Att ändra personbeteckningen är inte en genväg för att förhindra missbruk – det viktigaste är stark autentisering av identiteten

Personbeteckningen är ett sätt att identifiera en person som är avsett att vara permanent. Enligt lagen kan den endast ändras i undantagsfall. Ändringen innebär mycket besvär och kostnader och förhindrar inte automatiskt framtida brott. Stark autentisering är det sätt som bäst skulle förhindra att brott lyckas.

Myndigheten för digitalisering och befolkningsdata får regelbundet frågor om myndigheten kan ändra personbeteckningarna för sådana personer som har fallit offer för dataintrång eller dataläckage. Önskemålet grundar sig i en rädsla att personbeteckningar som hamnat i brottslingarnas händer kan användas i syfte att skada.

Personbeteckningen är dock ett sätt att identifiera en person som är avsett att vara permanent och den kan endast ändras i undantagsfall. 

Lagen föreskriver att personbeteckningen är avsedd att vara bestående

Personbeteckningen kan endast ändras i följande situationer:

• Om personens födelsedatum eller kön har antecknats fel i beteckningen.
• Om en person fastställer sitt kön som ett annat.
• Om någon annan upprepade gånger har missbrukat en persons personbeteckning och detta har orsakat stora ekonomiska eller andra olägenheter.
• Om en människas hälsa eller säkerhet är utsatt för ett uppenbart och bestående hot. Detta innebär i praktiken att hen löper akut risk att falla offer för brott mot liv eller misshandel.

Dessa förutsättningar grundar sig på lagen om befolkningsdatasystemet, som Myndigheten för digitalisering och befolkningsdata ska följa när den upprätthåller befolkningsdatasystemet och behandlar medborgarnas personuppgifter. Behandlingen av personuppgifter – även behandling av personbeteckningar – grundar sig alltid på lag.

En ny personbeteckning eliminerar inte framtida risker

Att de lagstadgade förutsättningarna för ändring av personbeteckningen inte uppfylls särskilt lätt kan vara en besvikelse för en person som fallit offer för dataläckage. Personbeteckningen kan inte ändras för att förebygga brott. Även om en ändring av personbeteckningen skulle förhindra att uppgifter om en människa missbrukas, finns det ändå samma risker med den nya personbeteckningen. 

Vid allvarliga identitetsstölder kan personbeteckningen ändras om upprepat missbruk bevisligen har orsakat offret betydande, konkret skada. Så kan det till exempel vara om man i en annan människas namn har lyft krediter eller gjort inköp i en webbutik. I sådana fall är det också bra att komma ihåg att offret inte ska betala räkningar för näthandelsbedrägerier, utan de ska anmälas till polisen.

Ändring av personbeteckningen kan sökas hos Myndigheten för digitalisering och befolkningsdata om ovan nämnda förutsättningar uppfylls. Varje ansökan behandlas omsorgsfullt och från fall till fall. 

Att ändra personbeteckningen orsakar konkreta besvär

Att ändra personbeteckningen kan låta som en enkel lösning på en stressande situation, men efter ändringen börjar uppdateringen av många slags dokument, kunduppgifter och register. Detta innebär besvär och kostnader för personen. Förutom identitetsbevis ska bland annat försäkringar, telefonabonnemang, hyresavtal samt olika tjänster och kort, såsom bank-, biblioteks- och resekorten förnyas. De nya personuppgifterna uppdateras inte nödvändigtvis i olika datasystem genast eller utan problem, vilket innebär att det också kan uppstå förseningar. En del av problemen med systemen eller kunduppgifterna kan visa sig först efter en lång tid, och i sådana fall kan bötesavgifter eller räntor som vuxit sig stora orsaka tråkiga överraskningar. Den som ändrar sin personbeteckning bör också beakta att alla ärenden som registrerats med hjälp av den gamla personbeteckningen inte automatiskt överförs till den nya personbeteckningen. Till exempel måste man begära läkemedelsrecepten av läkaren på nytt. Även bland annat gamla studieintyg och olika innehav, såsom bostäder, måste uppdateras separat. 

Stark identifiering minskar antalet framgångsrika brott

För autentisering av en människa får man inte enbart använda en personbeteckning eller en kombination av personbeteckning och namn, utan för tillförlitlig autentisering behövs också andra personuppgifter. Bestämmelser om detta finns i dataskyddslagen.

Personbeteckningens ursprungliga uppgift har varit att fungera som ett hjälpmedel för att identifiera människor i digitala system. Identifiering har dock blandats ihop med autentisering efter att personbeteckningen kom med i körkorten och passen med vilka man kan styrka sin identitet. Personbeteckningen i sig borde dock inte vara ett autentiseringsverktyg. Personen kan identifieras med hjälp av identitetsbevis och stark autentisering i elektroniska tjänster.

För offren skulle de negativa effekterna av dataläckage bäst kunna förhindras på två sätt:

• I all affärsverksamhet och myndighetsverksamhet ska god praxis för styrkande av identitet iakttas: personbeteckningen ska inte användas som autentiseringsmetod. 
• Lagstiftningen kan förutsätta att man alltid använder stark autentisering, dvs. bankkoder, mobilcertifikat eller medborgarcertifikat, när kredit beviljas på nätet. 

En tillförlitlig autentisering av kunder minskar felen i registren och ökar på så sätt människans dataskydd. När identitetsstölder inte lyckas tack vare stark autentisering kan det minska brottslingarnas motiv att stjäla personuppgifter.