Myndigheder og virksomheder opfordres til skærpet identitetskontrol efter CPR-læk

Styrelsen for Samfundssikkerhed opfordrer myndigheder, organisationer og virksomheder til at gennemgå deres procedurer for identifikation og kontrol af borgeres identitet efter den uautoriserede adgang til CPR-registret.

Anbefalingen er især rettet mod situationer, hvor CPR-nummer, navn eller adresse bruges til at bekræfte en persons identitet. Ifølge styrelsen bør følsomme personoplysninger eller oplysninger, der kan få økonomiske konsekvenser for borgeren, ikke udleveres alene på baggrund af oplysninger fra CPR-registret.

I stedet bør identitetskontrollen som udgangspunkt baseres på andre oplysninger eller metoder end CPR-oplysninger og tidligere kontakt mellem borgeren og den pågældende myndighed eller virksomhed.

En mulighed er at henvise borgeren til et selvbetjeningssystem, hvor identiteten bekræftes med eksempelvis MitID. Der kan også sendes en engangskode til et telefonnummer eller en e-mailadresse, som allerede er registreret på borgeren.

Styrelsen anbefaler desuden kontrolspørgsmål, der ikke alene bygger på oplysninger, som kan være lækket. Virksomheder kan eksempelvis spørge efter kundenummer, aftalenummer eller seneste fakturanummer, mens offentlige myndigheder kan tage udgangspunkt i tidligere adresser eller oplysninger om seneste kontakt eller sagsforløb.

I andre tilfælde kan det være relevant at ringe tilbage til borgeren på et allerede registreret telefonnummer eller bede borgeren møde fysisk op med legitimation.

Endelig anbefales manuel kontrol eller en karensperiode ved ændringer, der kan have økonomisk eller sikkerhedsmæssig betydning.

Faktaboks

• Styrelsen for Samfundssikkerhed anbefaler skærpet identitetskontrol.
• Anbefalingen kommer efter uautoriseret adgang til CPR-registret.
• CPR-nummer, navn og adresse bør ikke stå alene ved identitetskontrol.
• MitID og engangskoder til allerede registrerede kontaktoplysninger nævnes som muligheder.
• Kontrolspørgsmål kan tage udgangspunkt i konkrete kunde- eller sagsoplysninger.
• Ved særlige ændringer kan fysisk fremmøde med legitimation være relevant.
• Manuel kontrol eller karensperiode anbefales ved økonomisk eller sikkerhedsmæssigt vigtige ændringer.