En privat virksomhed må kun behandle personnumre, når en af de fire veje i databeskyttelseslovens § 11, stk. 2, er åben. Det betyder i praksis, at der skal være en lov, der kræver nummeret, et gyldigt samtykke eller en af de snævrere muligheder. Et ønske om et entydigt kundenummer står ikke på listen. Når reglen er overholdt, er næste opgave at finde numrene, for de ligger ofte flere steder, end nogen har besluttet.
De fire veje
Personnummeret står ikke i listen over følsomme oplysninger i art. 9 i databeskyttelsesforordningen, men Danmark har en egen regel. Efter § 11, stk. 2, må private behandle personnummer, når:
- det følger af lovgivningen,
- personen har givet samtykke efter art. 7,
- behandlingen alene er til videnskabelige eller statistiske formål, eller der er tale om en videregivelse, som er et naturligt led i den normale drift af den type virksomhed og af afgørende betydning for entydig identifikation, eller som kræves af en offentlig myndighed,
- betingelserne i § 7 om følsomme oplysninger er opfyldt.
Stk. 3 tilføjer, at personnummer aldrig må offentliggøres uden samtykke.
I hverdagen dækker nr. 1 typisk løn og indberetninger til myndighederne. Nummeret må bruges til det, loven kræver, og den adgang følger ikke automatisk med til andre formål i samme virksomhed. Samtykke kræver et frit og informeret valg og kan trækkes tilbage. I ansættelsesforhold er det et svagt grundlag, fordi skævheden mellem arbejdsgiver og ansat gør, at Datatilsynet er forsigtig, se samtykke, det forkerte grundlag. Nr. 3 handler om videregivelse, så det åbner ikke for, at I kan gemme nummeret til eget brug af den grund. Står personnumre ved siden af helbredsoplysninger i en klinik eller en anden sundhedsvirksomhed, er næste spørgsmål grænsen for DPO-kravet. Hører sagen under en branche med særlige regler, eller er I i tvivl om hjemlen, er det et spørgsmål til advokat.
Hvor numrene gemmer sig
Her er eksemplerne tænkte, men de er typiske. Spørg efter disse steder hos jer:
- lønsystem og eksport fra det til regneark,
- personalemapper, kontrakter og sygemeldinger,
- gamle kundekartoteker med et felt til CPR,
- mails med vedhæftede lønsedler og kopier af kontrakter,
- scannede dokumenter og fotos fra telefonen,
- testmiljøer med en kopi af rigtige data,
- kundeservice-noter, hvor en kunde selv har skrevet nummeret,
- fælles drev og gamle mapper fra tidligere medarbejdere,
- backup og arkiver fra udfasede systemer.
Tag også de steder med, hvor nummeret ankommer uden, at nogen bad om det. Kunder sender det i en mail. En formular med fritekst modtager det. Så er det havnet hos jer, og I har ansvaret, selvom ingen ønskede det.
Sådan finder I dem
Personnumre har en fast form med ti cifre, ofte med bindestreg efter de første seks, og de begynder med en dato. Det gør dem lette at søge efter. Værktøjer til søgning i filer og mail kan bruge sådan et mønster, og jeres IT-leverandør kan normalt køre en søgning hen over fællesdrev, SharePoint og postkasser.
Søgningen rammer også telefonnumre, kontonumre og sagsnumre, så der skal altid et øje på resultatet. Den finder heller ikke nummeret i et billede eller en scanning uden tekstlag. Brug derfor søgningen som et første billede af, hvor der er noget at rydde op i. Selve søgningen er følsom, så lad få personer udføre den, og log den. Det samme princip står i indsigt i mailbokse. Opgaven hører hjemme i kortlægningen, se hvor ligger jeres persondata?.
Sådan beskytter I dem
Art. 32 følger risikoen og giver ingen fast opskrift, og Datatilsynets katalog over foranstaltninger er hverken udtømmende eller absolut. Disse skridt gør mest for personnumre.
Fjern dem, I ikke har en vej til. Principperne om dataminimering og opbevaring i art. 5 gælder også her. Regnearket fra 2019 med medarbejdernes CPR skal væk, når formålet er væk. Se slettepolitik.
Skift nummeret ud. Brug medarbejdernummer eller kundenummer som nøgle i systemerne, og hold personnummeret i det ene system, der har brug for det. Det er pseudonymisering i praksis, se pseudonymisering og anonymisering.
Begræns adgangen. Personnumre bør kun kunne ses af dem, der arbejder med dem. Katalogets foranstaltninger om adgangsrettigheder efter behov og logning passer her, se alle kan se alt.
Kryptér forsendelsen. Efter Datatilsynets vurdering er kryptering som udgangspunkt passende, når fortrolige og følsomme personoplysninger sendes med mail via internettet, som minimum TLS 1.2. Se kryptering af mail.
Vask testdata. Rigtige personnumre hører ikke hjemme i test.
Luk formularerne. Skriv tydeligt, at kunder ikke skal oplyse CPR, og fjern felter, I ikke har en vej til.
Brug ikke nummeret som bevis. Datatilsynet siger, at et personnummer i telefonen ikke er tilstrækkelig identifikation, se er det den rigtige, der spørger?. Hvordan det rammer kundeservice og bogholderi, står under identitetskontrol efter CPR-læk.
Sådan går I videre
Lav en liste over de formål, hvor I bruger personnummer, og skriv vejen i § 11 ud for hvert. Hvor der ikke står noget, skal nummeret væk eller udskiftes. Bed IT om en første mønstersøgning på fællesdrev og postkasser, og ryd de største fund. Sæt derefter en fast kontrol i årshjulet. DPO’en rådgiver om vurderingen og kontrollerer, om praksis passer til det, I har besluttet, mens virksomheden rydder op.
Det skal I lade være med
- At bruge CPR som kundenummer · behovet for en nøgle er ingen vej efter § 11.
- At bede om nummeret, fordi det er nemt · start med at spørge om loven.
- At sende lønsedler i almindelig mail · vælg en krypteret løsning.
- At kopiere rigtige data til test · det gør testmiljøet til et produktionssystem.
Det skal I kræve af den eksterne
- ☐ En gennemgang af jeres formål med personnummer holdt op mod § 11.
- ☐ Teknisk forståelse for, hvordan en mønstersøgning kan bruges og læses.
- ☐ Rådgivning om adgang, forsendelse og sletning, mens I udfører arbejdet.
- ☐ En opfølgning, der viser, om antallet af fund falder.
Kilder
- Databeskyttelsesloven, LBK nr. 289 af 8/3 2024: § 7, § 11 og § 12.
- Forordning (EU) 2016/679, dansk tekst: art. 5, art. 7, art. 9 og art. 32.
- Datatilsynet: Katalog over foranstaltninger: adgangsrettigheder, logning og pseudonymisering.
- Datatilsynet: Sikker transmission: opdateret 17/10 2025.
- Datatilsynet: Vejledning om de registreredes rettigheder: afsnit 2.6 om identitet.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Alle kan se alt · Passende sikkerhed efter art. 32
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
