Bruk av fødselsnummer i Internettløsninger

Brevet i PDF-format

Den siste tiden har en sett en rekke medieoppslag om personopplysninger på avveie og bruk av fødselsnummer som identifikasjon ved bruk av enkelte elektroniske tjenester. På denne bakgrunn henvender Fornyingsdepartementet seg nå til utvalgte aktører innenfor offentlig tjenesteyting for å minne om hvilke regler som gjelder, og for å få en oversikt over hvordan fødselsnummer benyttes i offentlige tjenester på nett.

Generelt er det den enkelte eier/driftsansvarlige som er ansvarlig for å sikre egne personopplysninger. Fødselsnummer er ikke en taushetsbelagt opplysning, men problemer kan oppstå når man bruker det som om det er ”hemmelig informasjon”, eller som et ”passord” eller ID. Selv om fødselsnummer ikke er det samme som ID, ser man i praksis allikevel at fødselsnummeret ofte både benyttes og aksepteres som identifikasjon uten at man har tilstrekkelig sikkerhet for at det er den rette personen som identifiserer seg (autentisering).  Den siste tids medieoppslag har avdekket flere internettløsninger som har lekket personopplysninger basert på at en bruker har oppgitt fødselsnummer.

Det kan være forholdsvis enkelt å fa tak i en persons fødselsnummer. I tillegg er det den siste tiden blitt avdekket programmer som kan finne/regne ut et fødselsnummer forutsatt at visse opplysninger er kjent på forhånd. Dette kan føre til at tilfeldige personer kan benytte et stort antall personers fødselsnumre til identifikasjon i ulike tjenester på nett. Dette gir noen særlige utfordringer, blant annet i å hindre at man gjennom systemets feilmeldinger kan utlede opplysninger om personen bak fødselsnummeret. Departementet ber etatene være oppmerksomme på dette.

På bakgrunn av ovenstående ønsker FAD en tilbakemelding på hvilke tjenester virksomheten har tilgjengelig på nett som krever at fødselsnummer oppgis. Videre ønsker vi informasjon om fødselnummeret benyttes alene eller i kombinasjon med andre opplysninger, f.eks. et hemmelig passord eller kode. Kontaktperson for eventuelle spørsmål er seniorrådgiver Mette Bredengen. Vi ber om svar innen 1. november.

De innsamlede opplysningene vil vi benytte til å vurdere eventuelle tiltak som kan bidra til at bruk av fødselsnummer i elektroniske offentlige tjenester skjer på en sikker måte, bl.a. slik at tjenestene ikke innebærer fare for identitetstyveri. I den forbindelse vil det være en fordel dersom tilbakemeldingen også inneholder en vurdering eller begrunnelse for valgt løsning.

Med hilsen

Hugo Parr (e.f.) Ekspedisjonssjef

Fred-Arne Ødegaard  Avdelingsdirektør

Kopi: Datatilsynet