Retningslinjer efter nationalt CPR-læk

Efter databruddet kan du ikke længere betragte navn, adresse og CPR-nummer som tilstrækkelig legitimation for en borgers identitet.

Som udgangspunkt bør du foretage identitetskontrol, som baserer sig på andre oplysninger end oplysninger fra CPR eller oplysninger om tidligere kontakter mellem myndigheden og borgeren.

Hvis du er i tvivl om hvilke supplerende oplysninger, du skal spørge ind til, eller har du en mistanke om, at et CPR-nummer er ved at blive misbrugt, bør du kontakte din nærmeste leder.

Hvis du er i kontakt med fx ældre eller sårbare der er undtaget digital post eller har svært ved at bruge elektroniske virkemidler, skal du foretage en konkret vurdering af, hvilke oplysninger du kan spørge til, som kun vedkommende kender. Disse borgere kan være særligt udsat i forbindelse med datalækket, og man bør være særligt opmærksom på muligt misbrug af personoplysninger. 

Generelt anbefaler Styrelsen for Samfundssikkerhed, at du;

• henviser borgeren til login i et selvbetjeningssystem, fx med MitID.
• sender en engangskode til et telefonnummer eller en e-mailadresse, der allerede er registreret om borgeren.
• stiller kontrolspørgsmål, der ikke alene bygger på oplysninger, som kan være lækket, og som tager udgangspunkt i den konkrete relation. Det kan det fx være tidligere adresse eller oplysninger om seneste kontakt eller sagsforløb.
• ringer tilbage til borgeren på et telefonnummer, der allerede er registreret til borgeren, i stedet for et nummer oplyst i den aktuelle henvendelse.
• beder borgeren møde fysisk op med legitimation, hvis henvendelsen handler om særlige ændringer af økonomisk eller sikkerhedsmæssig karakter.
• indfører manuel kontrol eller karensperiode ved ændringer, der kan have økonomisk eller sikkerhedsmæssig betydning.

Borgere som henvender sig med mere generelle spørgsmål til hændelse eller er bekymrede for muligt misbrug af deres oplysninger, henvises til den officielle information fra Forsknings-, Uddannelse og Digitaliseringsstyrelsen. 
 
På Sikkerdigital.dk kan borgere finde vejledning og information om digital sikkerhed. Borgerne kan også søge hjælp og vejledning på Cyperhotline for digital sikkerhed på 33370037, som i de kommende dage har udvidet åbningstid fra klokken 8-24.

Du skal forholde dig som du plejer, men vær opmærksom på, at lægen kan stille dig spørgsmål med henblik på at sikre, at du er den person, som du siger, at du er. 

Det har vi ikke mistanke om på nuværende tidspunkt. Sagen bliver aktuelt efterforsket af Politiet i samarbejde med relevante myndigheder, og der meldes yderligere ud, når omfanget af hændelsen er blevet kortlagt.

Apoteket kan bede dig om anden dokumentation som fx sundhedskort. Der er ingen meldinger om, at der skulle være udfordringer med at få udleveret medicin på apoteket.

Du skal medbringe dit sundhedskort, når du skal til læge eller på sygehuset. Det er også en god idé at have det med på apoteket. Du kan forvente, at sundhedspersonalet derudover spørger ind til flere oplysninger om dig, end du er vant til. Dette gør de for din egen sikkerheds skyld. Det kan være en hjælp for sundhedspersonalet og for dig selv, hvis du har relevant ID med.

For nuværende ved vi, at datalækket drejer sig om navn, adresse, CPR-nummer samt om personen er død, udrejst eller under værgemål. Der er ikke aktuelt noget, der peger på, at uvedkommende har fået adgang til borgeres sundhedsdata. Sagen efterforskes af Politiet i samarbejde med relevante myndigheder, og vi melder yderligere ud, når vi ved mere om omfanget af hændelsen.

Det er der ikke mistanke om på nuværende tidspunkt. Sagen bliver aktuelt efterforsket af Politiet i samarbejde med relevante myndigheder og der meldes yderligere ud når omfanget af hændelsen er blevet kortlagt. Sundhedssektoren er blevet bedt om at udvise skærpet opmærksomhed på de allerede gældende sikkerhedsforanstaltninger og procedurer, herunder særligt i forbindelse med borgerhenvendelser og anmodninger om adgang til person- og sundhedsoplysninger.

