekliste: Hvornår skal du sige nej eller være ekstra påpasselig?

Det er afgørende at kende dine rettigheder, så du ikke deler dine personlige oplysninger unødigt. Private virksomheder overtræder af og til markedsføringsloven ved at give uklare eller misvisende forklaringer på, hvorfor de skal bruge dine data.

Brug denne simple tjekliste til at vurdere situationen i hverdagen: Almindelig nethandel: En webshop må aldrig kræve dit CPR-nummer ved køb af standardvarer som tøj, elektronik eller mad. Ukrypteret e-mail eller SMS: Send aldrig dit fulde personnummer via almindelig mail eller beskedtjenester.

Hvis en virksomhed beder om det på denne måde, bør du afvise det. Boligsøgning på uofficielle portaler: Private udlejere på sociale medier eller uregulerede platforme har ingen ret til dit CPR-nummer under en indledende dialog eller fremvisning. Telefonopkald du ikke selv har startet: Hvis en person ringer og påstår, de er fra din bank, forsikring eller en myndighed, og beder om dit personnummer eller MitID, skal du lægge på. Det er et klassisk svindelforsøg (phishing).

For to år siden stod jeg i en situation, hvor jeg skulle tilmelde mig et lokalt fitnesscenter. Onlineregistreringen blokerede fuldstændig, medmindre jeg indtastede mit CPR-nummer. Jeg blev ret irriteret - thilmeldingen krævede ikke Betalingsservice, da jeg ville betale med betalingskort månedligt. Jeg lukkede vinduet med det samme. Dagen efter mødte jeg op i centret og konfronterede personalet. Det viste sig, at it-systemet bare var sat op på den måde af gammel vane for at undgå dubletter i kartoteket. De oprettede mig manuelt uden personnummer på under to minutter. Det lærte mig, at systemers dovenskab aldrig bør diktere din datasikkerhed.

Hvis du vil beskytte dig selv mod, at kriminelle misbruger dine stjålne eller lækkede oplysninger til økonomisk svindel, kan du oprette en såkaldt kreditadvarsel direkte på borger.dk. Mange danskere benytter allerede dette digitale forsvar. ^[4] En kreditadvarsel indsætter en markering i CPR-registret, som øjeblikkeligt advarer banker og finansieringsselskaber om, at de skal være ekstremt grundige med identitetskontrollen, før de godkender nye lån eller kreditkøb i dit navn.

Hvornår er det lovligt eller ulovligt at kræve CPR-nummer?

Klart lovlige krav

• Banker, arbejdsgivere, elselskaber, teleselskaber (ved abonnement), offentlige myndigheder og lægehuse.
• Lovkrav om skatteindberetning, hvidvaskkontrol eller nødvendighed ved løbende økonomiske mellemværender.
• Virksomheden kan lovligt afvise at udbetale løn, oprette abonnementet eller yde lånet.

Ulovlige eller unødvendige krav

• Almindelige webshops, hotelbooking, jobansøgninger (før ansættelse) og uforpligtende tilbud.
• Overtræder databeskyttelseslovens krav om, at identifikation skal kunne klares med mindre indgribende midler.
• Du er i din fulde ret til at klage til Datatilsynet, hvis en webshop nægter et salg pga. manglende CPR-nummer.

Mettes kamp mod en ukrypteret udlejer

Mette, en 24-årig studerende i Aarhus, fandt sit drømmeværelse gennem en privat udlejer på en online portal. Udlejeren krævede hendes CPR-nummer sendt via en almindelig SMS for at udfærdige lejekontrakten, hvilket gjorde hende utryg.

Først forsøgte Mette bare at sende de første seks cifre. Udlejeren afviste dog pure og skrev, at kontrakten ikke kunne laves uden de sidste fire tal, og truede med at give værelset til en anden.

Mette nægtede at sende det over SMS. I stedet foreslog hun at mødes fysisk for at skrive under, eller at udlejeren sendte en sikker, digital signaturløsning til hende.

Udlejeren indvilligede i at mødes personligt på jernbanestationen. Kontrakten blev underskrevet sikkert, og Mette lærte, at man altid skal stå fast på ikke at sende fortrolige cifre over usikre kanaler.