Er CPR-nummeret en følsom oplysning? CPR-nummer og GDPR

Er CPR-nummer en følsom personoplysning?

Nej. “Følsomme personoplysninger” er en lukket liste i databeskyttelsesforordningens (GDPR) artikel 9: race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmedlemskab, genetiske og biometriske data, helbred og seksuelle forhold. CPR-nummeret står ikke på listen.

Det betyder ikke, at CPR-nummeret er en almindelig oplysning som et navn eller en arbejdsmail. Danmark har brugt muligheden i GDPR artikel 87 for at fastsætte særlige regler for nationale identifikationsnumre. Det er databeskyttelseslovens § 11.

Hvad siger databeskyttelseslovens § 11?

§ 11 skelner mellem offentlige myndigheder og private. For virksomheder, foreninger og andre private gælder stk. 2: I må behandle CPR-numre, når

1. det følger af lovgivningen (fx indberetning af løn til Skattestyrelsen),
2. den registrerede har givet samtykke efter GDPR artikel 7,
3. behandlingen alene sker til videnskabelige eller statistiske formål, eller hvis der er tale om videregivelse, når det er et naturligt led i den normale drift af virksomheder af den pågældende art, og videregivelsen er af afgørende betydning for en entydig identifikation af den registrerede, eller den kræves af en offentlig myndighed, eller
4. betingelserne i § 7 er opfyldt (de danske regler for følsomme oplysninger, fx når behandlingen er nødvendig for at et retskrav kan fastlægges, eller for at overholde arbejdsretlige forpligtelser).

Og stk. 3: CPR-numre må ikke offentliggøres uden samtykke. En fil med CPR-numre, som “alle med linket” kan åbne, er ikke nødvendigvis offentliggjort, men den er tæt på, og det er præcis den slags risiko, GDPR’s krav om passende sikkerhed (artikel 32) handler om.

Er CPR-nummer fortroligt?

Ja, i praksis. “Fortrolige oplysninger” er ikke en kategori i selve loven, men Datatilsynet bruger begrebet om oplysninger, der kræver ekstra beskyttelse, og nævner personnummeret som eksempel på en fortrolig personoplysning. Det har konkrete konsekvenser:

• Fortrolige og følsomme oplysninger skal som udgangspunkt krypteres, når de sendes med e-mail over internettet (mindst TLS 1.2).
• Kunder bør ikke bedes om at sende deres CPR-nummer på SMS.
• Adgangen til filer og systemer med CPR-numre bør begrænses til dem, der har brug for den.

Et eksempel: Nuuday fik alvorlig kritik

I 2022 gav Datatilsynet Nuuday (YouSee) alvorlig kritik, fordi en medarbejder bad om en kundes CPR-nummer, da kunden blot ringede for at høre, om der var bredbånd på adressen. Virksomheden havde hverken formål eller hjemmel efter § 11. Læren for en mindre virksomhed: spørg kun om CPR-nummer, når I faktisk har brug for det og har hjemmel, og lær medarbejderne det.

Hvad betyder det for din virksomhed?

• Kend jeres hjemmel. Løn og indberetning til det offentlige er typisk lovpligtigt. Medlemslister, kundelister og tilmeldinger er det sjældent.
• Saml så lidt som muligt. Brug fødselsdato eller et kundenummer, hvis det er nok.
• Find de gamle kopier. Det er sjældent lønsystemet, der er problemet. Det er eksporten fra 2019, der ligger i en delt mappe.
• Beskyt resten. Kryptér, begræns adgangen og slet, når formålet er opfyldt.

Tjek en fil for CPR-numre, uden at den forlader din computer.

Ikke juridisk rådgivning: artiklen er generel information og erstatter ikke en vurdering af jeres konkrete situation. Spørg en advokat eller jeres databeskyttelsesrådgiver, hvis I er i tvivl.