Datatilsynet retter hård kritik mod CPR-kontoret

Intet mindre end 900.000 danskere fik 2. juli sidste sommer lækket deres CPR-numre, da den såkaldte Robinson-liste blev lækket ved en fejl.

Torsdag leverer den ansvarlige myndighed på området, Datatilsynet, en hård kritik af CPR-kontoret og den ansvarlige IT-leverandør, CSC.

Robinson-listen er en liste over de danskere, der har frabedt sig at blive kontaktet telefonisk i markedsføringsøjemed, og det var deres CPR-numre, der stod til frit skue 50 minutter på nettet en onsdag aften sidste sommer.

Siden da har Datatilsynet gransket de nærmere omstændigheder, og torsdag er myndigheden så parat med en hård kritik. Ikke mindst fordi CPR-numrene optrådte side om side med navne og adresser på de implicerede borgere.

»I det konkrete tilfælde, hvor et meget stort antal personnumre blev gjort tilgængelige for uvedkommende sammen med navne og adresser, finder Datatilsynet det, der skete meget kritisabelt. Datatilsynet skal herved henvise til, at offentliggørelse af oplysninger om personnummer i kombination med navn og adresse i værste fald ville kunne få alvorlige konsekvenser for en berørt person,« står der i afgørelsen.

Lækket affødte sidste sommer en større diskussion om sikkerheden omkring CPR-numrene, og en lang række politikere og brancheorganisationer fremturede med hård kritik af CPR-kontoret i kølvandet på fejlen.

CPR-kontoret har selv forklaret, at det var IT-leverandøren CSC, der leverer de datafiler, der blev lækket.

»Af en eller anden grund er cpr-numrene denne gang kommet med, sammen med personernes navne og adresser,« lød det fra Carsten Grage, kontorchef hos CPR-kontoret til Børsen sidste sommer.

I sin afgørelse står Datatilsynet dog fast på, at CPR-kontoret sidder med det endelige ansvar som den dataansvarlige myndighed.

Det fremgår videre af tilsynets redegørelse, at CPR-kontoret efter lækket har indført nye procedurer, der sikrer en dobbeltkontrol af Robinson-listen.