Efter det store CPR-læk gjorde en dansk sikkerhedskonsulent det, som de færreste gider: loggede ind på borger.dk og åbnede sin Registerindsigt. Han fandt 27 private virksomheder med abonnement på hans personnummer. Blandt dem en data- og analysevirksomhed, der lever af B2C-markedsanalyse, forbrugersegmentering og datadrevet marketing.
Den detalje burde bekymre marketingbranchen mere end selve lækket.
Standpunkt: Din cpr-adgang er et lån, ikke en ret
Foto: Alessandro Matonti på Unsplash
Dansk marketing har i årtier behandlet adgangen til CPR-data som infrastruktur. Noget der bare findes, som el og vand, og som man betaler et lille abonnementsgebyr for at benytte. Det billede holder ikke. CPR-adgangen er en politisk tildelt tilladelse, og den er under pres fra alle sider. Min vurdering er klar: din datapolitik skal behandle CPR-adgangen som en udløbende ressource over de næste tre til fem år, ikke som en permanent forudsætning.
Ikke fordi loven nødvendigvis ændres i morgen. Men fordi den sociale kontrakt bag loven allerede er revet op, og fordi marketing sidder dybere i den kontrakt, end nogen af os har vænnet os til at indrømme.
Hvorfor sagen rammer marketing direkte
Tre observationer fra Version2-synspunktet, som hver især ændrer din risikomodel.
Abonnenterne er blandt andet os. CPR-kontoret videregiver data til private abonnenter, og én af dem er specialiseret i præcis det, de fleste marketingafdelinger køber ind til: segmentering, forbrugeranalyse og datadrevet marketing. Når politikerne nu skal forklare 8,8 millioner lækkede personnumre, bliver spørgsmålet om, hvorfor en markedsanalysevirksomhed overhovedet kan abonnere på folks familiesammensætning og boligforhold, politisk uundgåeligt. Det er ikke længere et it-spørgsmål. Det er et legitimitetsspørgsmål rettet mod vores branche.
Leverandørkæden er uigennemskuelig. De 27 abonnenter har tilsammen 609 offentligt kendte, direkte it-leverandører. Din afdeling kan have nul direkte CPR-adgang og alligevel sidde midt i kæden via et bureau, en CDP eller en analyseleverandør. Husk også, hvordan lækket blev opdaget: ikke af monitorering, men af en usædvanlig stor faktura for dataudtræk. Hos en leverandør, der også overså kørekort-lækket tilbage i 2012. Som vi skrev, da nyheden brød, er CPR død som kunde-id. Men konsekvensen rækker videre end din egen nøglestruktur: Nu handler det om, hvem der forsyner dig med data, og hvem der forsyner dem.
Transparensen er kommet for at blive. Registerindsigt på borger.dk fungerer reelt som et “hvem har mine data”-dashboard med navngivne virksomheder. Det er nyt. For første gang kan enhver borger, og enhver journalist, se hvilke private aktører der trækker på CPR-registeret. En dataforsyning, som marketingbranchen altid har vidst var juridisk hjemlet men dårligt forstået ude blandt kunderne, er nu blevet offentligt synlig. Det skaber et reputationelt pres, ingen af os har en beredskabsplan for.
Modargumenterne, taget alvorligt
Der er ærlige indvendinger, og de fortjener bedre end afvisning.
CPR-data har legitime formål: navne- og adresseservice, deduplication af kunderegistre, flytteservice. Den præcision har givet dansk marketing et datamæssigt forspring, som de fleste markeder misunder os. Alternativerne, samtykkebaseret indsamling og zero-party data, er dyrere, langsommere og skalerer dårligere. Man kan også med rette sige, at selve lækket skyldtes elendig adgangskontrol hos én leverandør, ikke selve abonnementsmodellen. Og GDPR giver borgerne allerede ret til indsigt og sletning.
Men alle modargumenter forudsætter én ting: at tilliden er intakt. Det er den ikke. Facebook havde også lov til det meste af det, Cambridge Analytica-sagen byggede på, indtil offentligheden besluttede noget andet, og betingelserne ændrede sig inden for et enkelt kalenderår. Version2-skribentens konklusion, at loven skal laves om selv hvis den er overholdt, er ikke længere en yderposition. Det er midtpunktet. Og når data-minimering bliver politisk valuta, sidder de 27 abonnenter og alle deres kunder med regningen.
Hvad du gør nu
Fem skridt, prioriteret efter omkostning og effekt.
- Kortlæg din CPR-afhængighed. Spørg dine leverandører direkte: trækker de på CPR-abonnementer, og hvilke felter ender hos dig? Log selv ind på borger.dk og tjek din egen Registerindsigt. Det tager ti minutter, og det ændrer din fornemmelse af problemet mere end nogen risikoanalyse.
- Behandl leverandørkæden som en risikopost. Tallet 609 er pointen: din leverandør kan være sikker, men leverandørens leverandører er også din risiko. Kræv leverandørfortegnelser og underleverandørgennemsigtighed i næste kontraktrevision. Det er den samme logik, som NIS2 og ISO27001 allerede pålægger offentlige styrelser. Kopier den proaktivt frem for at vente på tilsyn.
- Byg en “uden-CPR”-plan. Identificér hvilke use cases der overlever på e-mail og telefon som primærnøgle. Navnematch og adresseservice kan i vid udstrækning erstattes. Dyb demografisk segmentering baseret på husstand og familie kan ikke. Prioritér dine kommende investeringer i samtykkebaserede datakilder derefter, før dine konkurrenter gør det.
- Forbered fortællingen. Hvis din leverandør nævnes ved navn i den næste historie, skal du inden for få dage kunne forklare, hvad du modtog, hvorfor, og hvad du har ændret siden. Reputationsberedskab koster en workshop. Reaktiv krisekommunikation koster et brand.
- Involvér din DPO tidligt i roadmap. Ikke som gatekeeper i slutningen af projektet, men som designpartner i begyndelsen. Virksomheder, der venter på loven, ender med at implementere den dyrest.
Et spørgsmål med 8,8 millioner respondenter
Version2-skribenten spørger, om det er borgeren eller myndighederne, der skal bestemme adgangen til personnummeret. Det er ikke kun et juridisk spørgsmål. Det er en markedsundersøgelse med 8,8 millioner respondenter, og svaret er allerede på vej ind gennem indbakken, i medierne og på borger.dk. Dem, der behandler CPR-adgangen som en ret, opdager forskellen den dag, den bliver sagt op. Dem, der behandler den som et lån, har allerede en afdragsplan.