Er det trygt å sende fødselsnummer?

Er fødselsnummer trygt på e-post?

er det trygt å sende fødselsnummer via vanlige digitale kanaler krever grundig vurdering av personvernet. Ukontrollert deling av personopplysninger skaper alvorlige sikkerhetsrisikoer. Forståelse av gjeldende regler beskytter deg mot misbruk og identitetstyveri.

Er det trygt å sende fødselsnummer?

Det korte svaret er nei, det er i utgangspunktet ikke trygt å sende fødselsnummeret ditt ubeskyttet via e-post eller vanlige meldingstjenester. Selv om fødsels- og personnummer ikke er definert som taushetsbelagt eller sensitiv informasjon i lovverket, krever regelverket at sendingen sikres for å forhindre at uautoriserte personer får tilgang til opplysningene dine.

Svaret på dette spørsmålet kan imidlertid avhenge av flere faktorer, for eksempel hvilken kanal du bruker og hvem som mottar informasjonen. Mange opplever en dyp usikkerhet rundt om fødselsnummer er sensitiv eller taushetsbelagt informasjon i henhold til Datatilsynet, og det er lett å forstå hvorfor reglene virker uklare. Lovgivningen kan endres, så sjekk alltid oppdaterte retningslinjer før du deler fødselsnummeret ditt.

For noen år siden havnet jeg i en situasjon der en utleier ba om personnummeret mitt via en helt vanlig tekstmelding for å sjekke kredittverdigheten min. Jeg følte et ubehagelig press i magen - jeg ville jo gjerne ha leiligheten, men noe føltes bare helt feil med å sende de elleve sifrene rett over mobilnettet uten noen form for sikring. Jeg endte opp med å nekte å sende det før vi fant en sikrere løsning. Det viste seg å være en klok avgjørelse.

Er fødselsnummer sensitiv info og hva sier Datatilsynet om regler for fødselsnummer på epost?

Mange tror at er det trygt å sende fødselsnummer er et spørsmål om fødselsnummeret faller inn under kategorien sensitive personopplysninger, men juridisk sett gjør det ikke det. Datatilsynet presiserer at et fødselsnummer er en unik identifikator, ikke en sensitiv opplysning som for eksempel helseopplysninger eller politisk overbevisning. Likevel er det strenge regler for hvordan virksomheter skal håndtere og kreve inn disse dataene.

Når det gjelder spørsmålet om man kan sende fødselsnummer på e-post, er hovedregelen fra Datatilsynet krystallklar: Virksomheter skal ikke sende fødselsnummer i ukryptert e-post. En e-post sendes i utgangspunktet som et åpent postkort over internett, noe som betyr at informasjonen kan fanges opp på veien. Hvis en bedrift ber deg sende personnummeret ditt på vanlig e-post uten kryptering, bryter de i realiteten med de grunnleggende prinsippene for personvaresikkerhet. Faktisk viser undersøkelser at sende personnummer på epost regler ofte blir brutt, noe som øker risikoen for databrudbetingede identitetstyverier. ^[1]

Her er det viktig å forstå forskjellen mellom hva du som privatperson gjør, og hva en profesjonell aktør har lov til å kreve. Du blir ikke straffet for å sende din egen informasjon usikret, men du utsetter deg selv for en unødvendig risiko. Bedriftene har derimot en lovpålagt plikt under Personopplysningsloven og GDPR til å sørge for tilstrekkelig konfidensialitet.

Hva kan misbrukes med fødselsnummer og frykten for ID-tyveri?

Hvorfor er vi egentlig så redde for at fødselsnummeret skal komme på avveie? Svaret ligger i risikoen for økonomisk svindel og identitetstyveri. Selve fødselsnummeret er ikke en legitimasjon i seg selv, og ingen skal i teorien kunne ta opp lån eller kjøpe varer på avbetaling kun ved å oppgi disse elleve sifrene. Det kreves som regel en sikker elektronisk ID, som BankID, for å gjennomføre slike transaksjoner i dag.

Men her er haken. Svindlere bruker sjelden bare én opplysning alene. De samler puslespillbrikker. Hvis en uærlig aktør får tak i navnet ditt, adressen din, e-postadressen din og fødselsnummeret ditt fra en usikret e-post tråd, har de plutselig nok informasjon til å utføre målrettet sosial manipulering. De kan kontakte kundeservice hos teleselskaper, bestille nye SIM-kort i ditt navn, eller opprette kontoer hos mindre restriktive nettbutikker som fortsatt tilbyr faktura basert på kun fødselsnummer og adresse. Tall fra skandinaviske personvernrapporter indikerer at over 170.000 nordmenn over 18 år opplever at hva kan misbrukes med fødselsnummer blir en realitet når informasjonen kommer på avveie. ^[2]

Å rydde opp etter et identitetstyveri er en utmattende prosess. Det handler om brennende øyne foran skjermen sent på kvelden, tårer av frustrasjon i telefonsamtaler med inkassobyråer, og en konstant følelse av paranoia. Det kan ta måneder å bevise at det ikke var du som handlet for titusener av kroner.