I kontakten med patienter anbefales det, at du nøje følger gældende procedurer for identifikation og verificering, og at personoplysninger som navn og CPR-nummer ikke alene lægges til grund for udlevering af yderligere oplysninger. Du skal generelt udvise agtpågivenhed. Patienter, som henvender sig med spørgsmål til hændelsen eller er bekymrede for muligt misbrug af deres oplysninger, kan henvises til den generelle information fra Forsknings-, Uddannelse og Digitaliseringsstyrelsen. 

Længere oppe på siden kan du læse om, hvordan du skal forholde dig som medarbejder. 

I udgangspunktet er det vigtigt at være opmærksom på, at CPR-nummeret, navn og adresse ikke alene er tilstrækkelig dokumentation for identitet. Derudover er det vigtigt at bruge sund fornuft. Identificér borgeren så vidt muligt ud fra andre oplysninger end CPR-nummeret alene, fx sundhedskort, kørekort eller stil kontrolspørgsmål, der ikke alene bygger på oplysninger, som kan være lækket, og som tager udgangspunkt i den konkrete relation. Det kan være oplysninger om seneste forløb eller henvendelse, navn på praktiserende læge eller lignende. 

Der kan fx spørges ind til, hvilket navn på patientens praktiserende læge, om patienten får øvrig medicin, og navne på nærmeste pårørende. Du kan også bede om at se anden legitimation.

Hvis man ikke kender borger, anbefales det at man er ekstra opmærksom, og at man identificerer borgeren ud fra andre oplysninger end CPR-nummeret alene. Det kan fx være ved at bede om sundhedskort, kørekort eller anden legitimation eller ved at stille kontrolspørgsmål, der ikke alene bygger på oplysninger, som kan være lækket, og som tager udgangspunkt i den konkrete relation. I udgangspunktet er det vigtigt at være opmærksom på, at CPR-nummeret, navn og adresse ikke alene er tilstrækkelig dokumentation for identitet. 

I udgangspunktet er det vigtigt at være opmærksom på, at CPR-nummeret, navn og adresse ikke alene er tilstrækkelig dokumentation for identitet. Stil fx kontrolspørgsmål, der ikke alene bygger på oplysninger, som kan være lækket, og som tager udgangspunkt i den konkrete relation. Det kan fx være tidligere adresser eller oplysninger om seneste forløb eller henvendelse.

Det er der ikke mistanke om på nuværende tidspunkt. Sagen bliver aktuelt efterforsket af Politiet i samarbejde med relevante myndigheder og der meldes yderligere ud når omfanget af hændelsen er blevet kortlagt.

Der er i sundhedsvæsenet allerede gældende sikkerhedsforanstaltninger og procedurer for digital sikkerhed, herunder særligt i forbindelse med borgerhenvendelser og anmodninger om adgang til person- og sundhedsoplysninger. For at minimere risikoen for misbrug af medicinudlevering anbefales det, at borgeren identificeres ud fra flere oplysninger end CPR nummeret alene, fx kan der spørges ind til navn på borgerens praktiserende læge eller spørges ind til hvilke lægemidler borgeren får ifølge FMK (Fælles Medicinkort). Der kan også efterspørges anden legitimation.

Du skal være opmærksom på datalækket, indtil andet er meldt ud fra myndighederne. Du kan holde dig opdateret på denne side.

Sundhedssektoren udviser skærpet opmærksomhed på de allerede gældende sikkerhedsforanstaltninger og procedurer, herunder særligt i forbindelse med borgerhenvendelser og anmodninger om adgang til person- og sundhedsoplysninger. Såfremt der kommer yderligere tiltag og opmærksomhedspunkter vil sundhedsvæsenet blive informeret herom, ligesom vi vil opdatere hjemmesiden her. Alle aktører er blevet opfordret til hurtigst muligt at gennemgå egne systemer og arbejdsgange for sårbarheder.