Margrethe Vestager (RV), 2013-05-22:
Vi behandler i dag et beslutningsforslag fra Dansk Folkeparti om en styrket beskyttelse af personnummeret.
Forslaget går nærmere ud på, at personer, som har været udsat for misbrug af deres personnummer, skal have mulighed for at skifte personnummer, altså få et nyt.
Derudover er det forslagsstillernes opfattelse, at regeringen skal tage initiativ til at fremtidssikre personnummerregisteret mod hackning.
Det korte svar til forslagsstillerne er, at vi deler de hensyn, som vi tillægger forslagsstillerne, og tager hånd om problemstillingen.
For vi har allerede annonceret, at vi i den kommende folketingssamling, altså i næste folketingssamling, vil forsøge at tilvejebringe lovhjemmel til, at personer, som har været udsat for misbrug af deres personnumre, i helt særlige tilfælde kan få et nyt.
Det at hjælpe ofre for identitetsmisbrug er noget, som ligger os meget på sinde.
Jeg tror imidlertid, det er vigtigt at understrege, at der ikke er nogen nem løsning, når man er offer for den slags kriminalitet, og derfor er det vigtigt at finde ud af, hvordan vi yder den hjælp, der er behov for.
Desværre er tildelingen af et nyt personnummer ikke altid en egnet løsning.
Det tror jeg er en overset del af diskussionen, og jeg håber, at vi kan komme ind på det i dag.
Når der ikke er grund til at tro, at det sådan i al almindelighed vil hjælpe at tildele et nyt personnummer, skyldes det først og fremmest, at det ikke i alle tilfælde er ude hos de erhvervsdrivende, at der foretages den rigtige form for identitetskontrol, eller at identitetskontrollen blot er baseret på navn, adresse og personnummer.
Når der ikke foretages den nødvendige identitetskontrol, kan misbruget fortsætte ved brug af det gamle personnummer, uanset hvor mange nye personnumre offeret tildeles.
Derfor agter regeringen også at reservere denne løsning til særlige tilfælde, nemlig de tilfælde, hvor det faktisk kan hjælpe den person, hvis identitet er blevet misbrugt, at få et nyt personnummer.
Det kræver, at et nyt personnummer i det enkelte tilfælde kan forhindre yderligere misbrug.
Vi taler med andre ord ikke om en ordning, hvor tildelingen af et nyt personnummer bliver almindeligt forekommende.
Og da det er en grænseoverskridende og særdeles krænkende form for kriminalitet, er det vigtigt, at det ikke bliver en falsk tryghed, men en reel tryghed.
Dermed jo også sagt, at det er vigtigt for regeringen at slå fast, at det at bekæmpe identitetsmisbrug kræver mere end at fokusere på personnummeret alene.
Det involverer politiet i forhold til at opklare og forebygge de forbrydelser, der er forbundet med misbruget – det er helt almindeligt bedrageri i hele dets udstrækning – men det involverer i sagens natur også andre myndigheder, den enkelte borger, relevante virksomheder og deres brancheorganisationer.
Foruden den politimæssige indsats er der således iværksat en række initiativer på området.
Først og fremmest har vi taget initiativ til, at spørgsmålet om den nødvendige identitetskontrol ved køb på internettet rejses over for de relevante virksomheder og brancheorganisationer.
Erhvervsministeren har ved brev af 22. april i år skrevet til teleindustrien, de største teleselskaber, Dansk Erhverv og Dansk Industri og opfordret til, at identitetskontrollen i erhvervsvirksomheder tages alvorligt og indrettes sådan, at risikoen for identitetsmisbrug bliver langt, langt mindre.
Der er peget på, at der er virksomheder, som ikke anvender nødvendige sikkerhedsforanstaltninger, men alene baserer deres identitetskontrol på et oplyst navn, en adresse og et personnummer uden at tjekke validiteten grundigt, f.eks. ved at en validering af cpr-nummeret kombineres med et krav om samtidig anvendelse af betalingskort eller NemID.
Netop et krav om samtidig anvendelse af betalingskort til hel eller delvis betaling eller NemID er efter min opfattelse den rigtige vej at gå.
Jeg håber og tror, at vi har en fælles interesse i at undgå identitetsmisbrug.
Det skaber mistillid til nethandel, og det skaber også mistillid til virksomheders brug af oplysninger, og det er jo sådan set det, virksomheder bl.a. skal leve af.
Derfor har jeg også tillid til, at de relevante virksomheder og brancheorganisationer tager det lige så alvorligt, som vi gør, for at sikre, at identitetskontrollen bliver god nok.
Derfor er det også min opfattelse, at vi skal lade eventuelle lovinitiativer afvente, at virksomhederne selv på baggrund af erhvervsministerens henvendelse tager affære i denne sag.
Sker det ikke, er vi i sagens natur helt klar til at se på, om forbrugerbeskyttelsen er god nok for ofre for identitetsmisbrug, herunder om vi kan gøre mere over for de virksomheder, som ikke foretager den nødvendige kontrol af identiteten.
Det er et led i regeringens forbrugerpolitiske eftersyn, at der skal ske en strukturering og en effektivisering af den måde, der bliver rådgivet på, når det handler om misbrug af identitet og om identitetstyveri.
Det arbejde er forankret i Digitaliseringsstyrelsen, hvor der er oprettet et forum af interessenter.
Her deltager en række offentlige og private organisationer og virksomheder, herunder selvfølgelig Justitsministeriet, Datatilsynet, Rigspolitiet, Danmarks Tekniske Universitet, Forbrugerrådet og Det Kriminalpræventive Råd, for at nævne nogle af de vigtigste.