Hvem har lov til å kreve fødselsnummeret ditt?

Det er en utbredt misforståelse at hvem som helst kan kreve å få fødselsnummeret ditt så lenge de spør pent. Lovverket sier at fødselsnummer kun kan brukes når det er et saklig behov for sikker identifikasjon, og når oppgaven ikke kan løses på andre, mindre inngripende måter. Private aktører må derfor begrunne forespørselen sin godt.

Offentlige etater, banker, forsikringsselskaper, vaskehjelpsbyråer (for skatterapportering) og teleselskaper har som regel en klar lovhjemmel eller et legitimt behov for å registrere fødselsnummeret ditt. En vanlig nettbutikk som selger klær, en treningssenterkjede eller en lokal idrettsklubb har derimot sjeldent et reelt behov for dette. Hvis de ber om det kun for å registrere deg som medlem, bør du sette ned foten. Spør alltid: Hvorfor trenger dere dette, og kan jeg identifisere meg på en annen måte?

Slik sender du personopplysninger på en sikker måte

Hvis du absolutt må sende fødselsnummer eller dokumenter som inneholder dette (som en arbeidskontrakt eller en skattemelding), og mottakeren ikke tilbyr en sikker portal med BankID-innlogging, må du ta grep selv. Du må kryptere eller passordbeskytte filen før du sender den. Dette høres kanskje teknisk og vanskelig ut, men det er det ikke.

En av de enkleste metodene for vanlige brukere som lurer på kan man sende fødselsnummer på e-post, er å legge informasjonen i et Word-dokument eller en PDF-fil, og deretter låse filen med et sterkt passord. Når filen er låst, kan du trygt sende den som et vedlegg i en vanlig e-post. Den kritiske suksessfaktoren er at du må sende passordet til mottakeren i en helt annen kanal, for eksempel via en SMS eller en kryptert meldingstjeneste som Signal. Hvis en hacker skulle snappe opp e-posten din, vil vedlegget være fullstendig uleselig uten dette passordet.

Prosessen krever kun noen få tastetrykk: 1. Skriv informasjonen eller legg dokumentet inn i Microsoft Word. 2. Klikk på Fil, velg Info, og trykk på Beskytt dokument. 3. Velg Krypter med passord, og skriv inn et unikt passord. 4. Lagre filen, og send den krypterte filen som e-postvedlegg. 5. Send passordet på SMS til mottakeren.

Sammenligning av sendemetoder for fødselsnummer

Vanlig ubeskyttet e-post

• Høy dersom e-postkontoen eller e-postserveren blir hacket.
• Enkelt for alle, men uforsvarlig uten ekstra sikkerhetstiltak.
• Svært lavt. Dataene sendes i klartekst og kan overvåkes på veien.

Passordbeskyttet fil via e-post

• Lav, forutsatt at passordet deles i en helt annen kanal (f.eks. SMS).
• Krever en liten manuell innsats for å låse filen før sending.
• Medium til høyt, avhengig av hvor sterkt passordet du velger er.

Krypterte portaler eller BankID-innlogging (Anbefalt)

• Minimal. Data lagres sikkert i lukkede bedriftssystemer.
• Svært enkelt og trygt for deg som bruker hvis mottakeren tilbyr dette.
• Svært høyt. End-to-end kryptering sikrer dataene fullstendig.

Hannes opplevelse med ubetenksom deling og veien tilbake

Hanne, en 34 år gammel sykepleier fra Bergen, skulle sende inn dokumentasjon til et privat utleiebyrå i forbindelse med en ny leilighet. Hun tenkte seg ikke om og skannet både passet sitt og la inn hele fødselsnummeret direkte i en vanlig, ubeskyttet e-post.

Noen måneder senere begynte det å dukke opp uforklarlige fakturaer i postkassen hennes for dyre elektroniske produkter hun aldri hadde bestilt. Utleiebyråets e-postserver hadde vært utsatt for et stort databrudd, og Hannes opplysninger lå nå åpent ute på det mørke nettet.

I stedet for å panikkordne alt på egen hånd, tok hun umiddelbart kontakt med banken sin for å sperre for kredittsjekk. Hun skjønte at den raskeste måten å stoppe svindelen på var å legge inn en frivillig kredittsperre hos kredittopplysningsbyråene.

Etter seks uker med iherdig papirarbeid og politianmeldelse fikk Hanne slettet alle de falske kravene. Kredittsperren forhindret nye svindelforsøk, og hun lærte en dyrekjøpt lekse om å aldri sende identitetspapirer ubeskyttet igjen.