Råd: Vi skal alle have nye cpr-numre

Efter 45 år er vores cpr-nummersystem udtjent og lever ikke op til sikkerhedskravene i vores digitaliserede verden.

Derfor skal vi have et nyt system, hvor alle danskere over en årrække får et cpr-nummer, som er renset for personlige oplysninger, der kan misbruges.

Sådan lyder det i et forslag fra Rådet for Digital Sikkerhed.

"Vi skal mindske risikoen for, at det kan misbruges, og det skal udformes, så vores private oplysninger kun videregives, når der reelt er behov for det. Ofte er der slet ikke brug for at oplyse alder og køn, og derfor skal de oplysninger fjernes fra selve personnummeret," forklarer formanden for Rådet for Digital Sikkerhed, Birgitte Kofod Olsen, som siger, at det gamle cpr-system dermed vil komme på højde med "hvad der nu er god skik, når man designer nye it-systemer."

Sådan knækkes dit password på 0,1 sekund

Råd: "Usund kultur"

Rådsformanden siger, at der har udviklet sig en "usund kultur" omkring cpr-systemet.

"Desværre ser vi også alt for mange eksempler på virksomheder og offentlige myndigheder, som fortsat modtager og afgiver personfølsomme oplysninger, blot man oplyser et personnummer. Det går ikke. Med mindre man i forvejen kender modparten, er legitimation noget, som foregår med enten kørekort eller pas. Når transaktionerne er digitale, skal det ske via NemID eller andre tilsvarende løsninger," siger Birgitte Kofod Olsen i en pressemeddelelse.

Cpr-numre renses for følsom info

Rådets forslag går på, at fremtidens cpr-numre i løbet af en årrække renses for informationer om borgernes alder og køn.

Sideløbende skal der sættes ind med en kampagne, som skal give tryghed til den offentlige digitalisering og vænne danskerne til, at personnumre ikke er mere hemmelige end et navn.

De personlige oplysninger ligger fremover i kørekort, pas, NemID eller andre nye digitale id-løsninger, siger Rådet for Digital Sikkerhed.

Mange indentitetstyverier

Forslaget fra rådet kommer efter de senere års vækst i antallet af identitetstyverier, hvor danskere har fået deres personlige oplysninger misbrugt - enten fordi deres cpr-numre er blevet hacket, eller fordi myndigheder og virksomheder uforvarende er kommet til at offentliggøre deres personnumre.

Det seneste større eksempel stammer fra 2012, da hackere skaffede sig adgang til alle personnumre i politiets kørekortregister, som rummer flere millioner danskere.

Sådan skal det gennemføres

Rådet for Digital Sikkerhed foreslår, at CPR-nummersystemet ændres i følgende rækkefølge over en årrække:

Trin 1: Tilbud om nyt personnummer til personer, der har været udsat for identitetstyveri, og hvor personnummeret er blevet kompromitteret på uoprettelig vis.

Trin 2. Borgere, som ønsker det, skal for et rimeligt gebyr selv kunne anmode om at få et nyt personnummer, der ikke indeholder oplysning om alder og køn.

Trin 3: Alle øvrige borgere tildeles nye personnumre uden oplysninger om alder og køn i takt med at der udstedes nye sygesikringsbeviser, kørekort og pas.

Trin 4: På længere sigt skal CPR-systemet afløses af et nyt digitalt identifikationssystem, hvor både it-sikkerhed og privatlivsbeskyttelse skal indbygges fra start.

Rådet mener, at en revision af cpr-systemet skal følges op med nye generelle retningslinjer for digitale identifikation og autentificering. Disse retningslinjer skal være på plads, inden der i 2015 igangsættes udbud af en afløser for den nuværende NemID-løsning.