Digitaliseringsstyrelsen har oplyst, at det er hensigten, at erfaringen fra det forum af interessenter skal anvendes til at samle, til at skabe struktur og til at udbygge den information og rådgivning om identitetstyveri, der i dag findes spredt på forskellige offentlige og private hjemmesider.
Til det formål vil Digitaliseringsstyrelsen her i år lancere en samlet portal om identitetstyveri eller måske snarere om, hvordan man forebygger, at det sker.
På nuværende tidspunkt kan vejledning om forebyggelse af identitetsmisbrug samt rådgivning til personer, som er udsat for misbrug, bl.a. findes på Digitaliseringsstyrelsens hjemmeside.
Rigspolitiet, Det Kriminalpræventive Råd og Digitaliseringsstyrelsen har f.eks. udarbejdet ti gode råd til at undgå identitetstyveri, som er blevet gjort tilgængelige på en række forskellige hjemmesider.
Der har også i den årlige kampagne »Netsikker.nu«
På det seneste har der også været fokus på sikkerheden omkring CPR-systemet og personnummeret som sådan.
Jeg vil meget gerne også over for forslagsstillerne anerkende, at vi deler interessen for sikkerheden omkring CPR.
Dermed jo også være sagt, at vi er lige så optaget af det som forslagsstillerne, men når man ser på den måde, som CPR håndteres på, må man sige, at der er en meget høj grad af sikkerhed omkring CPR-systemet.
CPR er underlagt persondatalovens sikkerhedskrav og sikkerhedsbekendtgørelsen.
Der er med it-leverandøren CSC Danmark indgået en skriftlig databehandleraftale til sikring af, at både persondataloven og sikkerhedsbekendtgørelsen iagttages.
Informationssikkerheden omkring CPR-systemet er baseret på en it-sikkerhedsstandard, som hedder DS 484.
Den gælder for hele staten.
Den standard er virkeliggjort for CPR-systemet, bl.a. ved at CSC Danmark er kontraktligt forpligtet til at efterleve de relevante dele af denne standard.
CPR-kontoret sørger med jævne mellemrum for, at en ekstern it-revisionsvirksomhed reviderer, om det så faktisk også er tilfældet.
Altså, gør CSC det til virkelighed?
CPR-kontoret følger op på, om eventuelle svagheder og anbefalinger, som revisionsvirksomheden påpeger, så også bliver opfulgt netop for at sørge for, at den kontraktlige forpligtelse, vi har, bliver til virkelighed og ikke bliver til noget på et stykke papir.
Rigsrevisionen gennemgik i 2011 it-sikkerheden i Indenrigs- og Sundhedsministeriet, og dengang vurderede Rigsrevisionen, at it-styringen af CPR-registeret var tilfredsstillende.
Som driftsleverandør for CPR-systemet overvåger CSC Danmark løbende internettrafikken og iværksætter nødvendige sikkerhedsforanstaltninger i forhold til det til enhver tid herskende trusselsbillede
Det synes jeg sådan set er værd at hæfte sig ved, når man ser på, hvor det ellers er lykkedes for hackere at komme ind, og det er som sagt ikke, fordi der ikke gøres forsøg på at hacke systemet.
Det er bare ikke sket siden oprettelsen i 1968, og jeg skal hilse og sige, at det er meget længe siden, for det var det år, jeg blev født.
Overvågningen sker i et tæt samarbejde med GovCERT, som løbende vurderer det it-sikkerhedsmæssige risikobillede for statens anvendelse af internettet og også varsler myndigheder, om der er trusler, som er baseret på internettet.
Ud over GovCERT samarbejder CSC på området også med politiets it-efterforskningscenter, NITEC, og PET.
Så langt så godt.
For det betyder jo, at selv om fundamentet er godt og sikkert, skal der arbejdes videre.
I CPR-administrationens resultatkontrakt for 2013 er der indsat et krav om, at CPR-administrationen skal udarbejde en handlingsplan for, hvordan CPR-administrationen vil sikre en kontinuerlig maksimering af sikkerheden for CPR-systemet.
Økonomi- og Indenrigsministeriet deltager også i en tværministeriel arbejdsgruppe nedsat af regeringen, som har til opgave at gennemføre en analyse af personregistreringen i Danmark.
Analysen skal bl.a. indeholde en nærmere beskrivelse af, hvilke sikkerhedsudfordringer der kan følge af den måde, registrering af grunddata om personer i dag er indrettet på, herunder bl.a. cpr-nummeret og CPR-registerets opbygning.
Den analyse skal efter planen være færdig her til efteråret.
Dermed jo også være sagt, at jeg deler forslagsstillernes optagethed af spørgsmålet, for det er afgørende, at CPR er sikkert.
Men jeg deler til gengæld ikke bekymringen, fordi der som sagt bliver gjort en lang række ting ikke alene for at sikre fundamentet, men også for fremadrettet at sørge for, at sikkerheden omkring CPR-systemet er i orden.
Den 5. november 2012 blev CPR-kontorets hjemmeside hacket.
Hackergruppen Anonymous proklamerede på internettet, at den var ansvarlig, og at gruppen nu var i besiddelse af alle danskeres personnummer.
Det er korrekt, at CPR's hjemmeside var blevet hacket, men påstanden om, at Anonymous havde opnået adgang til CPR-systemet og til alle danskeres personnummer, var uden hold i virkeligheden.
CPR-kontorets hjemmeside indeholder nemlig ikke personfølsomme oplysninger, men derimod offentligt tilgængelig information om CPR-systemet, lovgivningen, dataindhold og så fremdeles.
Der er ingen – og det vil jeg gerne understrege – kobling mellem hjemmesiden og selve CPR-systemet.