Er kontonummer sensitive opplysninger?

er kontonummer sensitive opplysninger? Svaret er nei.

Mange lurer på om er kontonummer sensitive opplysninger når de deler personlig informasjon med ukjente. Feilaktig deling av bankinformasjon medfører risiko for økonomisk tap og misbruk av identitet. God kunnskap om regelverket beskytter rettighetene dine i digitale kanaler. Undersøk kravene til sikkerhet for å unngå unødvendig eksponering av egne data.

Hva gjør et kontonummer til en sensitiv opplysning?

Nei, juridisk sett regnes ikke kontonummeret som en sensitiv personopplysning, men som en alminnelig personopplysning. Likevel er det informasjon som er direkte knyttet til din identitet og økonomi. Selv om nummeret alene sjelden fører til direkte svindel, skal det håndteres med stor forsiktighet av både deg og dem du deler det med.

Men la oss være ærlige: de fleste av oss deler kontonummeret mer ukritisk enn vi burde. Vi sender det på Messenger, legger det ut i salgsannonser, eller skriver det på lapper til regnskapsføreren. Hvorfor? Fordi vi egentlig ikke vet hva en svindler kan gjøre med det. Det skal vi gå gjennom her – og det er faktisk én ting mange overser som gjør forskjellen på om du er sårbar eller ikke.

Slik definerer loven sensitive opplysninger

Personopplysningsloven (GDPR) deler personopplysninger i to hovedkategorier: alminnelige og sensitive.^[4] Kontonummeret faller inn under alminnelige personopplysninger, men det er likevel underlagt strenge krav til behandling. Det skal bare innhentes når det er nødvendig, og oppbevares sikkert. I praksis betyr det at arbeidsgiveren din, banken eller andre som krever nummeret, har en klar plikt til å sikre det mot uautorisert tilgang.

Hvorfor kontonummeret er mer enn bare et tall

Kontonummeret ditt er unikt og knytter deg til en spesifikk bankkonto. Det brukes til å identifisere deg i betalingssystemet, og i kombinasjon med navn gir det et bilde av din økonomi. For en arbeidsgiver eller offentlig etat er det nødvendig. For en tilfeldig person på internett er det ingen god grunn til å ha det – med mindre de skal betale deg penger. Og nettopp her ligger skillet: det er i situasjoner hvor nummeret kombineres med andre opplysninger at risikoen oppstår.

Hva kan noen faktisk gjøre med kontonummeret ditt?

Dette er det mange lurer på – og det er her svindel blir komplisert. Kan noen tømme kontoen din med bare kontonummeret? Nei, det kan de ikke. De trenger trekkrettighet, som du vanligvis bare gir via en avtale (f.eks. ved å signere en eFaktura eller avtalegiro). Kortinformasjon, BankID og fødselsnummer er langt mer kritiske. Men det betyr ikke at kontonummeret er verdiløst for en svindler.

De kan bruke det til å sende deg en falsk faktura som ser ut som om den kommer fra en kjent aktør. De kan forsøke å overtale deg til å oppgi bank-ID ved å late som de er fra banken. Eller de kan bruke det til å gjøre et «tyveri av identitet» dersom de også har fått tak i navn, adresse og fødselsnummer. De fleste svindelsaker krever at du aktivt bekrefter noe eller gir fra deg kodeverktøy. ^[1] Allikevel er det lurt å tenke: «ville jeg gitt denne personen en nøkkel til postkassen min?»

Når er det trygt å oppgi kontonummeret?

Spørsmålet dukker ofte opp når man skal selge noe på Finn, få tilbake penger fra en forsikring, eller motta lønn fra en ny arbeidsgiver. Den gyldne regelen er: oppgi kontonummeret når du skal motta penger, og kun da. Du bør aldri oppgi det for å betale noe – da skal du i stedet bruke Vipps, bankkort eller en faktura med KID-nummer.

Selger du på Finn eller Tise?

Er det trygt å gi kontonummeret til kjøperen? Ja, forutsatt at du er den som selger. Da er det kjøper som skal overføre penger til deg. Det er svært liten risiko for at kjøperen misbruker nummeret – de har allerede ditt navn, og ofte også adresse. Derimot bør du aldri oppgi kontonummeret ditt hvis noen som utgir seg for å være kjøper ber deg om å betale dem først for frakt eller gebyr. Det er et klassisk svindelforsøk.

Arbeidsgiver, NAV og fakturaer

For å motta lønn, utbetalinger eller refundere fakturaer er det nødvendig å oppgi kontonummeret ditt. Disse mottakerne har taushetsplikt og er underlagt GDPR. Det du kan gjøre for å øke sikkerheten er å ha en egen mottakskonto uten trekkrettighet – en konto som bare kan motta penger, ikke gi fra seg. Da kan du dele det nummeret uten å bekymre deg for at noen skal kunne sette i gang trekk.

Hvordan beskytte kontonummeret ditt – og hva du bør unngå

Det er egentlig ganske enkelt: tenk på kontonummeret som en nøkkel til postkassen din. Det er ikke selve bankboksen, men det kan brukes til å legge igjen falsk post som lurer deg til å åpne hoveddøren. Her er noen konkrete tiltak som tar deg fra usikker til trygg.

