Kundens fødselsnummer på faktura og i kunderegisteret – grensene

Saklig behov er noe annet enn at det er greit å ha

Mange virksomheter samler inn fødselsnummer fordi det virker ryddig, ikke fordi de har en konkret, lovpålagt grunn til det. Oskars begrunnelse, at det gjorde det lettere å skille kunder med samme navn fra hverandre, holder ikke som saklig behov, fordi et vanlig kundenummer løser akkurat det problemet uten den samme risikoen. Spør deg selv om virksomheten ville stanset opp hvis du sluttet å be om fødselsnummeret. Er svaret nei, mangler du trolig grunnlaget. Det samme spørsmålet er verdt å stille om ansattes personopplysninger, ikke bare kundenes. Personnummer med de fire siste sifrene fjernet, altså fødselsdatoen alene, er som regel tilstrekkelig når formålet bare er å skille personer med samme navn og fødselsår fra hverandre, og det unngår problemet helt uten å svekke identifiseringen nevneverdig. Er identifiseringsbehovet enda mindre presserende, holder det ofte med navn, adresse og et mobilnummer, akkurat som ved de fleste andre tjenestekjøp de fleste av oss gjør uken gjennom.

Når fødselsnummer likevel er riktig å be om

Enkelte oppdrag krever entydig identifisering fordi loven selv stiller det som vilkår, som ved kredittvurdering av en kunde eller enkelte forsikrings- og finansoppdrag. Da er innsamlingen i orden, men bruken av fødselsnummeret er strengt avgrenset til akkurat det formålet det ble hentet inn for. Oskar innså at bare de kundene som faktisk fikk fakturaen sendt via en tredjepart for kredittvurdering, hadde et reelt behov for at fødselsnummeret fulgte med. For de øvrige kundene holdt det med navn, adresse og telefonnummer, akkurat som hos de fleste andre verksteder han kjente til.

Vanlig e-post og synlig konvolutt er blant de vanligste feilene

Selv når fødselsnummeret er lov å bruke, må det håndteres som den sensitive opplysningen det er. Å sende det i vanlig, ukryptert e-post, skrive det på utsiden av en konvolutt, eller lagre det i et regneark alle på kontoret har tilgang til, er blant de mest gjentakende feilene virksomheter blir tatt for. Har du et system for fakturering, sjekk om fødselsnummeret faktisk trengs som et eget felt, eller om det bare har blitt limt inn av gammel vane fordi malen alltid har hatt plass til det. Papirskjemaer som ligger fremme på disken, er en like vanlig kilde til problemer som e-post, siden hvem som helst som går forbi kan lese det som står øverst. Skal fødselsnummeret først lagres digitalt, bør det ligge i et system med tilgangsstyring, ikke i et delt regneark alle ansatte kan åpne uavhengig av om de faktisk trenger opplysningen i jobben sin.

Kundenummer løser identifiseringsbehovet uten fødselsnummeret

For de aller fleste kundeforhold er et internt kundenummer, kombinert med navn og kontaktinformasjon, mer enn nok til sikker identifisering. Oskar innførte et enkelt nummerserie-system i verkstedprogrammet sitt, og de eneste kundene som fortsatt måtte oppgi fødselsnummer, var dem der en ekstern part krevde det for sin egen kredittvurdering. Overgangen tok en ettermiddag, og kundene la knapt merke til endringen bortsett fra at skjemaet ble kortere. Han oppdaterte samtidig personvernerklæringen slik at den beskrev det nye, strammere opplegget. Løsningen kostet ham en ettermiddag med å oppdatere skjemaet i verkstedsystemet, og ga ham samtidig et ryddigere kunderegister enn han hadde hatt på flere år. De ansatte i resepsjonen fikk beskjed om å be om kundenummer eller telefonnummer først, og bare gå videre til fødselsnummer i de få tilfellene hvor det faktisk var nødvendig for oppdraget.

Det du gjør med fødselsnumrene du allerede har liggende

Har bedriften samlet inn fødselsnummer over flere år uten et klart formål, bør du gå gjennom arkivet og vurdere hva som faktisk må beholdes, og hva som bør slettes eller anonymiseres. Er noen av opplysningene knyttet til regnskapsbilag med lovpålagt oppbevaringstid, blir de liggende av den grunnen, men da vet du i det minste hvorfor. Oskar brukte en fri ettermiddag på å gå gjennom det gamle kundearkivet, og fjernet fødselsnummeret fra alle saker som var eldre enn fem år og ikke lenger regnskapsrelevante. Vurderer du en dag å selge verkstedet, blir det samme arkivet også utgangspunktet for hva en kjøper faktisk kan overta, se kundelisten ved salg av bedrift. Et ryddig arkiv uten unødvendige fødselsnummer er dessuten enklere å verdsette og overdra enn et arkiv fullt av sensitive opplysninger ingen lenger husker hvorfor ble samlet inn.

Kort oppsummert

• Fødselsnummer skal bare samles inn og lagres når du har et saklig, som regel lovpålagt, behov for sikker identifisering.
• Ønske om å skille kunder med samme navn er ikke et saklig behov, og løses bedre med et internt kundenummer.
• Fødselsnummer skal aldri sendes i vanlig e-post eller stå synlig på utsiden av en konvolutt.
• Gå gjennom eksisterende kunderegistre jevnlig, og fjern fødselsnummer der det ikke lenger er nødvendig eller lovpålagt.
• Regnskapsbilag med fødselsnummer kan likevel måtte beholdes så lenge bokføringsplikten krever det.