Virksomheder og myndigheder beder i stigende grad om personnummeret, når de vil have styr på, hvem du er. Og de fleste udleverer nummeret uden spørgsmål.

Men vær på vagt: Kriminelle sidder klar til at opsnappe følsomme informationer – og i værste fald hugge din identitet.

Så det er værd at tøve, før du handler i en internetbutik, der kræver dit personnummer, før du lejer skøjter og lægger sygesikringsbeviset i pant, før du smider bonen fra apoteket fra dig – og før du skriver dit cpr-nummer ind i et cv og lægger det på nettet.

I de situationer blotter du nemlig dine mest følsomme oplysninger for folk, der kan vise sig at have ubehagelige hensigter med dem.

Personnummeret er ikke bare et tal på sygesikringsbevis og kørekort, men nøglen til hele vores identitet, og sammen med det tilhørende navn giver det adgang til bankvæsenet, sundhedsvæsenet og resten af det offentlige system.

Og det er svindlere parate til at udnytte.

Et voksende problem
Hverken politiet eller Datatilsynet laver statistik over tilfælde af identitetstyveri, men en række eksperter, som Lørdagsliv har talt med, fastslår, at der er tale om et voksende problem.

»Problemet er stort i USA og kan også blive det i Danmark, eksemplerne begynder at komme. Tyvene bliver digitale, og dér, hvor der er penge at hente, er der nogen, der udnytter det. Vi ved, at danske cpr-oplysninger på linje med kontokortoplysninger er til salg på nettet«, siger Anette Høyrup, jurist i Forbrugerrådet.

Også Forbrugerstyrelsen har været ude med en advarsel mod uforsigtig brug af personnummeret.

I de værste tilfælde oplever ofrene, at deres adresse bliver ændret, at der handles på nettet, og at der oprettes konti og abonnementer eller begås kriminalitet i deres navn.

Identitet af bits og bites
Faktisk har risikoen for misbrug af personlige oplysninger aldrig været større, fordi så meget af vores liv og kontakt med myndighederne foregår på nettet – til gavn for os selv, men også for forbrydere.

»Det er meget nemmere at begå identitetstyveri i dag, end det var tidligere, fordi vi har en identitet, der består af bits og bites. Et er de sager, der kommer frem, men det er jo kun de folk, der opdager det. Dertil kommer de sager, som ikke engang ofrene selv bemærker«, siger Charlotte Bagger Tranberg, lektor på juridisk fakultet, ved Aalborg Universitet.

Samtidig er folk ikke opmærksomme på, at cpr-nummeret skal bruges med forsigtighed.

Værre end at miste kreditkortet
»Folk er typisk meget forsigtige med deres kreditkortoplysninger, men et misbrugt personnummer er faktisk værre. Med det kan folk blandt andet oprette mobilabonnementer, tage lån, sælge fiktive varer eller leje bil i ens navn«. siger Anette Høyrup.

I foråret 2009 tog Datatilsynet kontakt til 31 personer, som havde lagt et cv med deres personnummer ud på internettet for at advare dem om de mulige risici for misbrug. Det viste sig, at syv af dem havde været ud for forskellige grader af identitetstyveri.

»Flere af dem sagde ’aha, nu forstår jeg, hvordan det kan hænge sammen’. Før vi kontaktede dem, havde de ikke lavet koblingen mellem adgangen til deres personnummer og de mystiske hændelser, som de havde været ude for – eksempelvis køb af varer på internettet i deres navn«, fortæller Lena Andersen, kontorchef i Datatilsynet.

Selv myndigheder begår fejl
Ud over folks egen uforsigtighed bekymrer det Datatilsynet, at myndigheder, som borgerne trygt burde kunne overlade deres personnummer til, i flere tilfælde har behandlet personfølsomme oplysninger uforsigtigt.

»En kedelig udvikling er stigningen i antallet af fejl, som myndigheder og virksomheder begår, når de håndterer de her oplysninger. Det er sket flere gange, at kommuner eller organisationer er kommet til at offentliggøre borgere og studerendes cpr-numre på internettet«, siger Lena Andersen.

