Är det säkert att skicka personnummer?

Är det säkert att skicka personnummer? Upp till 20 miljoner i bot

Många undrar är det säkert att skicka personnummer utan att riskera integriteten i vardagen. Slarv med känsliga uppgifter utsätter både organisationer och individer för allvarliga påföljder. Läs vidare för att förstå vilka regler som styr säker hantering och hur du skyddar digital integritet.

Varför hanteringen av personnummer kräver extra försiktighet

Frågan om digital säkerhet och personuppgifter kan belysas ur flera olika perspektiv, och risknivån beror helt på sammanhanget och överföringsmetoden. Ett svenskt personnummer är inte klassat som en känslig uppgift enligt dataskyddsförordningen, men det anses vara en personnummer integritetskänslig uppgift som kräver starka skyddsåtgärder.

När ett personnummer hamnar i fel händer ökar risken för identitetsstöld dramatiskt. Det handlar sällan om att numret i sig är hemligt - i Sverige är de flesta personnummer offentliga handlingar.

Problemet uppstår när informationen används för att pussla ihop en falsk identitet eller för att lura kundtjänstsystem hos företag som inte använder e-legitimation för verifiering. Statistiska sammanställningar visar att runt 60% av alla personuppgiftsincidenter på digitala plattformar beror på den mänskliga faktorn eller osäkra kommunikationsvägar.^[1] Jag minns när jag själv i början av min karriär slentrianmässigt skickade över ett avtal med fullständiga personuppgifter via ett vanligt vändande mejl. Det var en obehaglig väckarklocka när jag insåg hur sårbart det faktiskt var.

E-post och sms - de dolda riskerna i vardagen

Att skicka ett personnummer via vanlig okrypterad e-post eller ett vanligt sms är generellt inte säkert. Det kan bäst liknas vid att skriva informationen på baksidan av ett vykort och lägga det i postboxen - vem som helst längs vägen kan i teorin läsa det.

Vanlig e-post passerar flera olika servrar på sin väg från avsändare till mottagare. Om någon av dessa servrar är sårbar eller om anslutningen saknar skydd kan data enkelt snappas upp. Branschmätningar indikerar att många mindre organisationer regelbundet hanterar extra skyddsvärda uppgifter via helt oskyddad e-post, vilket skapar stora säkerhetshål.^[2] Många tänker att det är säkert bara för att det går snabbt. Men det är fel. Det är här de flesta misstag sker. Om du absolut måste får man skicka personnummer via e post bör du åtminstone lägga informationen i ett lösenordsskyddat dokument och skicka lösenordet via en helt annan kanal, till exempel genom ett telefonsamtal.

Säkra metoder för att dela personuppgifter digitalt

För att dela skyddsvärda uppgifter på ett tryggt sätt krävs det att du använder kanaler med inbyggd kryptering och stark autentisering. De säkraste sätten inkluderar dedikerade kundportaler, säkra meddelandetjänster eller system som kräver verifiering med BankID eller Freja eID.

När information skickas med så kallad end-to-end-kryptering görs texten om till en oläslig kod innan den lämnar din enhet. Endast den avsedda mottagaren som har rätt digital nyckel kan låsa upp och läsa meddelandet. Denna typ av teknisk säkerhetsåtgärd minskar risken för obehörig åtkomst avsevärt under själva överföringen.^[3] I min roll som IT-rådgivare har jag mött dussintals företagare som tyckt att dessa system känts krångliga och onödiga.

Det kräver ett extra klick eller en extra inloggning. Men efter en snabb demonstration av hur lätt det är att avlyssna ett oskyddat nätverk brukar de flesta ändra uppfattning ganska snabbt. Bekvämlighet får aldrig trumfa grundläggande integritetsskydd.

GDPR och lagliga krav på företag vid hantering av personnummer

Företag och myndigheter har ett strikt juridiskt ansvar enligt dataskyddsförordningen att skydda alla personuppgifter de samlar in. För att få behandla och ta emot personnummer krävs det antingen ett uttryckligt samtycke för att skicka personnummer eller en tydlig rättslig grund, såsom att säkerställa en säker hantering av personnummer.

Regelverket kräver att organisationer minimerar exponeringen av personnummer i sin dagliga verksamhet. Det innebär bland annat att nummer inte får visas i kuvertfönster, på öppna adressetiketter eller användas som publika inloggningsnamn.

Om ett företag slarvar med säkerheten och skicka personnummer gdpr på ett lagstridigt sätt riskerar de kännbara påföljder. Lagstiftningen tillåter administrativa sanktionsavgifter på upp till 20 miljoner euro eller 4% av bolagets globala årsomsättning för de allvarligaste överträdelserna.^[4] Det visar hur allvarligt samhället ser på digital integritet. Det handlar inte bara om att följa paragrafer - det handlar om att bygga ett långsiktigt förtroende hos sina kunder och användare.

Jämförelse av kommunikationskanaler för personuppgifter

Vanlig e-post och sms

• Låg - informationen sparas på externa servrar och kan lämnas kvar under lång tid

• Saknas oftast helt eller sker utan garanti hela vägen mellan sändare och mottagare

• Ingen verifiering - vem som helst som får tillgång till enheten kan läsa meddelandet

Krypterade bilagor i e-post

• Medium - säkert under förutsättning att lösenordet delas via en helt annan kanal

• Dokumentet låses med ett lösenord som krypterar innehållet lokalt innan sändning

• Kräver att mottagaren har tillgång till det unika lösenordet för att öppna filen

Säkra företagsportaler med e-legitimation

• Högst - uppfyller alla strikta krav i dataskyddsförordningen för säker hantering

• Fullständig end-to-end-kryptering skyddar all data vid både överföring och lagring

• Hög - kräver obligatorisk och säker verifiering med BankID eller motsvarande e-legitimation

Erfarenheter från en digital omställning i ett medelstort företag

En redovisningsbyrå i Stockholm med 15 anställda hanterade dagligen hundratals personnummer och lönespecifikationer via vanlig e-post till sina kunder. Ledningen kände en växande oro över att bryta mot dataskyddsregler men visste inte hur de skulle ändra sina invanda mönster utan att tappa tempo i arbetet.

Det första försöket blev kaotiskt eftersom de bad alla anställda att manuellt börja zip-komprimera och lösenordsskydda varje enskild fil som skickades. Det ledde till utspridda lösenord på post-it-lappar, missade bilagor och djup frustration hos både personalen och kunderna som inte kunde öppna sina dokument.

Vändpunkten kom när de insåg att mänskliga rutiner i en stressig vardag inte fungerar som primärt skydd. De skrotade den manuella hanteringen och investerade istället i en färdig, krypterad kundportal där kunderna loggade in säkert.

Efter införandet av portalen minskade tidsåtgången för dokumenthantering avsevärt samtidigt som risken för felaktiga utskick raderades ut fullständigt. Kunderna uttryckte dessutom en mycket högre trygghet när de kunde använda sitt vanliga BankID för att nå sina känsliga uppgifter.