Et CPR-nummer er en entydig nøgle til en person, og det er præcis derfor, det er reguleret særskilt. Reglerne for private står i databeskyttelseslovens § 11 og gælder oven i de almindelige regler i GDPR. At have et lovligt behandlingsgrundlag efter artikel 6 er altså ikke nok i sig selv.
De fire tilfælde i § 11, stk. 2
Private må behandle CPR-numre, når det følger af lovgivningen, når den registrerede har givet samtykke, når det sker til videnskabelige eller statistiske formål, eller når en videregivelse er et naturligt led i normal drift og af afgørende betydning for entydig identifikation.
Bemærk ordene i det sidste tilfælde. Der står afgørende betydning, ikke praktisk. En webshop, der beder om CPR-nummer for at holde styr på sine kunder, kan næsten altid opnå det samme med en kundekonto og en e-mailadresse, og så er kravet ikke opfyldt. § 11, stk. 3 forbyder desuden at offentliggøre nummeret uden samtykke.
To afgørelser der viser linjen
Datatilsynet udtalte 16. februar 2022 alvorlig kritik af Nuuday, j.nr. 2020-31-4333, for uberettiget at have indsamlet et CPR-nummer under en telefonsamtale. Der var hverken et formål eller et behandlingsgrundlag efter § 11, stk. 2. Sagen handlede om ét nummer og én samtale.
Den anden er afgørelsen af 15. november 2023 mod Digitaliseringsstyrelsen om det digitale kørekort. Der blev behandlet oplysninger om cirka 2,2 mio. kørekortindehavere, selv om kun cirka 1,7 mio. brugte løsningen. Det var i strid med dataminimering, og der kom påbud om sletning med fire ugers frist.
Et hashet CPR-nummer er ikke anonymt
Det er en udbredt misforståelse, at man slipper ud af reglerne ved at hashe nummeret, før det bliver gemt. Hashing beskytter kun, når inputrummet er stort og uforudsigeligt. Et CPR-nummer har formen DDMMÅÅ-XXXX og et lille, kendt og fuldt opregneligt rum, så en angriber kan hashe hele rummet og slå op i sin egen tabel. Et salt hjælper mod forudberegnede tabeller, men ikke mod en angriber, der kender saltet, og det ligger ofte i den samme database.
Juridisk er et hashet CPR-nummer derfor en pseudonymisering. Det er stadig en personoplysning.
Når nummeret alligevel skal bruges
Der er tilfælde, hvor loven kræver det. Hvidvasklovens § 11 siger, at identitetsoplysninger for personer er navn og CPR-nummer, eller fødselsdato hvis der ikke findes et CPR-nummer. Er man omfattet af KYC-reglerne, er nummeret altså ikke til diskussion. Skal man bare vide, om en kunde er gammel nok, er det en helt anden situation, og der findes flow, hvor nummeret aldrig forlader kilden.