1. Skill mellom betalingskonto og mottakskonto

Mange banker tilbyr gratis å opprette en ekstra konto. Bruk den til å motta penger fra ukjente, og ha hovedkontoen din for daglige betalinger. Da kan du dele mottakskontonummeret på Finn eller til leietakere uten å bekymre deg for at noen skal kunne sette opp trekk på kontoen du har lønnen på.

2. Aldri gi kontonummeret i kombinasjon med BankID eller engangskode

Dette er den eneste situasjonen der svindlere kan tømme kontoen din. Hvis noen ringer og sier de er fra banken, og ber deg oppgi kontonummer for å «bekrefte» før du får en kode på SMS – legg på. Det er alltid svindel. Ekte bankansatte vil aldri be om BankID eller koder.

3. Vær varsom med bilder og dokumenter

Det er overraskende mange som deler skjermbilder av bank-appen eller kontoutskrifter på sosiale medier. Et enkelt bilde av en faktura kan avsløre både kontonummer, navn og adresse. Før du deler noe, spør deg selv: «ville jeg vist dette til en fremmed på gata?»

Forskjellen på sensitive opplysninger og personopplysninger – og hva som betyr mest

Mange blir forvirret av begrepet «sensitive opplysninger». I loven er det forbeholdt helseopplysninger, etnisitet, religion og lignende. Kontonummer er alminnelige personopplysninger, men de er likevel beskyttet av personopplysningsloven. Det som derimot er kritisk viktig å skjerme er BankID, fødselsnummer, og engangskoder. Kontonummeret alene er sjelden inngangsporten til svindel – det er kombinasjonen med disse som er farlig.

Kort sagt: du trenger ikke gå i skjul med kontonummeret ditt. Men du bør vite hvem som har det, og aldri dele det ukritisk i offentlige fora. Det er en del av digital dømmekraft – akkurat som du ikke legger husnøkkelen i postkassen.

Hvilke opplysninger er mest utsatt for misbruk?

Kontonummer

1. Lav til middels. Kan brukes til å sende falske fakturaer eller i kombinasjon med andre data.
2. Alminnelig personopplysning under GDPR, krav til sikker oppbevaring.
3. Nei, ikke alene. Krever trekkrettighet eller at du bekrefter en transaksjon.

Fødselsnummer

1. Høy. Anses som en nøkkel til din økonomiske identitet.
2. Strengere behandlingsregler enn vanlige personopplysninger.
3. Indirekte – kan brukes til identitetstyveri og åpning av kreditt.

BankID / engangskode

1. Ekstrem høy. Skal aldri deles, selv med banken.
2. Regnes som sterk autentisering, egen sikkerhetslovgivning.
3. Ja, direkte – gir full tilgang til bank og betalinger.

Kari solgte en sofa på Finn – og ble lurt nesten

Kari, 34 år fra Bergen, la ut en sofa til salgs for 4000 kroner. Kort tid etter fikk hun melding fra en «kjøper» som ba om kontonummeret for å overføre forskudd. Kari sendte nummeret sitt uten å tenke seg om.

Dagen etter kom det en e-post som så ut som den kom fra Vipps, med krav om å bekrefte betalingen ved å taste inn BankID. Kari var i ferd med å gjøre det da hun stoppet opp – teksten inneholdt skrivefeil, og avsenderadressen var en Gmail-konto.

Hun ringte banken sin og fikk bekreftet at det var svindelforsøk. Banken forklarte at svindleren allerede hadde kontonummeret hennes og forsøkte å få henne til å oppgi BankID. Fordi Kari aldri bekreftet, skjedde ingenting.

Sofaen solgte hun senere til en lokal kjøper som overførte pengene direkte. Nå bruker Kari en egen mottakskonto uten trekkrettighet til salg på nett, og hun dobbeltsjekker alltid hvem som spør om kontonummeret.

Per opplevde falsk faktura etter jobb

Per jobbet som frilanser for et lite firma, og oppga kontonummeret for å få utbetalt fakturaer. Noen måneder senere mottok han en faktura fra et selskap han aldri hadde hørt om – med kontonummeret hans oppgitt som kundenummer.

Fakturaen var på 2490 kroner og så ekte ut, med logo og KID-nummer. Per ringte firmaet og fant ut at noen hadde bestilt varer i hans navn ved å bruke kontonummeret fra fakturaene de hadde fått tak i.

Han politianmeldte saken, og banken sperret muligheten for å trekke penger fra kontoen hans uten at han selv godkjente det via BankID. Selskapet som hadde sendt fakturaen, slettet kravet.

I dag bruker Per et eget firma- og privatkontonummer. Han oppgir bare mottakskontonummeret til kunder, og sjekker jevnlig om det dukker opp uventede krav. Han sier: «Det tok meg én time å rydde opp, men jeg lærte at kontonummeret ikke er verdiløst for svindlere – det er en startpakke.»