Når først numrene har været offentliggjort på nettet, er de meget svære at fjerne fuldstændig igen.

Internettet glemmer ikke
Det har man bl.a. oplevet i Faaborg-Midtfyn Kommune, hvor man i fire måneder havde cpr-numrene på 180 ansatte liggende frit tilgængeligt på nettet.

Kommunen fjernede straks oplysningerne, da fejlen blev opdaget, men når først noget har været offentliggjort på nettet, er det meget svært at slette det fuldstændigt igen.

»Den største udfordring er at få fundet dokumenterne på søgemaskinerne og i de gemte versioner, der ligger rundt omkring. Det tager tid, og bagefter tager det tid at få søgemaskinerne til at fjerne dem«, siger vicekommunaldirektør Finn G. Johansen, Faaborg-Midtfyn Kommune.

Og selv da kan man aldrig være helt sikker på, at oplysningerne er endegyldigt fjernet.

Aldrig helt sikkert
»Det, som vi har kendskab til, er helt væk nu. Men man kan jo aldrig være helt sikker. Det værst tænkelige scenario er, at der er én, der i en ond mening har gemt oplysningerne på sin egen computer og lagt det på nettet igen efterfølgende«, siger vicekommunaldirektøren.

En enkelt fejl i håndteringen af personfølsom information kan altså få store og vidtrækkende konsekvenser, og derfor skal forbrugerne være meget kritiske overfor, hvem de deler personoplysningerne med.

Forbrugerrådet konstaterer et skred i antallet af forretninger og hjemmesider, der kræver kundernes cpr-nummer.

»Vi oplever, at alt fra fitnesscentre til videobutikker og skøjteudlejninger beder om dit cpr-nummer. Der er tale om en for en sikkerheds skyld-betragtning fra virksomhedernes side, men mængden af personlige oplysninger, som forbrugeren udleverer, er ikke proportionel med butikkens risiko for, at en kunde løber fra regningen«, siger Anette Høyrup.

Tænk på dit tal
Også Forbrugerombudsmanden melder om en jævn strøm af henvendelser fra folk, der er bekymrede over at blive afkrævet deres cpr-nummer steder, hvor de ikke mener, det hører hjemme.

Forbrugerrådet råder folk til at lade være med at handle i butikker, der ikke respekterer deres personlige oplysninger.

»Hvis skøjteudlejeren kræver ens cpr-nummer, kan man ikke gøre andet end at finde et andet sted at skøjte. Jeg synes ikke, at man skal lægge sit cpr-nummer, når der i princippet kan sidde en og skrive alle oplysninger af, mens man kører rundt på isen«, siger Anette Høyrup.

Ulovligt krav om cpr
Mange forretninger har da heller ikke loven på deres side, når de beder om kundernes personnummer.

For lovligt at kunne opkræve personnummer skal der ifølge persondataloven være tale om »løbende mellemværender mellem en privat forretningsdrivende og en forbruger«.

Dermed er det i orden at kræve personnummer, når kunden tegner et løbende abonnement eller køber noget på kredit.

I Datatilsynets årsberetning fra 2000 specificeres det til gengæld, at kravet om en saglig grund til at opkræve cpr-nummeret næppe vil kunne opfyldes, når der er tale om en kontantsalgssituation. Ikke desto mindre er det lige præcis, hvad flere forretninger gør, når de sælger varer over internettet.

F.eks. var det indtil sidste måned ikke muligt at købe varer i L’Easys internetbutik uden at taste cpr-nummer – uanset om der var tale om kontantkøb eller kredit.

Intet juridisk grundlag
Elektronik- og hvidevarefirmaets argument var, at personoplysningerne sikrede overensstemmelse mellem køberen og den, der fik leveret varen.

Efter en henvendelse fra Politikens forbrugersite tjek.dk og et par dages betænkningstid blev kravet om cpr-nummer dog fjernet i kontantsalgssituationer.

»Vi har arbejdet stenhårdt siden sidste uge for at finde ud af, hvad det juridiske grundlag er, at dér har vi måttet erfare, at vi ikke har grundlag for at bruge det«, sagde Peter Schou Jørgensen, viceadministrerende direktør hos L’Easy.