Hvornår er det lovligt at kræve et CPR-nummer oplyst?

27 januar 2015

På baggrund af henvendelser fra forbrugere har Forbrugerombudsmanden udarbejdet et notat, som med udgangspunkt i lovgivningen på området skal være med til at fastlægge i hvilke tilfælde, det er lovligt at kræve et CPR-nummer oplyst. Notatet udstikker rammerne for, hvornår virksomhederne lovligt kan gøre krav på at få oplyst CPR-nummer, og hvornår dette ikke lovligt kan kræves.

Notatet lægger særligt vægt på Persondatalovens krav til indsamling og behandling af personoplysninger. Virksomhederne kan herefter lovligt indsamle og behandle et CPR-nummer, hvis de forfølger et formål, som er fastsat i anden lovgivning, eller hvis de har indhentet forbrugerens samtykke. Dog er indhentelse af samtykke i sig selv ikke altid nok. Virksomheden skal også have en saglig grund for at kunne kræve et CPR-nummer oplyst.

Det er Datatilsynet, som påser, at reglerne i Persondataloven overholdes, og Forbrugerombudsmanden har derfor i vidt omfang inddraget Datatilsynets praksis, når det kommer til registrering og brug af CPR-numre. Datatilsynets udgangspunkt er herefter, at hvis praktiske eller administrative hensyn gør det nødvendigt at indhente oplysninger om CPR-nummer, så vil der være tale om et sagligt formål. Dette kan især tænkes at være tilfældet ved løbende mellemværender som f.eks. abonnementsforhold.

Persondataloven tager ikke stilling til, hvornår en virksomhed har krav på at få et CPR-nummer oplyst. Dette spørgsmål reguleres af Markedsføringsloven, hvis overholdelse påses af Forbrugerombudsmanden. Vurderingen af, om et krav om oplysning af CPR-nummer er i strid med god markedsføringsskik, vil dog i vidt omfang ske ud fra de samme kriterier som i Persondataloven og vil i væsentlig henseende følge praksis fra Datatilsynet.

Dette betyder, at såfremt virksomheden ikke kan henvise til relevant lovgivning, som fastslår, at oplysninger om CPR-nummer kan kræves, vil virksomheden skulle indhente et samtykke og opfylde kravet om, at der skal være en saglig og relevant grund. Er kravet om saglighed ikke opfyldt i forhold til Persondataloven, vil det som udgangspunkt heller ikke være opfyldt i forhold til Markedsføringsloven.

Det afgørende for Forbrugerombudsmanden i vurderingen af, om der sker en overtrædelse af god markedsføringsskik, er, hvilke formål der forfølges med kravet, og om disse formål kan forfølges på anden vis end gennem oplysning om CPR-nummer. Virksomheder vil herefter normalt ikke have en saglig grund til at kræve et CPR-nummer oplyst, hvis der er tale om kontante køb i fysiske forretninger og køb, som ikke har karakter af et løbende mellemværende. Ligeledes vil tilbagebetaling i forbindelse med afregning af forbrug eller restbeløb, udlevering af varer eller en kreditvurdering i kreditoplysningsbureauer normalvis ikke opfylde kravet om en saglig begrundelse.

Såfremt en virksomhed kan kræve at få CPR-nummer oplyst, enten på baggrund af lovgivningen eller ved at have en saglig grund hertil, har virksomheden en pligt til gennem dens markedsføring at gøre forbrugeren opmærksom herpå og klart og tydeligt oplyse, at oplysninger om CPR-nummer er en forudsætning for aftaleindgåelse og lignende.